DreamGuard：基于风险感知世界模型的LLM智能体运行时安全护栏

1. 项目概述：当LLM智能体开始“做梦”，我们如何为它装上安全护栏？

最近，无论是开源社区还是工业界，关于“LLM Powered Autonomous Agents”（LLM驱动的自主智能体）的讨论热度居高不下。Lilian Weng那篇著名的综述文章，更是系统性地勾勒出了智能体感知、规划、行动、学习的完整框架，让无数开发者和研究者心潮澎湃。然而，当我们将大型语言模型（LLM）作为智能体的“大脑”，赋予其自主规划并执行复杂任务的能力时，一个幽灵也随之浮现：失控风险。想象一下，一个被指示“帮我订一张最便宜的机票”的旅行助手智能体，在自主浏览网页、填写表单的过程中，可能会因为对“最便宜”的极端追求，而误入钓鱼网站，甚至尝试绕过支付系统的安全验证。这种在动态、开放环境中的“运行时风险”，是静态内容过滤或事后审核难以完全解决的。

这正是“DreamGuard: Efficient Runtime Guardrail for LLM Agents via Risk-Aware World Model”这个项目标题所直指的核心痛点。它不是一个简单的关键词过滤工具，也不是一个事后的日志审计系统。它的野心在于构建一个“风险感知的世界模型”，为正在“做梦”（即进行内部推理和规划）的LLM智能体，提供一套高效、实时的“护栏”系统。这里的“做梦”并非贬义，而是指智能体基于其对世界的理解（可能是不完整或错误的）进行决策规划的内部过程。DreamGuard要做的，就是在智能体将这个“梦”转化为实际行动之前，提前预判风险，并施加干预。

简单来说，DreamGuard试图回答一个关键问题：如何让LLM智能体在自由探索的同时，不至于“梦游”到危险地带？它适合所有正在或计划构建复杂LLM智能体的开发者、研究者和企业团队，特别是那些涉及外部工具调用、多步规划、在部分可观测环境中运作的智能体应用场景。接下来，我将深入拆解这个项目的设计思路、核心技术实现以及背后的实战考量。

2. 核心设计思路：从“事后灭火”到“梦中预警”的范式转变

要理解DreamGuard的价值，首先要看清现有LLM智能体安全方案的局限性。传统方案大多属于“边界防护”或“事后处理”。比如，在智能体的提示词（Prompt）中加入安全规范，这依赖于LLM自身的对齐能力，但在复杂规划中容易被忽略或绕过。又比如，对智能体输出的最终动作或结果进行安全检查，这就像是孩子已经跑出了马路，你再喊停，为时已晚。如果动作是“发送一封包含用户隐私的邮件”，检查发生在发送之后，风险已然发生。

DreamGuard提出的“Runtime Guardrail”（运行时护栏）理念，核心在于将安全评估的时机提前并贯穿于智能体的整个推理循环中。它不是等智能体输出一个完整的、最终的动作序列后再来评判，而是在智能体内部每产生一个“思维片段”（例如，一个子目标、一个工具调用计划、一个对下一状态的预测）时，就进行快速的风险评估。

2.1 风险感知世界模型：给智能体一个“风险模拟器”

项目标题中最精妙的部分在于“Risk-Aware World Model”。世界模型本是强化学习等领域的概念，指智能体对环境状态转移（即“做了动作A后，世界会变成什么样”）的内部建模。DreamGuard为其赋予了“风险感知”的能力。

这个模型的核心职责是进行风险条件预测。它并不需要像物理引擎一样精确模拟世界的每一个细节，而是专注于预测：在当前智能体所持有的“信念”（Belief）或计划（Plan）下，执行某个动作可能导致的风险状态。例如，智能体计划“调用execute_shell工具，命令为rm -rf /tmp/*”。一个简单的世界模型可能只预测“/tmp目录下的文件被删除”。而一个风险感知的世界模型则会进一步评估：“此操作涉及系统级命令，如果路径变量被恶意篡改或智能体对路径理解有误，存在误删关键系统文件的风险，风险等级：高”。

这个模型的构建，通常不依赖于另一个庞大的LLM进行完整模拟，那样效率太低。实践中，它可能是一个轻量级的规则引擎、一个经过微调的小型风险分类模型、或一个基于知识图谱的查询系统。它的输入是智能体的当前内部状态（包括历史、计划、工具调用意图等），输出是对潜在风险的量化评分或分类标签。

