一文讲透智能体安全的五要素：身份、权限、行为、数据、供应链

原创

承影
承影

兰花豆说网络安全

2026年10月21日 09:14
湖北

去阅读

过去，我们谈网络安全，关注的是人、终端、网络、应用和数据。进入 AI Agent（智能体）时代，安全防护的对象正在发生变化：一个能够自主规划任务、调用工具、访问企业系统、读写文件，甚至代表用户执行操作的智能体，正在成为企业数字化环境中的新型参与者。

这意味着什么？

过去，一个员工需要手动登录系统、查询数据、编写报告、发送邮件；现在，一个智能体可能只需要接收一句指令，就能自动完成这一系列操作。

效率提高了，但风险也随之而来。

如果智能体身份不清楚，我们不知道它究竟代表谁；如果权限控制不到位，它可能访问不该访问的数据、执行不该执行的操作；如果缺少行为审计，我们无法知道它做了什么；如果数据没有全流程监管，企业核心信息就可能在不知不觉中流出；如果 MCP、Skill、Tool、API 等供应链组件存在安全问题，风险还可能沿着调用链不断扩散。

智能体安全的核心，不只是保证大模型不被攻击，而是确保智能体的身份可信、权限可控、行为可审计、数据可治理、供应链可管理。

围绕这一目标，我认为，智能体安全可以归纳为五个关键要素：身份安全、权限安全、行为安全、数据安全和供应链安全。

一、身份安全：解决智能体“是谁”的问题

在传统的信息系统中，身份管理已经是一项成熟的安全能力。每个员工有自己的账号，每个系统有自己的服务账号，系统通过身份认证判断访问者是谁。

但智能体的出现，让身份管理变得更加复杂。

一个企业可能同时部署几十个甚至几百个智能体，包括个人助理、研发智能体、运维智能体、销售智能体、财务智能体，以及由其他智能体进一步调用的子智能体。

这些智能体的身份究竟如何定义？

例如，员工要求 AI 助理查询某个客户的合同信息。AI 助理调用企业 CRM 系统，接着又调用另一个负责数据分析的智能体，最后生成一份客户分析报告。

整个过程中，至少涉及员工、主智能体、子智能体和 CRM 系统等多个身份主体。

如果系统只记录最终访问 CRM 的服务账号，就很难回答一个关键问题：这次数据访问究竟是谁发起的？代表谁执行？由哪个智能体完成？

因此，智能体身份安全至少需要解决四个问题。

第一，给智能体建立唯一、可识别的身份。

每个智能体都应该具有明确的身份标识，包括所属组织、业务负责人、创建者、运行环境、用途和生命周期状态。不能让智能体以一个无法识别的公共账号在企业内部随意活动。

第二，明确智能体代表谁执行任务。

智能体既可能代表某个员工，也可能代表某个部门或业务系统执行任务。安全系统需要区分智能体自身身份、任务发起人的身份，以及它当前代理的身份。

第三，建立身份之间的关联关系。

当主智能体调用子智能体，子智能体再调用工具时，必须能够追溯完整的调用链，不能因为经过多次转发，就丢失最初的任务发起人和责任主体。

第四，管理智能体的整个生命周期。

从创建、注册、上线、变更到停用、注销，都需要纳入统一管理。对于已经停止使用、存在风险或负责人离职的智能体，应及时进行权限回收和身份清理。

这里需要特别强调：身份可信，不等于行为可信。一个经过认证的智能体，仍然可能受到提示词注入攻击，或者在错误的任务目标下执行危险操作。

因此，身份安全只是智能体安全的起点。

二、权限安全：解决智能体“能干什么”的问题

如果说身份安全回答的是“你是谁”，那么权限安全回答的就是“你能做什么”。

在智能体时代，权限管理的重要性甚至超过了传统应用场景。

原因很简单：传统软件通常按照预先设计的流程执行操作，而智能体能够根据任务目标自主选择工具、组合步骤，并在一定范围内决定下一步行动。

