FortiOS 8.0 MCP/A2A智能体协议支持技术洞察

一、引言：智能体AI时代的网络安全新挑战

1.1 背景与动因

2024年至2025年，人工智能技术正经历从"大语言模型对话"向"自主智能体协作"的深刻范式转变。AI智能体（AI Agent）不再仅仅是响应用户查询的工具，而是能够自主规划、调用工具、协同工作的智能实体。根据行业预测，到2026年超过80%的企业将在生产环境中部署AI智能体应用，这一趋势带来了前所未有的网络安全挑战。

AI智能体的核心特征包括：自主决策能力、多工具调用、多系统协同、以及复杂的数据流转。这些特性使得传统的网络安全防护体系面临严峻考验——智能体可以自主访问敏感数据、自主调用外部API、自主与其他智能体交换信息，而这些行为在传统网络监控体系中往往难以被识别和审计。

在此背景下，Fortinet在FortiOS 8.0版本中率先引入了对MCP（Model Context Protocol）和A2A（Agent-to-Agent Protocol）两种智能体通信协议的原生支持。这一举措标志着主流网络安全厂商正式将AI智能体协议纳入企业安全防护体系，为应对新兴AI工作负载提供了关键的技术支撑。

1.2 FortiOS 8.0 Agentic AI协议支持概述

FortiOS 8.0的Agentic AI协议支持功能建立在成熟的应用控制（Application Control）模块之上，通过新增的GenAI（生成式人工智能）应用签名库，实现对MCP和A2A协议的深度检测与监控。该功能的核心价值体现在以下几个维度：

协议层面的可见性：能够识别并记录智能体协议的所有关键操作，包括方法调用、参数传递、消息内容等，为安全团队提供前所未有的AI流量可视化能力。

风险评估能力：基于协议特征和上下文信息，FortiGate能够评估智能体通信的风险等级，帮助安全团队识别异常行为和潜在的安全威胁。

审计与合规支持：通过增强的日志字段和FortiView可视化功能，企业可以满足AI应用审计和合规要求，建立完整的AI流量审计轨迹。

1.3 文章结构说明

本文将从协议原理、检测机制、配置详解、业务场景四个维度，对FortiOS 8.0的MCP/A2A协议支持进行深度技术分析。我们将首先解析MCP和A2A两种协议的技术架构和通信机制，然后深入探讨FortiGate的检测原理和签名体系，接着提供详实的配置指南，最后通过实际业务场景展示该功能的应用价值。

二、协议原理深度分析

2.1 Model Context Protocol（MCP）技术架构

2.1.1 MCP协议定位与设计目标

Model Context Protocol是由Anthropic公司主导开发的开放标准协议，旨在为AI模型与外部工具、数据源之间的连接提供统一规范。MCP的设计哲学可以概括为"AI应用的USB标准"——正如USB接口统一了各类外设的连接方式，MCP试图为AI模型与各种工具资源的交互建立统一的通信规范。

MCP协议的核心设计目标包括：

标准化接口：为AI应用与工具、数据源之间的交互定义统一的接口规范，降低集成复杂度，促进生态系统繁荣。

安全性优先：协议内置认证授权框架，支持基于令牌的身份验证，确保AI访问外部资源的权限得到精细控制。

可扩展架构：采用模块化设计，支持根据应用需求选择性实现不同功能组件，便于轻量级和复杂应用的差异化部署。

2.1.2 协议分层架构

MCP协议采用分层架构设计，从底层到顶层依次为：

传输层（Transport Layer）

MCP支持多种传输机制，主流实现包括：

• STDIO传输：适用于本地进程间通信，AI应用与工具服务运行在同一主机上时使用标准输入输出进行数据交换。
• HTTP/SSE传输：适用于网络化部署，客户端通过HTTP POST发送请求，服务器通过Server-Sent Events（SSE）推送响应，支持实时双向通信。

在FortiOS 8.0的检测场景中，主要涉及HTTP传输方式的MCP流量，典型的端点路径包括`/mcp`、`/sse`等。

消息层（Message Layer）

MCP基于JSON-RPC 2.0规范定义消息格式，所有协议消息必须符合JSON-RPC 2.0的结构要求。协议定义了三种消息类型：

功能层（Feature Layer）

MCP协议定义了两类核心功能组件：

服务器端功能（Server Features）：

• Resources（资源）：允许服务器向客户端暴露可读取的数据资源，如文件、数据库记录、API响应等。
• Prompts（提示模板）：预定义的提示词模板，可携带动态参数，便于复用复杂的提示工程。
• Tools（工具）：服务器暴露的可执行函数，AI模型可通过调用工具执行实际操作，如发送邮件、查询数据库、调用API等。