2.2 高效运行时检查：在推理链中插入“安全哨兵”

拥有了风险感知世界模型，下一步就是如何将其无缝、高效地集成到LLM智能体的运行时中。这里的挑战在于，不能严重拖慢智能体的推理速度。DreamGuard强调“Efficient”（高效），意味着其守护机制必须是轻量级、可并行或异步执行的。

一种典型的架构是“双轨制”推理。主轨道是LLM智能体正常的思维链（Chain-of-Thought）或规划过程。与此同时，一个并行的“监护”轨道在持续运行。监护轨道监听主轨道的中间输出（这些输出可以通过特定的提示词模板或API钩子获取），并将其送入风险感知世界模型进行快速评估。

• 监听点：可以在几个关键节点设置监听。例如，当智能体生成一个工具调用请求的JSON结构时；当智能体设定一个新的子目标时；当智能体对用户输入或环境反馈做出某种解释时。
• 评估与干预：世界模型返回风险评估。如果风险低于阈值，则放行，智能体继续。如果风险超过阈值，则触发干预。干预方式不是简单粗暴地停止，而是更具引导性：
  1. 警告与修正：向主轨道的LLM注入一条警告信息，如“系统检测到您计划的操作可能涉及高风险文件删除，请确认路径无误或考虑使用更安全的命令”，让LLM自行修正计划。
  2. 动作替换：直接提供一个更安全的替代动作选项。
  3. 流程暂停：在极高风险下，暂停智能体，将决策权交还给人类操作员。

这种设计使得安全机制不再是外在的枷锁，而是内化为智能体“思考过程”中的一个顾问角色，实现了安全与自主性的平衡。

3. 关键技术拆解：如何构建风险感知世界模型

理论很美好，但落地需要具体的技术路径。构建一个有效的Risk-Aware World Model是DreamGuard项目的技术核心，它决定了护栏的精准度和效率。

3.1 风险维度定义与知识注入

世界模型要对什么风险敏感？这是首先要定义的。对于LLM智能体，风险维度可能包括：

• 安全风险：数据泄露、权限提升、系统破坏、恶意代码执行。
• 可靠性风险：工具调用失败循环、陷入死锁、产生矛盾指令。
• 资源风险：发起过多网络请求、产生过高API费用、陷入无限循环消耗计算资源。
• 合规与伦理风险：生成偏见内容、执行不道德指令、违反业务规则。

定义维度后，需要向世界模型注入相关知识。这不能只靠训练LLM时用的通用数据，必须结合领域特定知识和智能体操作环境的具体上下文。方法包括：

• 规则库：为已知的高风险模式编写明确的规则。例如，“如果工具调用涉及sudo、rm、format等关键词，且路径不明确或包含/home、/etc等系统路径，则触发高风险警报”。这种方法直接、高效，但覆盖范围有限。
• 知识图谱：构建一个描述工具、资源、实体及其安全属性的图谱。世界模型可以查询该图谱来推理风险。例如，工具“数据库写入器”关联实体“用户表”，其属性包含“包含个人身份信息（PII）”，那么一个向该工具发送包含未脱敏数据的操作就会被识别为“隐私泄露风险”。
• 小模型微调：收集智能体运行的历史数据（包括安全的事件和出问题的案例），训练一个专门用于风险预测的分类或回归模型。这个模型的输入可以是智能体动作的嵌入向量、上下文摘要等特征，输出是风险分数。这种方法能学习更复杂的模式，但需要标注数据。

注意：世界模型的知识需要持续更新。当智能体接入新的工具或进入新的环境时，必须同步更新风险规则或知识图谱，否则会出现防护盲区。

3.2 轻量化模型与高效推理

为了满足“运行时”高效的要求，这个世界模型必须足够轻量。在架构设计上，有几种常见选择：

1. 规则引擎 + 向量检索：将大部分风险判断逻辑写成确定性规则，对于需要语义理解的复杂情况，则将当前上下文编码为向量，在一个风险案例向量库中进行快速相似性检索，匹配历史风险模式。这种方式解释性强，速度快。
2. 蒸馏/微调的小型语言模型：使用一个参数量远小于主智能体LLM的模型（如Phi-3 mini, Qwen1.5-1.8B），在高质量的风险-动作配对数据上进行指令微调，让其学会根据上下文判断风险。推理时，只需运行这个小模型即可。
3. 集成学习分类器：使用传统的机器学习模型（如XGBoost、随机森林），以智能体状态的特征向量（如工具类型、参数关键词、历史动作序列的统计特征等）作为输入，进行风险分类。这种方法推理速度极快，但特征工程是关键。

