当智能体开始\"动手\"：AI安全如何兜住风险？

FreeBuf

2026年6月26日 12:10
上海

在小说阅读器读本章

去阅读

2026年，AI不再是实验室里的技术玩具，正以超出预期的速度涌入企业生产环境。

随着开发框架与API的成熟，工具调用、文件操作、系统执行变得前所未有地容易。企业不再满足于让智能体\"聊聊天\"，而是将其投入客服、研发、安全运营乃至核心生产流程。Gartner的调查显示，未来两年内，将有超过六成的企业跑步进入智能体时代。

但智能体大面积接入的同时，新的安全问题也扑面而来。

我们来看一个企业的典型案例：研发在测试智能体能否“生成一份生产环境部署流程文档”时，智能体却误解为“把最新代码部署到生产环境”，并在没有人工确认的情况下完成了操作，导致业务中断数小时。

没有攻击，没有漏洞，只有一个事实：智能体理解错了意图，而它有权限直接操作生产系统。

当智能体从\"可用\"迈向\"规模化生产力\"，企业内部已经跑着几百个异构智能体、跨七八个平台、权限彼此穿透、供应链风险敞口越开越大—该如何打造可信、可控、合规的AI？

6月23日，2026火山引擎FORCE大会 AI Trust安全论坛上，一条清晰的主线浮出水面：企业智能体安全的核心命题，不是\"买什么安全产品\"，而是\"怎么把安全变成运行环境的一部分\"。核心思路不是堆砌更多防火墙或检测引擎，而是构建一个\"智能体安全管理基座\"——用统一、稳固的安全底座，去管理分散、快速迭代的智能体。

01

失控的蔓延：从单点失误到系统性混乱

当智能体开始“动手”，风险就不再停留在信息层，而是直接进入行为层。

2025年，行业还在讨论大模型会不会说错话；2026年，战场已经变成了智能体会不会做错事。

OWASP 2026版Agentic Applications Top 10中，\"过度代理\"（Excessive Agency）被列为最高风险，逻辑很残酷：智能体拥有的权限远超任务所需，任何一个漏洞被触发，后果都从\"说错话\"变成\"做错事\"，且不可逆。

本质上，安全对象发生了根本变化：从“模型输出内容”，转向“系统行为链路”。同时，大量企业已经进入\"多智能体\"的混乱状态，而且这不是少数前沿企业的问题，而是正在变成普遍现象。

有企业自己搓了700多个智能体，全部和生产系统对接，安全团队连哪些可以外联、调用了哪些数据都梳理不清楚，资产盘点就已经失控。另一个企业，员工通过智能体直接访问了财务系统和HR系统——A员工看到了B员工的工资条，权限从未被设定过。

据悉，某金融行业客户的数字更触目惊心：光智能应用就有2万个，真正上生产的有2000个智能体，分布在7个不同的智能体平台上。

02

结构性失效：

传统安全体系正在被智能体击穿

当智能体数量从个位数跳到百位数，安全团队面对的就不再是\"怎么防\"的问题，而是\"怎么管\"的问题——连资产在哪、权限多大、接了什么都不知道，防守从何谈起？

更深层的问题在于，传统安全体系面对智能体时正在全面失效。过去，AI安全讨论分成两支：Safety（模型内生安全，如幻觉、目标偏离）和Security（外部防护，如提示注入、供应链攻击），两者各管各的，边界清晰。

但当智能体有了行动能力，这种分离就不再成立—一个编码智能体删除了生产知识库，到底是模型思考过程中产生的Safety问题，还是权限设计过宽导致的Security问题？

智能体是\"硅基生命\"，权限管控不能照搬人类员工的逻辑；传统的数据安全边界模糊了，智能体可以绕过数据分级直接读取敏感信息；传统的审计溯源体系断裂了，智能体的操作链条跨平台、跨系统，传统日志拼不出完整的行为链。

安全欠账在智能体出现后被无限放大，尤其是数据安全和身份权限管控这两个领域，过去的问题全部被暴露出来。失控，正在从\"可能\"变成\"常态\"。

03

一体化安全中枢：用稳态管敏态

面对这种失控，火山引擎给出的答案不是另一个安全产品，而是一个安全基座解决方案——“一体化安全中枢”。命名的含义很明确：基座不是安全工具的集合，而是智能体运行的安全基础设施。就像操作系统不是应用程序的集合，而是所有应用程序赖以运行的底层环境。