客户端功能（Client Features）：

• Sampling（采样）：允许服务器请求客户端进行AI推理，可用于实现安全过滤、人机协作等场景。
• Roots（根目录）：定义客户端允许AI访问的文件系统根目录范围。

2.1.3 MCP会话生命周期

MCP通信遵循严格的状态机管理，会话生命周期包含以下阶段：

初始化阶段（Initialization）

Client → Server: initialize (capabilities, protocolVersion) Server → Client: initialized (serverInfo, capabilities)

客户端首先发送`initialize`请求，声明支持的协议版本和客户端能力；服务器回复`initialized`通知，确认协商后的能力集。这是MCP通信的必要握手过程，在FortiGate日志中对应`Protocol.MCP`签名，危险等级标记为"elevated"。

功能发现阶段（Capability Discovery）

客户端可查询服务器支持的功能列表：

• `tools/list`：获取可用工具列表
• `resources/list`：获取可用资源列表
• `prompts/list`：获取可用提示模板列表

工具调用阶段（Tool Invocation）

这是MCP最核心的应用场景。典型的工具调用流程如下：

Client → Server: tools/call (name, arguments) Server → Client: tools/list_changed (notification) Server → Client: tools/call (result)

AI模型根据任务需求构造工具调用请求，服务器执行相应操作并返回结果。FortiGate日志中的`Protocol.MCP.Tools`签名即对应此类操作，记录工具名称（如`echo`）和调用参数（如`{"message":"message mcp 1"}`）。

提示获取阶段（Prompt Retrieval）

Client → Server: prompts/get (name, arguments) Server → Client: prompts/get (messages)

客户端可获取服务器提供的预定义提示模板。FortiGate日志中的`Protocol.MCP.Prompts`签名对应此类操作。

2.1.4 MCP安全模型

MCP协议内置了基于HTTP的身份验证框架，主要机制包括：

Bearer令牌认证：客户端在请求头中携带Bearer令牌，服务器验证令牌有效性后决定是否授权访问。

能力协商：服务器在初始化阶段声明其支持的能力子集，客户端根据服务器能力决定可以使用哪些功能。

参数验证：工具调用的参数需要符合预定义的schema，服务器负责参数校验和类型转换。

然而，需要注意的是，MCP协议本身并不提供端到端加密——它依赖于底层传输层的安全性保障。这意味着在HTTPS环境下，MCP通信可以获得传输层加密保护；但在HTTP环境下，MCP消息以明文传输，存在被窃听和篡改的风险。FortiOS 8.0的深度检测功能能够在启用SSL深度检测的情况下，对加密流量进行解密和内容分析。

2.2 Agent-to-Agent Protocol（A2A）技术架构

2.2.1 A2A协议定位与设计背景

Agent-to-Agent Protocol（简称A2A）是由Google主导开发的开放协议，2025年初正式捐赠给Linux Foundation作为开源项目管理。A2A的核心使命是解决来自不同厂商、使用不同框架构建的AI智能体之间的互操作性问题。

与MCP专注于"智能体-工具"交互不同，A2A专注于"智能体-智能体"通信。两者的关系可以类比为：MCP是智能体的"手"，用于与外部世界交互；A2A是智能体的"嘴"，用于与其他智能体对话。

2.2.2 A2A协议核心概念

Agent Card（智能体卡片）

A2A协议定义了`Agent Card`作为智能体的元数据描述，托管在`.well-known/agent-card.json`端点。每个智能体卡片包含以下关键信息：

• 标识信息：智能体名称、版本、提供商
• 能力声明：智能体支持的任务类型
• 端点信息：智能体的A2A服务地址
• 认证要求：访问该智能体需要的认证方式

{  "name": "Research Agent",  "version": "1.0.0",  "capabilities": ["web_search", "document_analysis"],  "endpoint": "https://agent.example.com/a2a" }

在FortiGate日志中，访问`.well-known/agent-card.json`端点的请求对应`Protocol.A2A`签名。

Task（任务）

A2A以"任务"为基本单位组织工作流。每个任务具有唯一标识符和生命周期状态：

Message（消息）

消息是智能体之间传递信息的载体，支持多种格式：

• Text Part：纯文本消息
• Data Part：结构化数据
• File Part：文件附件

A2A支持同步和流式两种消息传递模式：

• 同步模式：客户端发送请求，等待完整响应
• 流式模式：通过Server-Sent Events实时接收增量响应

在FortiGate日志中，流式消息对应`Protocol.A2A.Message`签名，端点路径为`/v1/message:stream`。

2.2.3 A2A通信流程

典型的A2A通信流程包含以下步骤：

第一步：智能体发现

Client Agent → Server Agent: GET /.well-known/agent-card.json Server Agent → Client Agent: Agent Card (JSON)