参数计算示例：假设我们采用方案2，使用一个约20亿参数的小模型。在A100 GPU上，使用半精度（FP16）推理，一次前向传播的耗时大约在10-50毫秒量级，具体取决于输入序列长度。如果智能体的每一步“思考”间隔在100毫秒以上，那么这种守护就是可行的，开销控制在10%-50%。如果采用方案1或3，开销可以降到毫秒甚至亚毫秒级。

3.3 与智能体框架的集成模式

世界模型如何接入现有的LLM智能体框架（如LangChain, LlamaIndex, AutoGen）？这需要设计良好的接口和交互协议。

• 回调函数（Callbacks）：这是最自然的集成方式。大多数智能体框架都提供了回调机制，允许在智能体生命周期（如on_agent_action,on_agent_finish）的关键节点插入自定义逻辑。DreamGuard的守护模块可以作为一个回调函数注册进去，在每次智能体产生动作时被调用。
• 代理（Agent）封装：将守护机制封装成一个特殊的“安全代理”。主智能体发出的任何动作，都必须先经过这个安全代理的审核和转发。这种方式控制力更强，但可能增加架构复杂度。
• 中间件（Middleware）：在智能体与执行环境（工具、用户）之间插入一个中间件层。所有进出智能体的信息（动作、观察）都经过此层，由它调用世界模型进行风险评估和过滤。

选择哪种模式，取决于智能体框架的支持程度和对性能、灵活性的要求。回调模式侵入性小，易于集成；中间件模式架构清晰，便于统一管理安全策略。

4. 实操构建指南：从零搭建一个简易版DreamGuard

理论铺垫完毕，我们来点实际的。我将以构建一个“网页浏览与操作智能体”的安全护栏为例，演示如何实现一个简化版的DreamGuard核心功能。假设我们的智能体可以使用click_element,input_text,extract_info等工具与网页交互。

4.1 第一步：定义风险场景与规则库

我们首先为这个特定领域定义风险。例如：

• 风险1：意外表单提交：在未明确用户确认的情况下，向包含<input type="submit">或<button>的元素执行click_element操作。
• 风险2：敏感信息输入：向输入框（<input>）input_text的内容中包含邮箱、电话、密码等模式。
• 风险3：导航至不可信域：click_element或后续页面加载导致域名离开白名单（如从example.com跳转到unknown-site.com）。

基于此，我们构建一个简单的Python规则库：

# risk_rules.py import re class WebRiskWorldModel: def __init__(self, allowed_domains=['example.com', 'trusted.org']): self.allowed_domains = allowed_domains self.sensitive_patterns = { 'email': r'\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b', 'phone': r'\b\d{3}[-.]?\d{3}[-.]?\d{4}\b', # 添加更多模式... } def assess_action(self, agent_state, planned_action): """ agent_state: 包含当前URL、历史动作等 planned_action: 字典，如 {'tool': 'click_element', 'args': {'selector': '#submit-btn'}} 返回: (risk_level, message) risk_level: 'low', 'medium', 'high' """ risk = 'low' msg = '' # 规则1：检查是否为提交动作 if planned_action['tool'] == 'click_element': # 这里需要智能体提供目标元素的HTML信息，或通过其他方式获取 element_html = agent_state.get('target_element_html', '') if 'type="submit"' in element_html or '<button' in element_html.lower(): # 检查是否有用户确认的上下文（这里简化处理） if not agent_state.get('user_confirmed_submit', False): risk = 'high' msg = '尝试提交表单而未获明确用户确认。' # 规则2：检查输入敏感信息 elif planned_action['tool'] == 'input_text': text = planned_action['args'].get('text', '') for pattern_name, pattern in self.sensitive_patterns.items(): if re.search(pattern, text): risk = 'high' msg = f'尝试输入疑似{pattern_name}的敏感信息: {text[:50]}...' break # 规则3：检查域名跳转（预测性） # 这需要结合页面链接分析，这里做简化演示：假设我们能从动作预测目标URL predicted_next_url = self._predict_url(agent_state['current_url'], planned_action) if predicted_next_url: from urllib.parse import urlparse domain = urlparse(predicted_next_url).netloc if not any(domain.endswith(allowed) for allowed in self.allowed_domains): risk = 'high' msg = f'计划的操作可能导致导航至非白名单域名: {domain}' return risk, msg def _predict_url(self, current_url, action): # 简化预测逻辑：例如，如果是点击链接，可以从元素href属性预测 # 这里返回None表示无法预测或无需预测 return None

