2026-10-20 13:29:52 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

当AI具备自主执行能力，数据加密面临的新命题

原创

CSL
CSL

联想全球安全实验室

2026年6月26日 19:00
北京

在小说阅读器读本章

去阅读

点击蓝字关注我们

作者：冯雪琪

在近期的行业交流中，一个被频繁提及的议题是：随着生成式AI与智能代理工具在企业侧的深度应用，数据流转的链路显著拉长，传统加密防护体系的适配性正在受到考验。本文尝试从技术从业者的视角，梳理AI场景下数据安全面临的新挑战，并拆解三类具有针对性的防护思路。

新工具带来的新挑战：

从静态存储到动态流转

过去，数据安全防护的核心任务相对明确——守住数据库与文件服务器，加密更多地被视作对“落盘数据”施加的一道静态保护。但当前，两个变化正在打破这一范式：

其一，大模型入口成为数据外泄的潜在通道。员工在日常工作中，可能会将包含客户信息、合同条款、业务数据的原文直接输入模型或作为附件上传。这些明文数据一旦脱离企业环境，后续的流转与存储便不再可控。

其二，以OpenClaw等工具为代表的智能代理，赋予AI自主读写文件、执行脚本、访问数据库的能力。这在提升效率的同时，也引入了新的风险维度：代理在运行态可直接读取本地敏感文件，若遭遇提示词注入等攻击，可能绕过既有的权限管控，批量导出数据。

传统加密方案的瓶颈由此显现：防护范围多局限于静态文件与落盘数据，难以覆盖实时推理交互、AI自动化运行、跨机构数据协同等动态场景。加密机制与业务流程之间的割裂，也使得加解密操作本身容易被业务人员绕过。基于此，融合隐私增强技术、动态脱敏与运行态管控的复合型方案，正逐步成为企业数据安全建设的务实方向。

基础回顾：加密核心技术

第一类对称加密，代表算法为AES与国密SM4。其特点是加密与解密使用同一密钥，运算速度快，适用于海量数据的存储加密。SM4作为我国自主可控的商用密码算法，已在政企、金融等行业广泛应用于数据库加密与文件落盘加密。

第二类非对称加密，代表算法为RSA与国密SM2。采用公钥与私钥配对的机制，公钥可公开用于加密，私钥由授权方持有用于解密。主要用于密钥分发、身份认证与接口传输加密。

第三类，不可逆哈希算法，代表算法为SHA-256与国密SM3。将原始数据转换为固定长度的摘要，无法逆向还原，多用于密码存储与数据完整性校验。

传统模式通常单独应用上述技术，防护集中在静态存储环节。而新一代方案的核心思路，是将基础算法与隐私增强计算、运行态识别、动态管控相结合，实现从存储到使用的全链路防护。

三类适配AI场景的防护方案

需要说明的是，以下三类方案并非同一层面的并列关系，它们分别对应不同的应用场景与风险类型，企业在实际落地时需根据自身需求组合使用。

隐私增强计算

解决跨主体协作的可信问题

在跨部门、跨机构的联合建模与数据协同分析场景中，原始数据的汇聚本身就是主要风险点。隐私增强计算并非单一的加密算法，而是一套技术体系，其核心目标是实现“数据可用不可见”——原始数据始终留存在本地，仅传输加密后的中间参数或计算结果，所有运算在密文状态下完成。

目前行业内的主流路径有三条：

联邦学习：各方在本地完成模型训练，仅将加密后的梯度信息上传至中心节点进行聚合，原始数据不出本地。需要客观指出的是，已有研究表明梯度信息可能存在泄露原始数据特征的风险，实际部署时通常需结合差分隐私等措施加以缓解。
同态加密：支持在密文状态下直接执行计算，解密后的结果与明文计算结果一致。理论上较为完备，但当前全同态加密的计算与存储开销极高，更适合处理小数据量、低实时性要求的特定分析任务，尚不适用于大规模业务数据的批量处理。
安全多方计算：多个参与方将计算逻辑拆分后各自处理，任意一方均无法获取完整的原始输入，适用于集团内多主体联合建模等场景。

格式保留加密

AI交互入口的动态防护

当员工向大模型输入提示词或上传业务文档时，若对全文进行传统加密，密文会变为无意义乱码，模型无法正常解析。格式保留加密（FPE）正是针对这一场景的轻量化方案。

其核心特点是，加密后的密文在格式与长度上与原文保持一致。一个手机号加密后仍是11位数字，模型与自动化工具可正常识别其字段属性并执行推理或统计操作。

实践中的典型部署方式，是在AI访问入口前置一个加密网关：

员工输入的提示词或上传的文件内容，若包含手机号、身份证号、地址等敏感字段，网关会实时完成格式保留加密，替换后的内容对模型可见，但真实数据不离开企业环境
智能代理在读取文档、解析表格时，同样经由网关自动识别并加密敏感字段，不影响脚本执行筛选、统计等正常操作。
解密权限仅授予合规审计人员，通过专属密钥还原原文。所有加解密操作均生成不可篡改的审计日志，以满足等保与个人信息保护的追溯要求。