客户端通过获取目标智能体的Agent Card了解其能力和访问要求。这是A2A通信的起点，对应FortiGate日志中的`Protocol.A2A`签名。

第二步：建立连接

客户端根据Agent Card中的信息建立A2A连接，可能涉及认证令牌的获取和交换。

第三步：任务提交

Client Agent → Server Agent: POST /v1/message {  "method": "tasks/send",  "params": {    "taskId": "uuid",    "message": {...}  } }

客户端向服务器提交任务请求，包含任务标识和消息内容。

第四步：结果获取

// 同步模式 Server Agent → Client Agent: tasks/send$result // 流式模式 Server Agent → Client Agent: POST /v1/message:stream (SSE) event: result data: {...chunk1...} event: result data: {...chunk2...}

服务器完成任务后返回结果，或通过流式接口实时推送中间结果。

2.3 MCP与A2A的互补关系

2.3.1 协议定位差异

MCP和A2A虽然都是AI智能体相关的协议，但解决的是不同层面的问题：

2.3.2 协同工作模式

在实际AI应用架构中，MCP和A2A通常协同工作，形成完整的智能体通信体系：

┌─────────────────────────────────────────────────────────┐ │                      AI 智能体                          │ ├─────────────────────────────────────────────────────────┤ │                                                         │ │   ┌───────────┐         ┌───────────┐                  │ │   │   MCP     │         │   A2A     │                  │ │   │ (工具层)  │         │ (协作层)  │                  │ │   └─────┬─────┘         └─────┬─────┘                  │ │         │                       │                       │ │         ▼                       ▼                       │ │   ┌───────────┐         ┌───────────┐                  │ │   │ 工具/数据 │         │ 协作智能体│                  │ │   │   源      │         │           │                  │ │   └───────────┘         └───────────┘                  │ │                                                         │ └─────────────────────────────────────────────────────────┘

例如，一个"智能研究助手"可能：

• 通过MCP调用搜索引擎API获取信息
• 通过MCP访问本地文档数据库
• 通过A2A与其他专业智能体（如数据分析智能体）协作
• 通过A2A向人类专家请求确认

FortiOS 8.0同时支持MCP和A2A协议的检测，能够完整监控智能体的两类核心通信行为。

三、FortiOS 8.0检测机制深度解析

3.1 检测架构总览

FortiOS 8.0对MCP/A2A协议的检测建立在成熟的应用控制框架之上，通过新增的GenAI应用签名库实现协议识别。这种设计带来了以下优势：

统一管理：MCP/A2A检测与应用控制、URL过滤等安全功能共享策略框架，便于统一管理。

性能优化：复用了应用控制的高性能检测引擎，无需引入额外的处理开销。

功能扩展：可以与IPS、SSL深度检测等模块联动，实现多维度的安全防护。

3.2 GenAI应用签名体系

3.2.1 签名分类

FortiGate针对MCP和A2A协议定义了以下应用签名：

MCP相关签名：

A2A相关签名：

3.2.2 签名与GenAI分类

上述签名统一归属`GenAI`（生成式人工智能）应用分类，分类ID为36。在应用控制策略中，可以通过以下方式匹配所有GenAI相关协议：

config application list    edit "GenAI"        config entries            edit 1                set category 36                set action pass            next        end    next end

3.2.3 签名更新机制

GenAI签名库通过FortiGuard安全订阅服务进行更新。数据库版本可通过以下命令查看：

# diagnose autoupdate versions | grep -A 6 GenAI GenAI Application Definitions --------- Version: 33.00033 signed Contract Expiry Date: Thu Jan 3 2030 Last Updated using scheduled update on Tue Jun 24 20:59:43 2025 Last Update Attempt: Tue Jun 24 23:10:03 2025 Result: No Updates

需要注意的是，GenAI数据库更新需要满足以下条件：

• 设备持有有效的FMWR（FortiGuard Web Security）合同
• 至少有一条防火墙策略启用了应用控制配置文件
• 设备能够访问FortiGuard更新服务器

3.3 深度检测与扩展日志

3.3.1 SSL深度检测依赖

部分GenAI签名需要启用SSL深度检测才能完整检测。判断签名是否需要深度检测的方法：

1. 访问Security Profiles → Application Signatures
2. 定位目标签名（如`DevCycle_MCP.Tools`）
3. 悬停查看签名详情弹窗
4. 检查Requirements字段是否包含SSL Deep Inspection