4.2 第二步：集成到LangChain智能体

我们使用LangChain框架，通过CustomCallbackHandler来集成我们的守护规则。

# dreamguard_callback.py from langchain.callbacks.base import BaseCallbackHandler from risk_rules import WebRiskWorldModel class DreamGuardCallback(BaseCallbackHandler): def __init__(self): self.world_model = WebRiskWorldModel() self.agent_state = {'current_url': 'https://example.com/login'} def on_agent_action(self, action, **kwargs): """在智能体每次决定使用工具时调用""" # 解析LangChain的AgentAction对象 tool_name = action.tool tool_input = action.tool_input planned_action = {'tool': tool_name, 'args': tool_input} # 调用风险感知世界模型进行评估 risk_level, risk_msg = self.world_model.assess_action(self.agent_state, planned_action) if risk_level == 'high': # 高风险干预：我们可以通过修改kwargs来影响后续流程，这里简单打印并“阻止” # 在实际应用中，可以抛出一个特殊异常，让智能体框架捕获并处理 print(f"🚨 DreamGuard 拦截高风险动作: {risk_msg}") print(f" 被拦截动作: {tool_name} with input {tool_input}") # 这里可以设计为：将错误信息注入到下一步的LLM观察中，让LLM重新规划 # 例如：raise RiskInterruptionException(risk_msg) action.log = f"Blocked by DreamGuard: {risk_msg}" # 标记动作被拦截 # 我们选择跳过这个动作的执行 return False # 返回False可能影响某些回调流程，这里仅为示意 elif risk_level == 'medium': print(f"⚠️ DreamGuard 警告: {risk_msg}") # 可以记录日志或进行降级处理 # low风险则静默通过 # 更新智能体状态（例如，如果动作执行成功，更新当前URL） # 这通常需要在 on_tool_end 回调中完成 return True def on_tool_end(self, output, **kwargs): """在工具执行完成后调用，用于更新世界模型的状态""" # 根据工具执行结果更新 agent_state，例如更新当前页面URL # 这里需要具体解析 output if 'url' in output: self.agent_state['current_url'] = output['url']

4.3 第三步：创建带护栏的智能体并测试

# main.py from langchain.agents import initialize_agent, AgentType from langchain.llms import OpenAI # 或使用其他LLM from langchain.tools import Tool from dreamguard_callback import DreamGuardCallback # 1. 定义一些模拟的网页操作工具（实际中会用Selenium/Playwright工具） def click_element(selector): # 模拟点击，返回新页面信息 print(f"[模拟] 点击元素: {selector}") return {"status": "success", "url": "https://example.com/dashboard", "html_snippet": f"<div>Clicked {selector}</div>"} def input_text(selector, text): print(f"[模拟] 在 {selector} 输入文本: {text}") return {"status": "success"} # 创建Tool对象 tools = [ Tool(name="ClickElement", func=click_element, description="点击网页上的一个元素。输入应为CSS选择器字符串。"), Tool(name="InputText", func=input_text, description="在输入框中输入文本。输入应为JSON字符串，包含'selector'和'text'键。"), ] # 2. 初始化LLM和智能体 llm = OpenAI(temperature=0) # 使用低temperature以获得更确定性的行为 guard_callback = DreamGuardCallback() # 3. 创建智能体，并传入我们的回调 agent = initialize_agent( tools, llm, agent=AgentType.ZERO_SHOT_REACT_DESCRIPTION, verbose=True, callbacks=[guard_callback], # 关键：注入DreamGuard回调 handle_parsing_errors=True, ) # 4. 运行测试 try: # 测试1：尝试输入敏感信息（应被拦截） print("\n--- 测试1: 尝试输入邮箱 ---") # 注意：我们需要让LLM生成调用InputText工具的动作。这里简化，直接模拟LLM输出。 # 在实际中，LLM会根据用户请求（如“帮我在邮箱框里填我的邮箱[e-mail]”）来规划。 # 这里我们手动触发回调来演示。 test_action = type('Obj', (object,), {'tool': 'InputText', 'tool_input': {'selector': '#email', 'text': '[e-mail]'}})() guard_callback.on_agent_action(test_action) print("\n--- 测试2: 尝试在未确认时提交表单 ---") # 假设智能体状态中 user_confirmed_submit 为 False guard_callback.agent_state['target_element_html'] = '<input type="submit" value="Submit">' test_action2 = type('Obj', (object,), {'tool': 'ClickElement', 'tool_input': '#submit-btn'})() guard_callback.on_agent_action(test_action2) print("\n--- 测试3: 低风险操作（应通过） ---") test_action3 = type('Obj', (object,), {'tool': 'ClickElement', 'tool_input': '.next-page'})() guard_callback.on_agent_action(test_action3) except Exception as e: print(f"测试过程中发生错误: {e}")