一旦权限过大，智能体就可能将一个局部风险放大为整个业务系统的安全事件。

例如，一个负责整理会议纪要的智能体，本来只需要读取会议文件、生成摘要，却被授予了访问整个共享盘、发送邮件、删除文件和查询客户数据库的权限。

即使这个智能体本身没有漏洞，只要它受到恶意文档中的提示词注入影响，就可能执行超出原始任务范围的操作。

因此，智能体权限安全不能简单地沿用传统账号授权模式，而应该建立更精细的控制机制。

1. 最小权限原则

智能体只获得完成当前任务所必需的权限。

负责生成报告的智能体可以读取指定数据，但不应默认获得修改数据库的权限；负责代码审查的智能体可以读取代码仓库，但不应自动获得生产环境部署权限。

2. 按任务动态授权

智能体的权限不应一经创建就永久固定。

在任务执行过程中，系统应结合任务类型、发起人身份、目标资源、风险等级和当前环境，决定是否允许其访问特定资源或调用特定工具。

任务结束后，应及时收回临时授权。

3. 高风险操作需要审批

对于转账、删除重要数据、修改生产环境配置、批量发送外部邮件、导出敏感信息等操作，不能完全依赖智能体自主决策。

应该根据风险等级设置人工确认、双人审批、操作限额或其他强制控制措施。

4. 防止权限传递和调用链失控

当智能体调用其他智能体或工具时，必须明确权限的传递边界。

主智能体拥有某项权限，并不意味着它调用的所有子智能体都应该自动继承该权限。更不能因为某个工具具有较高权限，就让所有调用它的智能体间接获得同等能力。

智能体的权限边界，必须覆盖模型、智能体、工具和企业业务系统，而不能只停留在用户登录这一层。

三、行为安全：解决智能体“正在干什么、干了什么”的问题

身份和权限解决的是智能体可以做什么，但无法直接说明智能体实际上做了什么。

这正是行为安全需要解决的问题。

在传统安全体系中，企业已经具备日志审计、终端监控、网络流量分析和异常行为检测等能力。但智能体的行为具有更强的动态性和复杂性。

同一个任务，智能体可能采取不同的执行路径；同一个工具调用，也可能因为参数、上下文和数据不同，产生完全不同的结果。

因此，智能体安全不能只记录登录时间、API 请求次数和系统错误日志，还需要关注任务目标、推理过程的可审计摘要、工具调用、数据访问、关键决策以及最终结果。

这里的重点不是要求企业无差别地收集所有模型内部信息，而是建立能够解释和还原关键安全事件的证据链。

1. 记录完整的任务执行链路

当用户要求智能体完成一项工作时，系统应尽可能记录：

• 谁发起了任务，任务目标是什么；
• 使用了哪个智能体、哪个模型及哪个版本；
• 调用了哪些 MCP 服务、Skill、Tool 和 API；
• 访问了哪些文件、数据库和业务系统；
• 执行了哪些修改、删除、发送或导出操作；
• 最终产生了什么结果，是否经过人工审批。

这样，一旦发生数据泄露或越权操作，企业才能回答“谁在什么时间，通过什么路径，访问了什么资源，执行了什么操作”。

2. 识别异常行为

例如，一个原本只负责查询知识库的智能体，突然开始大量读取员工信息；一个每天只调用几次 API 的智能体，短时间内连续调用数千次；一个只需要读取文件的智能体，开始尝试删除文件或向外部地址上传数据。

这些行为都值得触发风险检测。

行为分析可以结合规则引擎、统计分析、异常检测模型和业务上下文，识别偏离正常任务模式的行为。

3. 建立实时阻断能力

发现异常之后，不能仅仅生成一条告警。

对于明确违反安全策略的操作，应能够在执行前或执行过程中进行阻断。例如，禁止智能体向未授权的外部地址发送敏感文件，拦截未经批准的生产环境变更，或者暂停存在异常调用行为的智能体。

