F5 AI Gateway：Agent 流量为什么不只是模型路由

采购时要验证政策执行是否真正到达下游工具与结果。

模型网关负责选供应商和计算 Token；Agent 网关还要回答工具调用是否允许、属于谁，以及模型已经触发外部动作后如何停止。F5 8 月 18 日更新 AI Gateway，正好把这个差异推到企业市场。

先说结论

• F5 将增强网关定位为模型、Agent 与工具的统一政策点。
• 成本路由和安全政策需要共享上下文，但执行位置不同。
• Prompt 检查不能替代最小凭证、工具授权与 Sandbox。
• 应保存决策和下游结果，不只保存模型请求。

F5 官方公告强调 Token economics、政策和安全。真正需要检查的是网关能控制多远。

平面	决策	执行点
路由	模型、区域、预算	API Proxy
内容	哪些数据可进出	请求/响应政策
工具权限	对哪个资源执行什么动作	Tool Broker 与 Scoped Token
执行	文件、进程和网络	Sandbox/Runtime
证据	谁批准、最终发生什么	追加式 Trace 与审计库

只看得到 Prompt、看不到 Tool Execution 的 Proxy 控制是不完整的；Sandbox 也无法单独判断当前用户是否有权修改 CRM。

更实用的做法是把任务身份与 Policy Envelope 从网关传到工具与 Runtime：租户、用户、目的、预算、目标域和审批状态都随事件传播，缺失时拒绝，不要退回宽泛 Service Account。

成本也应按“验证成功的结果”计算。一个便宜模型重试浏览器任务六次，可能比一次完成的贵模型更昂贵。

Agent 改变了治理单位

产品页把 F5 声称的控制面范围具体化，采购验收仍需逐个测试执行边界。

传统 API Gateway 面对的是短事务：认证、限流、转发、返回。Agent 事务可能持续数小时，期间切换模型、启动子 Agent、运行代码、写文件，并调用使用另一套身份的业务系统。网关只看到了起点，真正的副作用却发生在下游。

因此需要贯穿全链路的 Task Identity，而不只是 Request ID。Policy Envelope 至少应包含租户、发起人、用途、数据级别、允许模型、工具 Scope、目标域、预算、过期时间和审批引用。它不能由 Agent 自己伪造，最好签名，或在 Tool Broker 处换成短期 Capability Token。

控制面要协作，但不能混成一个大 Proxy

• Model Gateway 负责供应商、区域、成本和输入输出政策；
• Tool Broker 负责动作语义、资源权限、凭证与幂等；
• Runtime 负责文件、进程、网络和资源隔离；
• Approval Service 记录谁批准了哪个具体动作；
• Evidence Store 串联决策与最终结果。

各层共享任务身份和事件格式，但应在资源附近独立拒绝。政策服务不可用时，高风险工具要 Fail Closed，不能退回权限最大的公共账号。

成本不能只算 Token

更合理的公式是：模型费用 + 工具计算 + 重试 + 人工审核 + 错误副作用的预期损失。低风险抽取可以自动切模型；生产修复则可能要求固定模型、区域、评测等级和升级路径。Fallback 也属于政策：换供应商可能同时改变数据驻留、Tool Calling 行为与上下文限制，不能被隐藏成普通容灾。

采购或自建时问什么

问题	应看到的证据
政策是否走出模型调用？	同一 Task ID 到达下游工具的 Trace
工具是否用 Scoped Credential？	单动作短期 Token，而非共享 Secret
重试如何去重？	幂等与 Replay 测试
Policy 服务故障怎么办？	不同动作等级的 Fail-open/closed 说明
Prompt 是否进入审计库？	脱敏、保留期、加密和访问模型
是否验证最终结果？	来自 System of Record 的 Outcome Event

还要做绕过测试：直接调用模型、缺少 Envelope 调工具、伪造审批、重放过期任务、强制跨 Provider Fallback。拒绝事件比漂亮 Dashboard 更能说明控制是否真实。

上线顺序

先 Observe-only，打通模型与工具事件，找出身份在哪里丢失；再执行模型白名单、预算和 Egress；随后把高价值工具放到短期凭证与后果边界审批后面；最后才做动态成本路由和自动修复。原始 Prompt 不应默认进入所有运维面板，安全团队通常只需要分类和政策决策。

常见问题

AI Gateway 能解决提示注入吗？

只能检测部分模式。真正限制损失的仍是工具 Scope、Sandbox、审批和事后状态验证。

Service Mesh 是否足够？

Mesh 擅长传输身份与网络政策，但通常不了解模型预算、工具语义和审批，可作为其中一层，不能代替完整治理。

结论

Gateway 产生的政策事件应进入完整的Agent Observability、Logging 与 Tracing，下游执行则要符合生产级 Agent Guardrails，不能停在 Prompt 检查。

F5 的动作反映了真实变化：模型调用只是 Agent 事务的一环。单个网关无法执行整条链，但可以统一传播身份与政策，并从各边界收集证据。评估产品时应检查它是否真正触达工具凭证、Sandbox 网络、审批和最终结果；如果止于模型 endpoint，它仍只是贴了 Agent 标签的模型网关。