运行上述代码，你会看到DreamGuard根据规则对高风险动作发出警告和拦截，而低风险动作则被放行。这只是一个极度简化的演示，但它清晰地展示了“运行时评估-干预”的核心流程。

实操心得：在实际项目中，规则引擎会复杂得多，并且需要与智能体的观察机制深度结合。例如，target_element_html的获取，可能需要智能体框架在执行click_element前，先调用一个inspect_element工具来获取目标信息并供世界模型评估。这涉及到更精细的“暂停-评估-继续”的控制流设计。

5. 性能优化与高级策略

一个基础的守护系统搭建起来后，接下来就要面对效率和泛化性的挑战。如何让这个“护栏”既坚固又不显得笨重？

5.1 分层风险评估与快速路径

不是所有动作都需要经过复杂的模型推理。我们可以设计一个分层评估系统：

1. 第一层：静态规则过滤。使用正则表达式或关键字匹配，拦截最明显、最确定的违规（如包含rm -rf /的命令）。这一层速度极快，可以过滤掉大部分低级风险。
2. 第二层：向量相似度匹配。将当前动作和上下文编码成向量，与一个高风险案例向量数据库进行比对。如果相似度超过阈值，则触发警报。这可以捕捉到与历史风险模式相似但文本不同的情况。
3. 第三层：轻量级模型推理。对于前两层无法判断的“灰色地带”，动用微调的小型风险判断模型进行深度推理。
4. 第四层：大模型复审与人工介入。仅在风险极高且模型置信度低时，将决策连同上下文提交给更强大的LLM（如GPT-4）进行复审，或直接通知人类。

这种分层设计确保了大部分请求在低延迟的第一、二层就得到处理，只有少数复杂情况才会消耗更多资源。

5.2 世界模型的在线学习与更新

初始的规则和模型总会遗漏一些边角案例。一个健壮的DreamGuard系统应该具备从实际运行中学习的能力。

• 隐式反馈：当智能体动作导致错误、异常或用户负面反馈时，可以将该轨迹（状态-动作-结果）标记为潜在风险样本，加入训练数据池。
• 主动探索与压力测试：在安全可控的沙箱环境中，可以主动运行一些对抗性测试，让智能体尝试完成一些边缘性任务，以此收集风险-非风险的边界数据。
• 人类审核队列：对于中等风险且模型不确定的动作，可以将其放入一个待审核队列，由人工快速标注后，立即用于模型的在线微调（Online Learning）。

这个过程需要谨慎的数据管理和版本控制，避免引入偏见或错误标签导致模型性能下降。

5.3 与智能体学习的协同

一个更有趣的视角是，将DreamGuard不仅视为守护者，也视为智能体的“安全教练”。通过干预和反馈，它可以引导智能体学习更安全的策略。

• 安全强化学习：将DreamGuard的风险评分作为强化学习环境奖励函数的一部分（负奖励）。智能体在探索中会逐渐学会避免那些导致高风险评分的动作序列。
• 解释性反馈：当DreamGuard拦截一个动作时，提供给智能体的不应仅仅是“禁止”，而应包含“为什么”（即风险原因）。例如，“此操作被阻止，因为它可能删除非临时文件。请考虑使用更精确的路径或rmdir命令。”这种解释性反馈可以被智能体吸收，内化为其未来规划的安全约束。