沙箱联动加密

面向智能代理的多层防护

智能代理具备自主读写与执行能力，单纯的文件存储加密无法阻止其在运行态读取明文数据。针对此类工具的防护，需要采用“沙箱隔离+分层加密”的组合思路，从存储到运行全环节实施纵深管控。

防护体系通常包含五个层面：

底层存储加密：本地业务文件与数据库采用SM4等对称算法全量加密，宿主机上仅留存密文。
运行环境隔离：代理的所有操作限定在独立的沙箱环境中执行，沙箱与宿主机文件系统、网络环境实现逻辑隔离，限制可访问范围。
运行态动态加密：沙箱内部署加密引擎，在代理读取文件时实时对敏感字段进行加密处理，确保运行环境中全程为密文数据。
调用鉴权：代理访问数据库或外部接口时，通过非对称加密机制完成身份校验与权限验证，未授权操作直接阻断。
操作日志存证：所有文件读取、脚本执行、数据调用行为，通过哈希算法进行固化存证，日志不可篡改，用于事后审计与追溯。

这套体系可以应对智能代理的两类核心风险：一是提示注入风险，攻击者诱导代理读取本地敏感文件时，沙箱内的加密引擎会屏蔽敏感字段，代理实际获取的是加密后的无效数据；二是越权导出风险，即使代理批量读取数据，敏感字段已完成实时加密，脱离环境后无法还原。

加密防护体系的分层构成

适配 AI 与智能代理场景的加密防护并非单一技术点的应用，而是一套分层递进的完整体系，自底向上由四个核心层级构成，各层级各司其职、联动协同。

存储加密层

作为整个防护体系的基础底座，存储加密面向数据库、本地文件、备份介质等静态数据载体，采用国密SM4对称加密算法实现全量落盘加密。

体系配套统一密钥管理系统，覆盖密钥的生成、分发、轮换、销毁全生命周期管控，对不同密级的数据采用分级密钥管理策略，从底层消除明文存储带来的直接泄露风险。该层覆盖所有业务系统与智能代理的运行宿主环境，是后续所有动态防护能力的底层支撑。

交互入口加密层

面向人机交互与工具调用的入口链路，该层以格式保留加密（FPE）为核心能力，部署于大模型访问入口、智能代理文件读取接口等关键节点。其内置敏感字段自动识别引擎，可精准定位身份证号、手机号、地址、合同编号等结构化与半结构化敏感信息，在数据进入 AI 环境前完成字段级加密处理。加密后的数据保持原有格式与长度不变，不破坏文本语义结构，不会对后续模型推理与脚本解析的正常执行造成影响。

隐私增强计算层

面向跨主体、跨部门的数据协同与联合建模场景，该层构建了完整的密文计算技术路径，整合联邦学习、同态加密、安全多方计算三类主流技术能力，并针对不同协同场景做了适配性设计：跨部门 AI 模型训练采用联邦学习架构，仅传输加密后的梯度信息；云端批量统计分析采用同态加密方案，支持密文状态下的直接运算；多机构联合数据查询采用安全多方计算机制，确保任一参与方都无法获取完整的原始数据。

智能代理运行防护层

针对具备自主读写、自主执行能力的智能代理工具，该层构建了运行态的纵深防护体系。其以沙箱隔离环境为代理的专属运行载体，结合字段级动态加密、调用鉴权、行为审计等能力，在代理读取文件、调用接口、执行脚本的全流程中，实现敏感数据的实时加密与权限管控，确保代理运行环境中全程无完整明文敏感数据，从运行层面限制数据泄露的可能性。

方案设计的核心技术考量

新一代加密方案的设计并非单纯追求技术强度，而是在合规性、可用性、安全性与运行效率之间做系统性平衡，核心考量集中在四个维度。

国密算法的合规适配

整套方案在底层算法选型上以国产商用密码体系为核心，对称加密采用SM4、非对称加密采用SM2、哈希校验采用SM3，全面符合《商用密码管理条例》及网络安全等级保护等合规要求。

针对跨企业、跨地域的对外交互场景，方案同时兼容 AES、RSA、SHA -256等国际通用算法，可根据交互对象灵活切换加密体系，兼顾内部合规要求与外部互联互通需求。

可逆与不可逆机制的边界划分

方案根据数据使用场景的差异，明确了两类加密脱敏机制的应用边界。

对于需保留原始信息、支持业务回溯与数据复用的场景，如业务文档、客户档案、交易记录等，采用格式保留加密、同态加密等可逆加密技术，在实现防护的同时保留数据的业务价值。

对于仅用于统计分析、群体画像构建，无需还原个体信息的场景，则搭配差分隐私、不可逆哈希等脱敏手段，进一步降低个体隐私泄露的风险。

全链路审计存证体系

加密防护体系配套了完整的审计存证能力，所有加密操作、解密操作、密钥调用、权限变更，以及智能代理的文件读取、接口调用行为，均生成对应的审计日志。

日志采用哈希链式存证机制，确保操作记录无法被篡改或删除；日志留存周期可根据行业监管要求灵活配置，支持全流程操作回溯与安全事件溯源，满足合规审计与安全核查的相关要求。