安全预案写得再完整，如果没有演练，真正出问题时还是会乱。AI Agent 的风险又比普通系统多一层：它可能会读外部内容、调用工具、生成建议、触发流程，还可能在低置信度时不知道该不该停。
所以安全演练不能只让安全同事看文档，而应该把业务、运营、技术和值班人员拉到同一条流程里。前面写过 回滚预案、人工接管入口 和 审计日志，这篇把它们放到一次演练里跑通。
第一步是准备攻击样本
攻击样本不需要一开始就很复杂。可以从三类开始：外部文档里的提示词注入，诱导 Agent 访问越权数据的请求，以及让 Agent 跳过审批执行写入的场景。
样本最好来自真实业务，而不是只写几句通用攻击话术。比如客服工单、客户邮件、知识库草稿、合同备注、表格字段，这些地方才是 Agent 真正会读取的内容。
第二步是跑审批节点
演练时要看审批节点是否真的生效。高风险动作有没有被拦住，审批人能不能看到足够上下文，按钮是不是只剩“通过”和“拒绝”，还是可以要求补充证据、改派或暂停。
这一步和 权限矩阵 有关系。权限不是写在表里就结束，必须在真实流程里验证：谁能批准，谁只能查看，谁触发了告警。
第三步是检查接管体验
如果 Agent 判断不清，应该能进入人工接管。演练要看接管人拿到的信息是否够用：用户目标、工具轨迹、引用来源、风险提示、建议动作和可回滚范围。
很多流程不是没有接管，而是接管人看不到上下文，只能重新问一遍。这样会拖慢处理，也容易让同一个问题在多个群里重复传播。
第四步是验证回滚
演练不要停在发现问题。要继续验证：能不能暂停自动化，能不能找到受影响对象，能不能恢复旧版本，能不能生成复盘材料，能不能把样本放进评测集。
这和 失败样本库 是闭环。演练中发现的每个有效样本，都应该成为后续上线前的回归测试题。
总结
用 AI Agent 做安全演练，重点不是表演一场攻防，而是把攻击样本、审批节点、人工接管、审计日志和回滚流程一起跑。跑完以后，团队才知道预案哪里能用，哪里只是写在文档里。