安全基座的核心逻辑是\"稳态管敏态\"：

所谓\"稳态\"，是指无论上层跑的是什么智能体、用的什么框架、接的什么模型，安全治理的底座必须稳固——统一管理入口、统一安全总线、统一运营闭环、统一业务支撑。

所谓\"敏态\"，是指面向AI场景的安全能力必须敏捷迭代——Prompt防注入、智能体行为异常检测、多智能体协同风险感知，这些能力不是一次性部署完就完事的，需要随攻击手法的演进持续升级。

\"稳态\"解决\"看不见、管不住\"的结构性问题，\"敏态\"解决\"溯不了、响应慢\"的动态博弈问题。

这个“一体化安全中枢”被设计为三层架构：

上层是接入与调度层——企业内的智能体五花八门，AI Coding类、智能体平台类、AI助手类，接入方式各不相同，调度层对不同智能体做统一对接和接入管理，在智能体之间、安全能力之间做总控调度。

中间层是安全能力综合层——安全攻防、行为权限、供应链和环境安全、行为护栏、审计溯源五大能力被重新组合，形成面向智能体场景的综合性防御体系。

底层是安全模型能力层——用AI对抗AI，通用大模型和安全垂类小模型组合，为上层安全能力提供检测、处置、响应、分析的智能支撑。

三层架构共同回答了一个问题：当智能体的数量从几个变成几百个，当它们的权限从只读变成可执行，企业如何不陷入\"救火式\"的安全管理？答案是：让安全成为一条横亘在智能体与企业核心系统之间的\"总线\"，而非插在旁边的补丁。

04

中枢的纵深防线：可信、可控、可运营

而这三层架构能否真正运转，取决于三个关键能力是否扎实。

第一个关键能力，是可信计算环境。它解决的是一个根本性的信任问题：企业如何敢把敏感数据和核心业务逻辑交给云上的大模型？

火山引擎 AICC 机密计算，思路不是靠信任服务商，而是靠硬件—基于机密芯片构建隔离加密的计算环境，内存加密、环境隔离、远程可验证，用户可以在部署前确认当前计算环境符合安全预期。在此基础上，AICC进一步将这种可信贯穿业务全链条，形成端到端的可证明体系。

最新研究的\"协变混淆\"技术更进一步：不是单纯给数据加噪（那会严重损害模型计算准确性），而是让用户数据和模型参数协同混淆——你变我也变，计算结果准确率损失仅约1-2%，而PII信息泄露风险趋近于零。这项技术已入选全球计算机视觉三大顶会。

第二个关键能力，是细粒度的身份与权限可控。智能体的权限管控是一个极其棘手的问题。为了\"好用\"，智能体往往被赋予远超任务所需的权限。一旦出事，谁授权的、什么时候授权的、中间经过了哪些操作步骤，全是一笔糊涂账。

论坛上展示了安全能力层的权限设计逻辑：将所有长期凭据存储在受控的授权网关中，Agent和模型执行环境不持有这些凭据。当Agent需要操作时，基于任务发起人和任务边界，获得短期的、最小化的授权。

这套\"细粒度权限管控\"的核心是逐级收窄：从应用入口到智能体、到技能调用、到服务访问、再到后端资源，每一跳都独立鉴权，每一跳都记录在案。谁操作了哪个智能体、读取了哪个知识库、调用了哪个技能、最终访问了哪个系统——整个链路中不能丢失任何一环。

值得一提的是\"意图偏离检测\"。一个操作单看是合理的，但串联起来可能严重偏离原始意图。Agent执行\"整理文件夹\"任务时，删除一个临时文件是合理的；但如果删除的是一个INT结构文件，就应该被拦截。传统规则很难区分这两种场景——它们都是\"删除文件\"。

解决方案是基于模型的行为序列分析：从用户指令出发，持续评估Agent的计划、工具调用、参数、数据范围、动作结果，每一步都与原始意图做对比。能对齐的低风险操作自动化放行，有风险的降级或转人工，严重偏离的即时拦截。