┌─────────────────────────────────┐ │  DevCycle_MCP.Tools            │ ├─────────────────────────────────┤ │  Category: GenAI               │ │  Risk Rating: Low             │ │  Requirements: SSL Deep...    │ ← 需要深度检测 │                                 │ │  [View Details] [Create Rule]  │ └─────────────────────────────────┘

在启用深度检测后，FortiGate能够解密HTTPS流量中的MCP/A2A通信内容，从而提取AI方法名、函数名、参数等关键信息。

3.3.2 扩展日志字段

启用扩展日志（Extended Log）后，应用控制日志将包含丰富的AI协议信息。以下是MCP相关的扩展日志字段：

A2A协议相关的扩展日志字段包括：

3.3.3 日志格式示例

MCP工具调用日志：

date=2026-02-27 time=10:53:36 eventtime=1772218415610539888 logid="1059028704" type="utm" subtype="app-ctrl" eventtype="signature" level="information" vd="vd1" appid=59072 srcip=10.1.100.126 dstip=172.16.200.214 srcport=60037 dstport=3333 srcintf="port2" dstintf="port1" proto=6 service="HTTP" direction="outgoing" policyid=1 sessionid=439 applist="g-default" action="pass" appcat="GenAI" app="Protocol.MCP.Tools" hostname="172.16.200.214" url="/mcp" httpmethod="POST" msg="GenAI: Protocol.MCP.Tools" usecase="Utility_Tools" aimethod="tools/call" aifunc="echo" aiargs=""message":"message mcp 1"" cloudaiagent="APP=Protocol MCP, UseCase=Utility_Tools,    Method=tools/call, Function=echo,    Arguments='"message":"message mcp 1"'" apprisk="low"

A2A消息传输日志：

date=2026-02-27 time=11:09:10 eventtime=1772219349846174869 logid="1059028704" type="utm" subtype="app-ctrl" eventtype="signature" level="information" vd="vd1" appid=59162 srcip=10.1.100.126 dstip=172.16.200.195 srcport=60174 dstport=10101 srcintf="port2" dstintf="port1" proto=6 service="HTTP" direction="outgoing" policyid=1 sessionid=828 applist="g-default" action="pass" appcat="GenAI" app="Protocol.A2A.Message" hostname="172.16.200.195" url="/v1/message:stream" httpmethod="POST" msg="GenAI: Protocol.A2A.Message" usecase="Utility_Tools" aimethod="message/stream" aimessage="message a2a 2" cloudaiagent="APP=Protocol A2A, UseCase=Utility_Tools,    Method=message/stream, Message='message a2a 2'" apprisk="low"

3.4 FortiView AI应用可视化

FortiOS 8.0在FortiView模块中新增了AI Applications和AI Use Cases两个视图，为安全分析师提供直观的AI流量分析能力。

3.4.1 FortiView AI Applications

访问路径：Dashboard → FortiView → FortiView AI Applications

该视图以应用为单位展示AI流量统计，包含以下信息维度：

• 协议分布：MCP vs A2A流量占比
• 会话数量：各协议的会话计数
• 源/目标分析：发起AI通信的终端和目标服务器

下钻分析支持查看单个协议的详细会话列表，关键字段包括：

3.4.2 FortiView AI Use Cases

访问路径：Dashboard → FortiView → FortiView AI Use Cases

该视图以用例为单位组织AI流量，当前版本支持`Utility_Tools`（工具类）用例分类。这一设计反映了AI智能体应用的主要场景分类方式，便于安全团队按业务场景理解和分析AI流量。

3.5 检测限制与已知约束

3.5.1 代理模式内联IPS限制

当防火墙策略使用代理检查模式（Proxy Mode）时，不支持MCP和A2A协议的深度检测。这是因为代理模式下的内联IPS处理与GenAI签名检测存在冲突。

解决方案：对于需要使用代理检查模式的场景，需要禁用内联IPS：

config ips settings    set proxy-inline-ips disable end

此配置对于使用代理模式的所有防火墙策略和显式代理策略生效。

3.5.2 NGFW安全策略限制

NGFW（下一代防火墙）安全策略模式下不支持MCP和A2A协议检测。企业如果需要使用NGFW安全策略的高级功能（如基于用户的策略控制），将无法同时启用GenAI协议检测。

3.5.3 签名覆盖范围

当前GenAI签名库主要覆盖主流AI框架和工具的MCP/A2A实现。对于非标准或私有协议扩展，可能无法被准确识别。企业如有特殊的AI应用需求，建议与Fortinet支持团队沟通签名定制。