6. 常见问题与实战避坑指南

在实际部署DreamGuard类系统时，你会遇到一系列教科书上不会写的挑战。以下是我从经验中总结的一些关键问题和应对策略。

6.1 误报与漏报的平衡

这是最大的挑战。误报（False Positive）太多，智能体会变得畏手畏脚，频繁被不必要的警告打断，用户体验和效率极差。漏报（False Negative）则意味着安全漏洞。

应对策略：

• 建立风险容忍度分级：不是所有风险都要一棍子打死。将风险分为“阻止”、“需确认”、“仅记录”等级别。对于“需确认”的风险，可以设计一个轻量级的用户确认流程（例如，在聊天界面弹出一个简单的“是否继续？”）。
• 上下文精细化：很多误报源于世界模型对上下文理解不足。例如，智能体在测试环境中运行rm -rf /tmp/test可能是安全的。因此，风险评估必须紧密结合环境标签（生产/测试/沙箱）和会话上下文（用户明确指令、历史安全操作）。
• 持续迭代规则：建立一个误报/漏报案例库，定期复盘。对于每一个案例，分析是世界模型规则有误、上下文信息缺失，还是属于全新的风险模式。据此更新规则库或训练数据。

6.2 性能开销与延迟

运行时检查必然引入延迟。对于需要低延迟交互的智能体（如实时对话助手），这可能成为瓶颈。

应对策略：

• 异步评估：对于非关键、非顺序依赖的动作，可以将风险评估任务抛到后台异步队列执行，智能体先“预执行”或等待极短时间。如果异步评估后发现高风险，再执行回滚或补救操作。这适用于那些后果可逆或有时延的操作（如发送邮件前的最终检查）。
• 抽样检查：不必对智能体的每一个“思维步骤”都进行检查。可以设计一种抽样策略，例如每隔N个动作检查一次，或者只对涉及特定高危工具（如文件写入、网络请求、支付）的动作进行强制检查。
• 模型与规则优化：对风险评估模型进行量化、剪枝、蒸馏，确保其尽可能轻量。将核心规则编译成高效的正则表达式或决策树。

6.3 复杂动作序列的风险评估

单一动作可能无害，但一系列动作组合起来可能构成风险。例如，动作A是“查询用户数据库”，动作B是“将结果写入公开日志文件”。单独看，两者都可能是合规操作，但组合起来就是数据泄露。

应对策略：

• 状态追踪：世界模型必须维护一个会话级别的风险状态。在上例中，执行动作A后，世界模型的状态应标记为“已加载敏感数据”。当执行动作B时，模型会结合此状态，识别出“将敏感数据写入公开位置”的组合风险。
• 时序规则：定义基于状态的规则，例如“如果状态包含‘敏感数据在内存中’，则禁止调用‘网络发送’或‘文件写入’工具，除非目标经过加密或授权验证”。
• 规划阶段评估：在智能体生成多步计划（Plan）后、正式执行任何一步之前，对整个计划序列进行一次“预演”评估。这需要世界模型具备一定的序列预测能力，但能更早地发现组合风险。

6.4 对抗性智能体与“护栏绕过”

一个足够聪明的智能体，可能会学会“欺骗”或“绕过”简单的守护规则。例如，它可能将危险指令rm -rf /home/user编码成exec(base64_decode(‘cm0gLXJmIC9ob21lL3VzZXI=’))来绕过关键词过滤。

应对策略：

• 深度语义理解：依赖更强大的语义模型（即使是小模型）来理解动作的意图，而不仅仅是表面字符串。上述编码指令，在经过解码理解后，其意图仍然是高风险的文件删除。
• 不确定性监测：如果智能体频繁生成模糊、怪异或高度编码的指令，这本身就是一个高风险信号。世界模型可以监测动作的“异常度”或“不确定性”。
• 沙箱执行与动态分析：对于高度可疑但又无法静态判断的指令，可以将其放在一个严格的沙箱环境中“试运行”一小步，观察其实际行为（如文件系统操作、网络请求），再根据动态行为进行判断。这虽然开销大，但可作为最后防线。

构建一个高效的DreamGuard系统，绝非一劳永逸。它更像是一个与LLM智能体共同进化、动态博弈的过程。核心在于理解，安全不是限制智能体能力的枷锁，而是保障其能在更广阔、更复杂世界中可靠、负责任地发挥价值的基石。从简单的规则库起步，结合具体的业务场景不断迭代，融入更智能的风险感知模型，你就能为你的LLM智能体筑起一道既坚固又灵活的运行时防线。