这套体系的目标不是限制Agent，而是让它在安全边界内\"自由发挥\"——不该打断的不打断，该打断的绝不放过。

第三个关键能力，是安全运营本身的智能化。攻防的天平正在倾斜：攻击方已经在用AI自动化攻击，防守方如果还靠人海堆告警，差距只会越来越大。

可以看到，火山引擎安全运营智能体过去一年的演进路径：从单点告警研判出发，逐步发展为多智能体协同平台，最终形成安全运营中台。核心设计是\"双轨处理\"：确定性规则走反射层，实现秒级响应；不确定性走认知层，由智能体做深度研判。关键是，处理得越多，固化成规则就越多，ROI持续提升——系统会自己写规则、自己优化、自己跟进。

更值得关注的是\"自更新机制\"：当安全专家纠正了一次误判，系统会学习并沉淀为规则。第1天，智能体判定\"凌晨3点越南登录\"为风险并封禁；专家发现是员工出差，指导智能体关联OA系统做综合判断；第30天，类似告警出现时，智能体已自动判定为正常业务，避免了一次误封。安全运营的知识不再流失，而是沉淀在系统里，持续累积。

05

实战验证：从实验室走向生产环境

这套一体化安全中枢并非停留在概念层面。2026年上半年，它已经在多个行业头部客户中进入实战验证。

中国移动与火山引擎的合作颇具代表性。来自中国移动数智事业部的AI安全经理徐阳分享到，中国移动面对的是大规模、多主体、异构智能体的管理难题。其数智事业部构建了企业级AI安全总体架构，将输入输出“兜底”防护（AI护栏）、身份权限管理、智能体检测、供应链安全、模型网关+服务网关等能力系统化落地。

核心思路与火山引擎的中枢架构高度吻合：通过\"智能体互联网络\"将基座模型、知识库、技能、工具组件统一纳管，从智能体入网开始进行全生命周期审核与保护。在身份权限层面，特别强调\"连接人类和非人类身份\"，将企业原有的人类权限与智能体权限在一个系统内集中管理，确保每一次权限校验都由第三方独立执行——因为\"智能体本身太容易被篡改\"。

智能化安全运营层面，某大型汽车集团，安全智能体在事前分别落地了漏洞智能体和代码安全智能体，结合客户内部的工单平台实现了上线安全检测的全自动化。以前的安全上线流程：业务在工单平台提单，安全专家手动拉取代码、填账号密码、发起扫描、等结果，一周就过去了。现在，智能体监测到工单来了会默默把整个流程跑完，一天完成。告警运营方面，多智能体协同将每日10万条告警降至数百条，同时保证高危威胁不遗漏。

客户案例的共同特征是：它们不是在购买一个安全工具，而是在部署一套安全运行逻辑。这套逻辑不排斥企业已有的安全投资，而是让AI去利用好现有的防御体系，让新旧系统深度融合。

06

安全，正在成为AI时代的\"基础设施\"

回到开头那个问题：当智能体学会\"动手\"，企业该如何打造可信、可控、合规的AI？

答案不是某个单一的安全产品，而是一套能跟得上Agent部署速度、能管得住异构智能体、能持续对抗新型攻击的安全治理底座。

智能体安全的核心矛盾，从来都是\"自主执行\"与\"风险可控\"之间的平衡。这个矛盾不会因为模型能力的提升而自动消解——恰恰相反，智能体越强大、越自主，平衡的难度就越高。

当Agent开始触碰企业的核心数据与业务流程，治理就不再是\"以后再说\"的伪命题。从\"可用\"到\"好用\"，从\"能用\"到\"敢用\"——智能体时代的安全治理，正在经历一场从思维到技术到运营范式的系统性重构。

这场重构的终点，不是让AI变得\"安全到无用\"，而是让AI在安全的前提下，释放出它本该有的全部价值。

火山引擎的智能体安全基座，正是试图将这套能力封装为可接入、可扩展的基础设施——让企业无需重复造轮子，就能在Agent狂奔的同时，把安全的防线同步铺到前面。

写在Prompt里的安全策略，约等于没有策略。安全能力必须下沉到基础设施层——这是智能体安全和大模型安全最根本的分野，也是AI从\"可用\"走向\"敢用\"的唯一路径。

推荐阅读

电报讨论