四、配置详解与最佳实践

4.1 基础配置流程

4.1.1 配置前提条件

在开始配置前，请确保满足以下条件：

1. 系统版本：FortiGate运行FortiOS 8.0.0或更高版本
2. 许可证状态：设备具有有效的FortiGuard服务订阅
3. SSL证书：已配置用于深度检测的CA证书

4.1.2 配置步骤总览

┌─────────────────────────────────────────────────────────┐ │                    配置流程总览                         │ ├─────────────────────────────────────────────────────────┤ │                                                         │ │  步骤1: 创建应用控制传感器                              │ │         ↓                                               │ │  步骤2: 启用扩展日志（可选但推荐）                      │ │         ↓                                               │ │  步骤3: 配置SSL深度检测配置文件                          │ │         ↓                                               │ │  步骤4: 应用配置到防火墙策略                            │ │         ↓                                               │ │  步骤5: 验证检测效果                                    │ │                                                         │ └─────────────────────────────────────────────────────────┘

4.2 GUI配置指南

4.2.1 创建GenAI应用控制传感器

操作路径：Security Profiles → Application Control

1. 点击Create New创建新传感器
2. 配置基本参数：
   • Name：填写传感器名称（如`GenAI-Monitoring`）
   • Comments：添加描述说明
3. 在Categories区域找到Generative AI分类
4. 将该分类设置为Monitor（监控）模式
5. 点击OK保存配置

配置说明：

• 选择Monitor而非Block的原因是：新功能部署初期，建议先观察AI流量特征，确认检测准确性后再考虑阻断策略。
• 应用控制支持细粒度配置，可以针对特定签名设置不同动作。

4.2.2 启用扩展日志

在创建或编辑应用控制传感器时：

1. 展开Extended Logging选项
2. 将其设置为Enable

扩展日志对于获取完整的AI协议信息至关重要，建议始终启用。

4.2.3 配置SSL深度检测

操作路径：Security Profiles → SSL/SSH Inspection

1. 创建或编辑SSL检测配置文件
2. 选择Deep Inspection模式
3. 确保CA证书已正确导入并分发到客户端
4. 可根据需要配置白名单、排除列表等

注意事项：

• 深度检测涉及SSL/TLS解密，可能带来性能开销
• 对于已知可信的AI服务，可以配置排除规则绕过解密
• 某些AI服务（如强制证书固定的场景）可能与深度检测冲突

4.2.4 应用配置到防火墙策略

操作路径：Policy & Objects → Firewall Policy

1. 创建或编辑目标防火墙策略
2. 在Security Profiles区域：
   • 启用UTM Status
   • 选择创建的Application List（如`GenAI-Monitoring`）
   • 选择SSL/SSH Inspection配置文件（如`new-deep-inspection`）
3. 确保Action设置为Accept
4. 配置其他必要参数（源/目的接口、地址、服务等）
5. 点击OK保存

4.3 CLI配置详解

4.3.1 创建GenAI应用控制配置

config application list    edit "GenAI-Monitoring"        set extended-log enable        config entries            edit 1                set category 36                set action pass            next        end    next end

命令说明：

• `edit "GenAI-Monitoring"`：创建名为GenAI-Monitoring的应用控制配置
• `set extended-log enable`：启用扩展日志记录
• `config entries`：配置匹配的签名条目
• `set category 36`：匹配GenAI（生成式AI）分类，ID为36
• `set action pass`：动作为放行

4.3.2 应用到防火墙策略

config firewall policy    edit 1        set uuid 13a56522-b12b-51f0-1d35-f6ecfe4e2568        set srcintf "port2"        set dstintf "port1"        set action accept        set srcaddr "all"        set dstaddr "all"        set schedule "always"        set service "ALL"        set utm-status enable        set ssl-ssh-profile "new-deep-inspection"        set application-list "GenAI-Monitoring"        set nat enable    next end

命令说明：

• `set utm-status enable`：启用UTM安全功能
• `set ssl-ssh-profile "new-deep-inspection"`：应用SSL深度检测
• `set application-list "GenAI-Monitoring"`：应用GenAI监控配置

4.3.3 配置代理模式例外（如需要）

对于使用代理检查模式的场景：

config ips settings    set proxy-inline-ips disable end

此配置禁用了代理模式下的内联IPS，允许GenAI签名正常工作。

4.4 高级配置场景

4.4.1 细粒度签名控制

如果需要对特定MCP/A2A签名设置不同策略，可以使用签名ID进行配置：

config application list    edit "GenAI-Detailed"        set extended-log enable        config entries            edit 1                set category 36                set action pass            next            edit 2                set signature "Protocol.MCP"                set action monitor                set log enable            next            edit 3                set signature "Protocol.MCP.Tools"                set action pass                set log enable            next        end    next end

