CrewAI
0.80.0 (commit 4ca785e)用于编排基于角色分工的多智能体协作工作流框架。
本项独立技术评估严格针对 CrewAI 0.80.0 (commit 4ca785e) 版本的默认架构机制与工程特征观察，不代表对任何后续上游版本或您具体业务系统的安全背书或生产放行批准。Agent 在生产环境中的实际安全边界，严格取决于您的外置工具沙箱、网络出站白名单与两阶段审批流设计。
评审协议 v1.1；应在 2026年12月30日 前复核。披露状态：不适用——本档案记录公开架构观察，未开启私下漏洞披露。
证据等级：A = 可复现观察；B = 版本关联文档或源码；C = 证据不足或超出评审范围。
部署证据与观察范围概要
Agent 迭代上限与可选的 Docker 代码执行提供了有限边界，但自定义工具、委派上下文、遥测归属和副作用恢复仍由部署方负责。
五维工程控制边界与依赖说明
代码执行需要显式启用，且默认采用 Docker 支持的安全模式；但任意自定义工具仍会继承应用进程赋予的权限。
Agent 具有默认最大迭代次数，并可配置每分钟请求限制。这些限制能停止后续推理调用，但不会撤销已经发生的工具副作用。
委派工具通过 Pydantic 校验任务、上下文和协作者字段结构，但源码不能证明委派内容具备语义校验或信任隔离。
顺序与层级执行可以协调任务结果，但复核源码未建立针对外部工具写入的事务回滚或补偿动作。
框架原生创建 OpenTelemetry Span，匿名遥测默认开启；其默认导出目标是框架遥测服务，而非部署方自有审计链路。
企业部署建议补齐的硬控制
- 让自定义工具运行在最小权限服务边界后方，避免继承编排器进程身份
- 将委派任务与上下文字符串视为不可信输入，在下游工具调用前执行结构与策略校验
- 为每个 Crew 明确设置迭代、请求、Token、时间与外部副作用限额
- 接入部署方自有追踪，并为可变外部集成实现幂等键或补偿动作
概述
CrewAI 通过顺序或层级任务流程协调基于角色分工的 Agent。被复核版本提供了实用的执行上限和类型化委派参数，但这些机制本身不会隔离自定义工具，也不能在 Agent 生成内容与下游动作之间建立信任边界。
审查范围与版本基线
- 官方仓库：crewAIInc/crewAI（MIT 许可证）。
- 评审版本：
0.80.0（Commit4ca785e）。 - 目标执行模式：使用应用自定义工具、可选委派和可选代码执行的顺序与层级 Crew。
- 主要证据来源：固定标签下的
Agent、BaseAgent、委派工具与遥测实现。 - 未覆盖范围：运行时攻击复现、第三方工具、后续 1.x 版本、CrewAI Enterprise 以及任何具体客户部署。
已观察到的控制与源码证据
- Agent 迭代边界：
固定版本的
Agent默认最多执行 20 次迭代，基础 Agent 模型默认值为 25；还可以配置max_rpm、重试和 Token 限制。这些是执行上限，不是事务边界。 - 可选代码执行边界：
代码执行默认关闭。启用后，
code_execution_mode默认选择由 Docker 支持的safe模式；显式选择unsafe才会直接执行。该边界只覆盖代码解释器，不覆盖所有自定义工具。 - 类型化委派参数： 委派与询问协作者工具通过 Pydantic 描述任务、上下文和协作者字段。Schema 能验证结构，但字段中的不可信指令仍可能影响下游 Agent。
- 框架原生遥测：
CrewAI 创建 OpenTelemetry Span，并可通过
OTEL_SDK_DISABLED关闭。默认导出目标是 CrewAI 遥测服务，因此保留、访问、脱敏和审计接入仍需由部署方负责。
待验证假设与部署依赖
- 自定义工具隔离： 框架接受应用定义的工具，其文件、网络、凭据和写入权限由宿主应用决定，除非部署方另设外部隔离边界。
- 提示注入抵抗能力： 本轮没有运行针对恶意委派内容的确定性测试，因此不宣称 CrewAI 已阻断横向提示注入，也不声称已经实测观察到该攻击。
- 外部副作用恢复： 迭代上限只能停止后续步骤，不能撤销数据库、SaaS API、文件或队列中的既有写入；幂等和补偿属于集成方责任。
部署证据与观察范围概要
CrewAI 0.80.0 提供编排上限、可选 Docker 代码执行、类型化委派参数与框架遥测。生产安全仍取决于自定义工具隔离、委派内容校验、自有审计链路以及外部副作用补偿。
相关合成风险分析见：CrewAI 多智能体生产就绪度审查与失控风险分析。
说明：本档案仅依据 CrewAI 0.80.0 固定源码进行观察，不证明其抵抗攻击、代表后续 1.x 行为或批准任何具体部署进入生产。
准备在企业内部定制或部署 CrewAI？
开源基线评测仅能针对默认通用环境。BartsAI 为工程团队提供针对具体业务数据库连接、私有 API 调用权限及企业级发布门槛的专属 Launch Gate 准入审查。