为什么是叠加层，而不是替代品。核心论点。

AI IR Overlay™ 框架的一部分。完整仓库地图请参阅 CONTENT_MAP.md。

---

AI IR Overlay：框架概述

当前版本： v0.35.0 · 2026-07-09 · CHANGELOG

面向生产环境中 AI 代理的实用事件响应基线。欢迎自由批判与改进。

为什么是叠加层，而不是替代品

传统事件响应（在 NIST SP 800-61 r3 中正式确立，该版本于 2025 年 4 月取代 r2）围绕未授权访问向量构建：恶意软件、漏洞利用、凭据窃取、横向移动。AI 代理改变了故障模式。

AI 事件往往通过授权渠道显现：

• 合法身份。 执行了非预期操作的服务账户或委派 OAuth 授权。
• 合法 API。 对电子邮件、CRM 和 ERP 的工具调用，虽在允许的参数范围内运行，但仍会造成损害。
• 合法来源。 从可信但过时或不恰当的知识中拉取数据的检索层。
• 合法工作流。 按书面策略执行、却产生有害结果的自动化流程。

当行为主体是授权方时，问题就从*“谁进来了？”转变为“它能触及什么，又做了什么？”*关键证据如今存在于提示词、工具调用、检索轨迹和配置状态中，而非终端上。

哪些保持不变

有效事件响应的核心机制保持不变：

• 清晰的指挥与控制
• 证据优先的纪律
• 以最小干扰实现快速遏制
• 使用已确认与疑似术语进行范围界定
• 通过受控、分阶段的重新启用进行恢复
• 可辩护的决策日志

AI 不会重写有效 IR 的规则。它改变的是地图。

范围

AI IR Overlay 将生产环境中 AI 系统的部署者义务付诸实践。部署者是在自身运营中使用 AI 系统、并在自身监督下运行的组织（依据欧盟 AI 法案第 3 条）。本框架面向部署者组织所运行代理发生事件时进行响应的安全团队。

不在范围内：

• 提供者义务，即将 AI 系统投放市场的相关义务（欧盟 AI 法案第 16-21 条）
• 通用 AI 模型（GPAI）提供者义务（欧盟 AI 法案第 51 条及后续条款）
• 被禁止的 AI 实践（欧盟 AI 法案第 5 条）
• 合格评定与 CE 标志（欧盟 AI 法案第 43 条）

组织部署的供应商副驾驶（copilot）属于部署者（客户方）的范围。供应商的提供者义务不在本文讨论之列。

叠加层模型

AI IR Overlay 在您现有 IR 计划之上增加了四项代理感知控制（最小可行叠加层，简称 MVO）。

注意： 下方所示阶段与 NIST SP 800-61 r3（2025 年 4 月）保持一致，并按 MATRIX.md 第 1 节拆分为七个操作上不同的列。NIST SP 800-61 r3 围绕 NIST CSF 2.0 功能（治理、识别、保护、检测、响应、恢复）重构了事件响应；功能级映射请参阅 crosswalks/nist-csf-2.md 中的 AI IR Overlay 到 CSF 2.0 交叉对照表。```text ┌───────────────────────────────────────────────────────────────────────┐ │ AI IR Overlay Response Flow (NIST SP 800-61 r3, unpacked) │ │ │ │ Preparation → Detection → Triage → Containment → Evidence → │ │ Recovery → Closure │ └───────────────────────────────────────────────────────────────────────┘ │ ▼ ┌───────────────────────────────────────────────────────────────────────┐ │ AI IR Overlay · MVO Controls (4) │ │ │ │ 1. INVENTORY · Agents · Identities · Tools · Write Targets │ │ 2. SAFE MODES · Kill-Switch Ladder (M0–M5; 6 M3 + 2 M4 variants) │ │ 3. EVIDENCE · Minimum AI Evidence Set (Types A–F) │ │ 4. CONTROLLED · Staged, validated re-enablement │ │ RE-ENABLE │ └───────────────────────────────────────────────────────────────────────┘

如需查看完整的“阶段×控制项”矩阵视图，请参阅 [`MATRIX.md`](https://github.com/jacobideji/aiiroverlay/blob/main/MATRIX.md) 第 1 节。

## 阅读顺序

**如果你此刻正在应对一起 AI 智能体安全事件**，请从 [`RESPONSE-START.md`](https://github.com/jacobideji/aiiroverlay/blob/main/RESPONSE-START.md) 开始，其中包含四文件导航路径，可带你从凌晨三点的慌乱状态走到可辩护的 60 分钟检查点。