4.4.2 阻断特定AI服务

对于需要阻断的AI服务，可以创建更严格的策略：

config application list    edit "GenAI-Blocked"        set extended-log enable        config entries            edit 1                set category 36                set action block            next        end    next end

4.4.3 基于用户的AI访问控制

结合FortiGate的用户认证功能，可以实现基于用户的AI访问控制：

config firewall policy    edit 100        set srcintf "port2"        set dstintf "port1"        set action accept        set srcaddr "all"        set dstaddr "all"        set schedule "always"        set service "ALL"        set utm-status enable        set ssl-ssh-profile "deep-inspection"        set application-list "GenAI-Monitoring"        set groups "AI-Developer-Group"        set nat enable    next end

此配置仅对`AI-Developer-Group`组成员的流量进行GenAI检测和记录。

4.5 验证与故障排查

4.5.1 验证配置生效

1. 检查应用控制状态：

diagnose application appctrl list

1. 检查签名库状态：

diagnose autoupdate versions | grep GenAI

1. 触发测试流量：在网络中启动一个MCP客户端应用，访问MCP服务器
2. 检查日志：

# GUI路径 Log & Report → Security Events → Application Control Logs # CLI命令 fnsort -l | grep -E "MCP|A2A|GenAI"

4.5.2 常见问题排查

问题1：日志中缺少扩展字段

可能原因：

• 扩展日志未启用
• SSL深度检测未启用
• 签名不需要深度检测

解决方法：确认应用控制配置中`extended-log`已启用，且防火墙策略关联了SSL深度检测配置。

问题2：MCP流量未被识别

可能原因：

• GenAI签名库版本过旧
• MCP服务器使用非标准端口或路径
• 流量被其他策略先匹配

解决方法：更新GenAI签名库，检查MCP服务器配置，确认防火墙策略顺序。

问题3：代理模式下检测失效

这是已知限制，参考"检测限制与已知约束"章节的说明进行配置调整。

五、业务场景深度分析

5.1 企业AI工作负载安全监控

5.1.1 场景描述

某大型科技公司正在部署基于AI智能体的软件开发平台。开发团队使用各种AI工具辅助代码编写、测试和部署。这些AI工具通过MCP协议连接内部的代码仓库、CI/CD系统和文档库。

安全挑战：

• 需要监控开发人员如何使用AI工具
• 需要审计AI工具访问了哪些内部资源
• 需要检测异常的AI行为（如大量数据下载）

FortiOS 8.0解决方案：

部署架构： ┌──────────────┐     MCP/A2A      ┌──────────────┐ │  开发人员    │ ───────────────→│  AI 智能体   │ │  终端        │                  │  服务器      │ └──────────────┘                  └──────────────┘       ↑                                   │       │                                   │       │         FortiGate                 │       │    (MCP/A2A 检测 + 日志)          │       │                                   │       └───────────────────────────────────┘

实施效果：

• 记录所有MCP工具调用，包括调用的函数名和参数
• 识别异常的AI行为模式（如短时间内大量读取文件）
• 生成符合合规要求的AI使用审计报告

5.1.2 关键配置

# 创建针对开发网络的AI监控策略 config firewall policy    edit 50        set name "DevNet-GenAI-Monitoring"        set srcintf "dev-segment"        set dstintf "ai-server-segment"        set action accept        set srcaddr "all"        set dstaddr "ai-servers"        set schedule "always"        set service "ALL"        set utm-status enable        set ssl-ssh-profile "deep-inspection"        set application-list "GenAI-Monitoring"        set nat disable    next end

5.2 多智能体协作安全

5.2.1 场景描述

某金融机构部署了多个专业AI智能体协同处理客户请求：

• 客服智能体：接收客户咨询，初步理解需求
• 风控智能体：评估交易风险
• 产品智能体：提供产品信息
• 合规智能体：确保操作符合监管要求

这些智能体通过A2A协议进行协作，交换客户信息和决策建议。

安全挑战：

• 智能体间交换的数据可能包含敏感客户信息
• 需要确保智能体协作符合监管要求
• 需要追踪完整的智能体协作链路用于审计

FortiOS 8.0解决方案：

FortiGate部署在智能体网络边界，通过A2A协议检测实现：

1. 消息内容记录：记录所有A2A消息的基本信息
2. 协作拓扑可视化：通过FortiView展示智能体之间的通信关系
3. 异常行为检测：识别异常的智能体通信模式

