国内首个AI智能体安全标准出台：从\"裸奔\"到\"系安全带\"

原创

老林
老林

安小圈

2026年7月9日 13:56
上海

在小说阅读器读本章

去阅读

7月1日，全国网络安全标准化技术委员会（网安标委）秘书处印发网安秘字〔2026〕80号文件，发布《网络安全标准实践指南——智能体部署使用安全指引》（TC260-PG-20266A）。这是国内首个专门针对AI智能体部署使用的安全标准文件。

过去一年，AI智能体（Agent）爆发式增长——自动写代码、自动操作电脑、自动调用API，能力边界飞速扩展。但一个问题始终悬在空中：一个拥有你电脑文件读写权限、Shell执行权限、网络访问权限的AI，到底该怎么管？

这份文件给出了第一份官方回答。

五大阶段，全生命周期拉起红线

指引的核心框架是\"五大阶段\"——评估、准备、部署、使用、停用，覆盖智能体从选型到退役的全生命周期。每个阶段都有具体的安全操作要求，不是泛泛而谈的原则，而是可执行的实操清单。

评估阶段先问\"该不该用\"。要求使用者明确使用目的和业务场景，评估采用智能体的必要性，谨慎选择拟部署的智能体。文件明确列出四类\"不应选择\"的情形：超一个月无维护且有未解决问题、安全问题长期未响应、存在未修复高危漏洞、已停止维护。同时要求优先选择集成安全沙箱、高风险操作管控、急停控制的智能体——换句话说，没有安全机制的\"裸奔\"智能体，官方态度是别碰。

准备阶段管的是\"装之前\"。安装物料必须从官网或应用商店获取，不用网盘、论坛、群组里的修改版和破解版；安装前要验证数字签名和完整性，防范投毒篡改。对大模型的选择，文件提出了一个关键要求：应选择已通过生成式人工智能服务备案的大模型，且优先采用本地化部署；调用外部模型应使用官方接口，\"不应通过来源不明的中转站、未授权代理等方式调用\"。

部署阶段是安全防护最密集的环节。几条红线格外值得注意：不用管理员权限运行智能体，遵循最小权限原则；限制可访问目录，不授予主目录和系统目录默认访问权限；配置为仅本机可访问，不开放至外部网络；开启全量日志记录。文件还要求提前建立高风险操作清单，对清单内操作实行二次确认或直接阻断——列出的高风险操作包括停止系统服务、格式化磁盘、批量删除、权限修改、密钥更改、开放端口，以及\"涉及转账、支付等影响个人财产安全的操作\"。

使用阶段聚焦日常运行中的持续安全。除了安全复查和技能安全测试，文件对敏感信息保护着墨颇多：向智能体提供个人信息应坚持\"最小必要原则\"，涉及生物特征、家庭隐私等敏感信息应审慎提供；未获第三方授权不应提供第三方个人信息；不应提供未获许可的业务数据。此外，要求定期手动查看长期记忆文件内容，及时清理不宜存储的隐私数据——这是针对智能体\"记忆\"功能的专项防护，在其他安全标准中很少见。

停用阶段不等于\"关掉就行\"。文件要求停止主程序及所有关联服务和后台进程，备份必要数据，执行环境清理（本地卸载或重置系统、云环境删除数据和撤销凭证、虚拟化环境直接停用）。还特别提醒：确认终止相关服务、取消订阅及自动续费，关注大模型接口是否产生异常费用。

起草阵容透露了什么

这份指引的起草单位名单值得细看：中国电子技术标准化研究院、国家计算机网络应急技术处理协调中心（CNCERT）、清华大学、浦江国家实验室、中央网信办数据与技术保障中心，加上阿里云、华为云、火山引擎（字节跳动）、腾讯云、360——国内主流云厂商和安全大厂几乎全部在列。

这个阵容说明两件事：第一，大厂们已经意识到智能体安全是刚需，不是锦上添花；第二，这份指引不是闭门造车，起草过程中吸收了实际部署智能体的厂商经验。文件中对\"中转站调用\"\"一键部署脚本\"\"长期记忆泄露\"等具体风险点的精准描述，不是坐办公室里能写出来的。

\"实践指南\"意味着什么

需要注意这份文件的效力级别。它属于《网络安全标准实践指南》系列，是网安标委秘书处组织制定的标准相关技术文件，性质是指导性文件，不是强制性标准。

换句话说，目前这份指引是\"建议你这么做\"，不是\"你必须这么做\"。但这不意味着可以忽视它。中国的监管路径通常遵循\"实践指南→行业标准→强制标准\"的演进逻辑。今天的实践指南，很可能就是明天强制标准的前奏。在标准正式落地之前先按指引执行的企业，未来合规成本最低；等到强制标准出台再仓促应对的，付出的代价会大得多。

更关键的是，指引附录B专门面向组织提供了安全管理建议——建立内部智能体使用管理制度、资产登记表、活动监控、未审批智能体发现能力。这些要求指向一个明确的趋势：企业内部对智能体的使用管理，正在从\"个人行为\"上升为\"组织责任\"。

AI治理从\"管模型\"进入\"管应用\"

过去两年，国内AI治理的重心主要在模型层——生成式AI服务备案、算法推荐规定、深度合成管理规定。这份智能体安全指引的出台，标志着治理重心开始向应用层延伸。

模型层管的是\"AI能说什么\"，应用层管的是\"AI能做什么\"。智能体与聊天机器人最大的区别在于，它不仅仅是生成文本，而是能感知环境、调用工具、执行操作——它有\"手\"。管住一个有手的AI，比管住一个只会说话的AI复杂得多。

这份指引的价值在于，它没有回避这个复杂性。从\"不用管理员权限运行\"到\"定期清理长期记忆中的隐私数据\"，从\"不安装来源不明的插件\"到\"停用后撤销API密钥和自动续费\"——每一条都是实操层面的具体要求，而不是\"注意安全\"的空话。

智能体的\"裸奔时代\"结束了。虽然目前只是系上了\"建议性\"的安全带，但方向已经很明确：要么现在主动系上，要么等法规强制你系上。

本文事实来源：《网络安全标准实践指南——智能体部署使用安全指引》（TC260-PG-20266A，v1.0-202607），全国网络安全标准化技术委员会秘书处2026年7月1日发布，网安秘字〔2026〕80号。原文下载自TC260官网（www.tc260.org.cn）。