**初次接触？请从 [QUICKSTART.md](https://github.com/jacobideji/aiiroverlay/blob/main/QUICKSTART.md) 开始**，了解标准的 30 天采用路径。对于初创公司和小型安全团队（5 人或更少，平台控制能力有限），[QUICKSTART-startup.md](https://github.com/jacobideji/aiiroverlay/blob/main/QUICKSTART-startup.md) 提供了以成熟度级别 2 为目标的 4 周最小可行路径。如需完整的端到端示例，请参阅 [`examples/incident-walkthrough.md`](https://github.com/jacobideji/aiiroverlay/blob/main/examples/incident-walkthrough.md)。如需框架 API 契约的可运行代码示例，请参阅 [`reference-impls/`](https://github.com/jacobideji/aiiroverlay/blob/main/reference-impls)。

关于完整的概念性阅读顺序，第 1 至 8 项为核心内容，第 9 至 15 项为工作产物。

如需自包含的表格参考（框架的矩阵视图：阶段、熔断开关阶梯、证据类型、指标、MVO 控制项、成熟度级别、剧本索引、标准对照表），请参阅 [`MATRIX.md`](https://github.com/jacobideji/aiiroverlay/blob/main/MATRIX.md)。

1. **最小可行覆盖层。** 四项控制项的详细说明：[`framework/01-minimum-viable-overlay.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/01-minimum-viable-overlay.md)
2. **心智模型。** 支配每项决策的四句话：[`framework/02-mental-model.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/02-mental-model.md)
3. **成熟度路线图。** 你的项目处于什么阶段，以及如何推进：[`framework/03-maturity-roadmap.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/03-maturity-roadmap.md)
4. **重大性与披露。** 决定适用哪条监管时钟以及何时启动的召集协议：[`framework/04-materiality-and-disclosure.md`](https://github.com/jacobideji/aiiroverlay/blob/main/framework/04-materiality-and-disclosure.md)。规范的召集触发条件（基于模式：M3+；基于条件：客户数据、外部接收方、财务操作、受监管数据、面向客户的信任影响、公众关注）被每个可能召集电话会议的剧本所引用。
5. **六项分流问题。** 第一小时纪律：[`triage/six-questions.md`](https://github.com/jacobideji/aiiroverlay/blob/main/triage/six-questions.md)。可打印卡片：[`triage/six-questions-card.md`](https://github.com/jacobideji/aiiroverlay/blob/main/triage/six-questions-card.md)。
6. **熔断开关模式。** 遏制阶梯：[`kill-switches/overview.md`](https://github.com/jacobideji/aiiroverlay/blob/main/kill-switches/overview.md)
7. **最小证据集。** 应保留什么，以及按什么顺序：[`evidence/minimum-evidence-set.md`](https://github.com/jacobideji/aiiroverlay/blob/main/evidence/minimum-evidence-set.md)
8. **端到端工作示例。** 一个合成但具体的应急响应案例，展示框架作为一个连贯系统运行（清单 → 安全模式 → 证据 → 重大性判定 → 受控重新启用 → 事后加固）：[`examples/incident-walkthrough.md`](https://github.com/jacobideji/aiiroverlay/blob/main/examples/incident-walkthrough.md)。请在阅读第 1-7 项之后阅读此内容，以了解各控制项在运营压力下如何相互交接。
9. **模板。** [`templates/ai-bom.yaml`](https://github.com/jacobideji/aiiroverlay/blob/main/templates/ai-bom.yaml)（用于 MVO-1 清单的 AI 物料清单）· [`templates/agent-privilege-matrix.csv`](https://github.com/jacobideji/aiiroverlay/blob/main/templates/agent-privilege-matrix.csv)（用于 MVO-2 模式 M3 的工具层级矩阵）
10. **对照表。** [`crosswalks/nist-ai-rmf.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/nist-ai-rmf.md)（NIST AI RMF 1.0）· [`crosswalks/nist-csf-2.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/nist-csf-2.md)（NIST CSF 2.0 和 SP 800-61 r3）· [`crosswalks/owasp-agentic-top-10.md`](https://github.com/jacobideji/aiiroverlay/blob/main/crosswalks/owasp-agentic-top-10.md)（OWASP Agentic Top 10 2026）
11. **剧本。** 已发布全部二十四个剧本（内容门禁已完成），按 [CONTENT_MAP.md](https://github.com/jacobideji/aiiroverlay/blob/main/CONTENT_MAP.md) 中描述的脉络组织：