5.2.2 FortiView协作拓扑分析

通过FortiView AI Use Cases视图，安全团队可以：

• 识别哪些智能体之间通信频繁
• 发现非预期的智能体协作关系
• 追踪特定客户请求的智能体协作链路

5.3 AI数据泄露防护

5.3.1 场景描述

某医疗保健机构使用AI智能体辅助医生诊断。AI智能体需要访问患者的电子病历（EHR），但必须确保：

• 只能访问就诊患者的相关记录
• 诊断结论不能被未授权人员获取
• AI的使用符合HIPAA合规要求

安全挑战：

• AI可能"无意"访问大量敏感数据
• 需要防止通过AI渠道的数据外泄
• 需要建立完整的AI数据访问审计轨迹

FortiOS 8.0解决方案：

结合应用控制和SSL检测，FortiGate可以：

1. 可见性增强：识别AI智能体何时访问了包含敏感数据的系统
2. 行为基线：建立AI正常行为基线，检测异常访问模式
3. 日志追溯：提供完整的AI数据访问日志，满足合规审计需求

5.3.2 深度检测与数据保护联动

┌─────────────────────────────────────────────────────────┐ │                    防护策略层级                         │ ├─────────────────────────────────────────────────────────┤ │                                                         │ │  L7: 应用控制 - MCP/A2A协议识别与日志                   │ │  ↓                                                      │ │  L7: DLP - 敏感数据检测与脱敏                          │ │  ↓                                                      │ │  L4: SSL检测 - 加密流量内容分析                        │ │  ↓                                                      │ │  L3: 防火墙 - 网络层访问控制                           │ │                                                         │ └─────────────────────────────────────────────────────────┘

5.4 合规与审计支持

5.4.1 场景描述

某跨国企业需要满足多个司法管辖区的AI监管要求，包括：

• 欧盟AI法案（EU AI Act）关于高风险AI系统的透明度要求
• 各国的AI数据本地化要求
• 行业特定的AI使用报告要求

FortiOS 8.0合规价值：

5.4.2 日志导出配置

# 配置Syslog服务器 config log syslogd setting    set status enable    set server "syslog.example.com"    set port 514 end # 配置日志过滤器，仅导出GenAI相关日志 config log syslogd filter    set filter "subtype app-ctrl AND appcat GenAI" end

5.5 智能家居与IoT AI集成

5.5.1 场景描述

智能家居平台使用本地AI助手协调各种IoT设备。AI助手通过MCP协议连接：

• 智能照明系统
• 温控系统
• 安防摄像头
• 语音助手

安全挑战：

• 家庭网络中的AI流量需要识别
• 防止恶意AI应用利用IoT设备漏洞
• 家长控制需要识别AI交互内容

虽然这是消费级场景，但FortiOS的企业安全理念同样适用——通过网络边缘的AI协议检测，为家庭用户提供额外的安全保障。

六、安全考量与最佳实践

6.1 部署策略建议

6.1.1 渐进式部署

鉴于MCP/A2A协议检测是新功能，建议采用渐进式部署策略：

第一阶段：仅监控

• 配置为Monitor/Pass模式
• 仅记录日志，不阻断任何流量
• 收集基线数据，了解组织内的AI流量特征

第二阶段：告警驱动

• 配置关键签名的告警（如`Protocol.MCP`的elevated风险事件）
• 安全团队审阅告警，调整策略

第三阶段：策略优化

• 基于观察到的模式，细化策略配置
• 考虑对特定场景实施阻断

6.1.2 网络分段建议

建议将AI服务器部署在独立的网络分段：

┌─────────────────────────────────────────────────────────┐ │                    网络分段架构                         │ ├─────────────────────────────────────────────────────────┤ │                                                         │ │  [用户网络] ──┬── [FortiGate] ── [AI服务器网络]         │ │               │           │                            │ │               │           └── MCP/A2A检测              │ │               │           └── 日志记录                 │ │               │                                         │ │               └── 常规互联网流量                        │ │                                                         │ └─────────────────────────────────────────────────────────┘