需要注意的是，智能体的行为可能是复杂任务链中的一环，因此应同时支持任务暂停、工具调用拦截、权限收回、智能体隔离和事件追溯。

行为安全的目标，不是事后知道智能体犯了什么错，而是尽可能在错误造成损失之前发现并阻止它。

四、数据安全：解决“获取了什么、产出了什么、数据去了哪里”的问题

数据安全是智能体安全体系中最容易被低估、但又极其关键的一环。

传统的数据安全通常关注数据存储、访问、传输和使用过程中的风险。而在智能体场景下，数据不仅会被人读取，还会被模型理解、被智能体加工、被工具转发，并最终形成新的输出。

数据的流动路径更加复杂。

例如，企业员工让智能体分析一份客户合同。智能体读取本地文件，将内容发送给模型进行处理，再调用知识库查询相关信息，随后生成分析报告，并通过邮件发送给业务部门。

在这个过程中，企业需要回答一系列问题：

• 智能体读取了哪些数据？数据来源是否可信？
• 数据是否包含个人信息、商业秘密或其他敏感信息？
• 这些数据是否被发送到未经批准的模型或第三方服务？
• 智能体生成的内容是否存在泄密、侵权、违法违规或错误披露问题？
• 输出数据最终发送给了谁？接收方是否有权获取？
• 数据是否被写入记忆、日志、知识库或其他长期存储？
• 数据使用、保存和删除是否符合企业制度及适用法律法规？