6.2 隐私保护考量

6.2.1 数据最小化

启用深度检测时，FortiGate会解密并检查AI通信内容。需要考虑：

• 仅对必要的流量启用深度检测
• 配置敏感数据的自动脱敏或排除规则
• 明确告知用户AI通信可能被检查的政策

6.2.2 日志数据保护

AI日志可能包含敏感信息，需要妥善保护：

• 限制访问日志的权限
• 配置日志加密存储
• 定期清理过期日志

6.3 性能优化

6.3.1 深度检测性能影响

SSL深度检测会带来一定的性能开销。建议：

• 仅在必要的策略上启用深度检测
• 使用硬件加速（如FortiGate的SSL加速芯片）
• 监控CPU/内存使用率，确保不影响正常业务

6.3.2 日志量管理

启用扩展日志后，日志量可能显著增加：

• 配置日志磁盘空间告警
• 启用日志自动归档和清理
• 考虑使用日志采样或聚合策略

6.4 与其他安全功能集成

6.4.1 与IPS联动

┌─────────────────────────────────────────────────────────┐ │                 安全功能集成架构                        │ ├─────────────────────────────────────────────────────────┤ │                                                         │ │  MCP/A2A检测 ──→ 威胁识别 ──→ IPS签名阻断              │ │       │                                                    │ │       ├──→ 风险评估 ──→ 应用控制阻断                    │ │       │                                                    │ │       └──→ 合规记录 ──→ 日志/SIEM                       │ │                                                         │ └─────────────────────────────────────────────────────────┘

6.4.2 与威胁情报联动

将AI协议检测与Fortinet FortiGuard威胁情报结合：

• 自动识别恶意的AI服务器
• 阻断已知恶意的MCP/A2A端点
• 获取最新的AI威胁情报更新

七、总结与展望

7.1 功能价值总结

FortiOS 8.0引入的MCP/A2A智能体协议支持，标志着企业网络安全领域正式迈入AI原生安全时代。这一功能的核心价值体现在：

可见性提升：首次在网络层实现了对AI智能体通信协议的完整识别和监控，填补了传统安全工具的盲区。

风险识别：通过签名匹配和风险评估，帮助安全团队识别异常的AI行为，防患于未然。

合规支撑：为受监管行业提供了AI活动审计的技术手段，满足日益严格的AI监管要求。

生态整合：作为FortiGate安全架构的一部分，可与其他安全功能无缝集成，提供全面的安全防护。

7.2 技术发展趋势

展望未来，AI智能体协议支持功能预计将沿着以下方向发展：

协议覆盖扩展：随着AI智能体生态的演进，新的通信协议将不断涌现。Fortinet有望持续扩展GenAI签名库，覆盖更多协议变体。

检测能力增强：从当前的应用签名检测，向更深入的语义分析发展，例如识别AI提示注入攻击（Prompt Injection）。

自动化响应：结合SOAR（安全编排自动化与响应）能力，实现基于AI协议检测的自动威胁响应。

与AI安全结合：与企业AI治理平台集成，将网络层检测与企业AI使用策略统一管理。

7.3 实施建议

对于计划部署FortiOS 8.0 MCP/A2A检测功能的企业，建议：

1. 充分评估：在部署前评估AI智能体在组织内的使用情况，确定监控范围。
2. 分步实施：采用渐进式部署策略，从监控模式开始，逐步过渡到策略控制。
3. 团队准备：安全团队需要理解AI智能体协议的基本原理，以便有效解读检测结果。
4. 流程优化：建立针对AI协议检测事件的响应流程和责任矩阵。
5. 持续改进：定期审视检测策略的有效性，根据业务发展和技术演进持续优化。

7.4 局限性说明

本文的分析基于FortiOS 8.0.0版本的公开文档，实际功能表现可能因具体版本和配置而异。部分高级功能（如NGFW安全策略集成）的支持情况，建议参考Fortinet官方文档的最新更新，或咨询技术支持团队确认。

附录：快速配置参考

A.1 最小配置（仅监控）

# 1. 创建应用控制配置 config application list    edit "GenAI-Monitor"        set extended-log enable        config entries            edit 1                set category 36                set action pass            next        end    next end # 2. 应用到防火墙策略 config firewall policy    edit 99        set srcintf "internal"        set dstintf "external"        set action accept        set utm-status enable        set ssl-ssh-profile "deep-inspection"        set application-list "GenAI-Monitor"    next end

A.2 查看GenAI签名库状态

diagnose autoupdate versions | grep -A 6 GenAI

A.3 查看AI协议日志

# 查看最近的MCP/A2A日志 fnsort -l | grep -E "Protocol\.MCP|Protocol\.A2A" # 按AI方法统计 fnsort -l | grep aimethod | awk -F'aimethod=' '{print $2}' | awk '{print $1}' | sort | uniq -c

A.4 FortiView AI应用访问

GUI路径：Dashboard → FortiView → FortiView AI Applications