这些问题不能仅依靠传统的文件加密或数据库权限来解决。

1. 输入数据安全：数据从哪里来

智能体可能读取企业知识库、内部文档、网页、邮件、代码仓库、数据库和第三方 API 返回的数据。

这些数据并不天然可信。

网页内容可能包含提示词注入，文档可能包含恶意指令，第三方 API 可能返回被污染的数据。如果智能体不加区分地把这些内容作为可信指令，就可能被诱导执行非预期操作。

因此，需要对数据来源进行识别，对敏感信息进行分类分级，并区分可信指令与不可信内容。

2. 处理过程安全：数据如何被使用

企业需要明确哪些数据可以被哪些模型处理，哪些数据只能在本地或指定环境中处理，哪些操作需要脱敏、加密或经过额外授权。

同时，还要关注智能体记忆、上下文窗口、缓存、日志和知识库中的数据留存问题，避免敏感数据在任务完成后继续被不必要地保存或传播。

3. 输出数据安全：智能体产出了什么

智能体生成的内容，不一定天然安全、真实或合规。

它可能在报告中带出不应披露的内部信息，生成未经授权的客户数据摘要，输出侵犯第三方权益的内容，或者在自动化流程中将错误数据写入企业系统。

因此，企业需要对输出内容开展必要的敏感信息识别、数据泄露检测、内容合规检查和业务规则校验。

4. 数据流转安全：数据最终去了哪里

这是最容易出现监管盲区的地方。

企业不仅要知道数据被谁访问，还要知道数据从哪里来、经过哪些模型和工具、流向哪些系统、最终交给了谁。

例如，智能体可以读取某份内部文件，不代表它就有权将文件内容发送到外部邮箱；某个模型可以处理经过脱敏的数据，也不代表它可以接收未经授权的原始客户信息。

因此，需要建立贯穿数据采集、访问、处理、存储、共享、输出和销毁全过程的数据安全管理机制。

智能体数据安全的核心，不只是保护静态数据，而是监管数据在整个智能体执行链路中的流动。

五、供应链安全：解决智能体“依赖什么、调用什么”的问题

智能体不是一个孤立的软件。

它通常依赖大模型、系统提示词、Skill、MCP 服务、Tool、API、开源组件、插件、外部知识库和其他智能体共同完成任务。

这些组件构成了智能体的技术供应链。

传统软件供应链安全主要关注开源组件漏洞、恶意软件包、依赖关系和代码完整性。到了智能体时代，供应链风险还扩展到了工具能力、外部指令、运行权限和动态调用行为。

其中，MCP、Skill、Tool 和 API 尤其值得关注。

1. MCP 安全

MCP 为模型或智能体连接外部数据源和工具提供了标准化方式，但连接能力越强，安全边界就越重要。

风险可能来自恶意或被入侵的 MCP 服务、不安全的授权配置、过度开放的工具能力，以及工具返回内容中的恶意指令。

企业需要对 MCP 服务进行统一登记、身份认证、权限控制、来源校验和安全审计，避免未经审核的服务直接接入生产环境。

2. Skill 安全

Skill 可以将一组指令、工作流程和工具调用方式封装为可复用能力，但它也可能成为攻击入口。

一个看似普通的 Skill，可能包含危险命令、隐蔽的数据外传逻辑，或者诱导智能体访问敏感资源的指令。

因此，Skill 不应只看功能介绍和使用效果，还应关注发布来源、版本变更、依赖组件、实际执行行为和所需权限。

对于高风险 Skill，应开展代码与配置审查、沙箱测试和运行时监控。

3. Tool 与 API 安全

智能体调用工具时，风险不只来自工具本身，还可能来自参数构造、身份凭证、接口授权和调用频率。

例如，智能体通过合法 API 执行了未经授权的批量导出操作。这种情况下，API 本身可能并没有漏洞，问题出在智能体的授权边界和调用控制上。

因此，需要对工具和 API 建立统一的注册、审核、权限配置、调用限制、凭证保护和日志审计机制。

4. 供应链全生命周期管理

对于模型、MCP、Skill、Tool、API 和第三方智能体，企业应建立完整的供应链资产清单，记录来源、版本、维护者、依赖关系、权限需求和安全评估结果。

同时，需要持续关注漏洞披露、恶意版本、供应商变更和组件停用情况。

一旦某个组件存在安全风险，企业应能够快速定位哪些智能体正在使用它，哪些业务流程受到影响，并及时采取禁用、升级、隔离或替换措施。

供应链安全的关键在于：不仅要知道智能体本身是否安全，还要知道它依赖的每一项能力是否可信、可控、可追溯。

六、五要素不是五套孤立的系统，而是一个完整的安全闭环

身份、权限、行为、数据和供应链，分别解决不同的问题，但在真实业务中，它们始终相互关联。

以一个自动化财务智能体为例：

01 身份安全：确认是谁

识别任务发起人、财务智能体和被调用的子智能体，明确责任主体。

02 权限安全：限定能做什么

允许查询指定账单，但转账、付款和修改账户信息需要额外审批。

03 行为安全：监控正在做什么

记录工具调用、异常查询、关键操作和审批过程，及时发现偏离正常任务的行为。

04 数据安全：监管数据流向

检查账单来源、敏感字段、模型处理范围、报告内容和最终接收方。

05 供应链安全：检查依赖是否可信

审核财务智能体使用的 Skill、MCP、工具、API 和第三方模型，及时处理组件风险。

假设财务智能体突然调用一个新接入的 Skill，试图批量导出客户银行账户信息，并将数据发送给外部服务。

五要素就需要协同工作：

• 身份安全确认是谁发起了任务、哪个智能体执行了操作。
• 权限安全判断该操作是否超出授权范围。
• 行为安全发现异常调用并及时阻断。
• 数据安全识别敏感信息，阻止未经授权的数据外传。
• 供应链安全检查这个新接入的 Skill 是否可信、是否存在恶意行为。

只有将这五项能力结合起来，企业才能从单点防护走向覆盖智能体全生命周期、全执行链路的安全治理。

七、智能体安全最终需要一个统一的监管平台

当企业只部署一两个智能体时，依靠人工检查配置、查看日志、逐个审核工具，可能还能应付。

但随着 AI Agent 普及，企业可能同时运行数百个智能体，连接数十种模型、数百个工具和大量业务系统。不同团队自行搭建的智能体，还可能运行在不同的云环境、办公终端和业务平台中。

这时，真正的问题就出现了：企业究竟如何统一看见、统一管理、统一控制这些智能体？

如果身份管理在一套系统，权限管理在另一套系统，数据安全由第三套系统负责，MCP 和 Skill 又由各业务团队自行管理，那么即使每个系统都具备一定的安全能力，整体上仍然可能存在大量监管盲区。

因此，智能体安全不能只依靠零散的安全产品和分散的管理制度，还需要建设一个统一的智能体安全监管平台。

这个平台至少应该具备以下六类核心能力。

1. 智能体资产统一管理

统一发现、登记和管理企业内外部的智能体，掌握智能体的身份、负责人、部署位置、模型版本、业务用途、运行状态及上下游依赖关系，形成完整的智能体资产清单。

2. 身份与权限统一管控

统一管理智能体身份、用户委托关系、服务凭证、工具授权和高风险操作审批，实现最小权限、按需授权、权限回收和跨系统访问控制。

3. 行为审计与运行时防护

汇聚智能体任务、工具调用和关键操作日志，识别越权访问、异常调用、提示词注入诱导和异常任务链，支持告警、阻断、暂停和溯源。

4. 数据全生命周期监管

关联数据来源、分类分级、访问授权、模型处理、输出内容、流转去向和存储留存情况，发现敏感信息泄露与违规数据流动。

5. MCP、Skill、Tool、API 供应链治理

建立统一组件目录与审核机制，持续跟踪漏洞、版本变化、权限需求和依赖关系，对存在风险的组件进行隔离、禁用或替换。

6. 风险态势与统一处置

将五要素的风险关联起来，形成统一风险视图、事件处置流程和审计证据链，支持跨智能体、跨工具、跨业务系统的联动响应。

当然，统一监管平台不意味着把所有智能体强行部署到同一个运行环境，也不意味着必须替换企业现有的 IAM、DLP、SIEM 或 API 安全系统。

更合理的思路是通过统一的资产目录、策略管理、日志关联、风险分析和处置接口，将现有安全能力与智能体运行环境连接起来。

同时，还需要注意一个现实问题：部分智能体运行在本地终端，部分运行在云端，还有一些通过第三方平台提供服务。不同框架暴露的日志、权限和运行时控制能力并不一致。因此，平台建设必须考虑兼容性、可观测性和实际可执行的控制边界，不能仅仅依靠一个管理大屏就宣称实现了全面监管。

平台建设的最终目标，是让企业能够真正做到：

• 看得见：知道企业有哪些智能体、使用了什么模型和工具。
• 管得住：明确身份和权限边界，控制高风险操作。
• 查得到：还原智能体执行任务、访问数据和调用工具的完整链路。
• 防得住：在风险发生前或执行过程中，及时识别并阻断危险操作。
• 追得清：出现安全事件后，能够定位责任主体、影响范围和风险来源。

总结

智能体正在从一个能够回答问题的 AI 助手，变成一个能够调用系统、操作数据、执行任务、参与业务流程的数字化执行主体。

它带来的安全问题，也不再局限于大模型是否会被越狱、提示词是否会被注入，而是延伸到了身份、权限、行为、数据和供应链的整个运行过程。

这五个要素，构成了智能体安全治理的基础框架。

身份解决“是谁”，权限解决“能做什么”，行为解决“正在做什么、做过什么”，数据解决“获取了什么、产生了什么、流向哪里”，供应链解决“依赖什么、调用什么、是否可信”。

它们共同回答了企业最关心的一个问题：我们能否放心地让 AI 自主干活？

我的判断是，随着智能体数量增加、业务连接加深，智能体安全将逐步从单个模型或单个 Agent 的安全测试，走向覆盖企业全部智能体的持续治理。

未来，企业需要的不只是一个能够检测大模型漏洞的工具，也不只是一个记录智能体调用日志的系统，而是一个能够统一管理智能体资产、身份、权限、行为、数据和供应链风险的安全监管平台。

AI 时代，安全不应该成为智能体干活之后的补救措施，而应该成为智能体从创建、接入到执行、协作和退出的全过程基础能力。

只有把安全治理真正融入智能体的运行链路，企业才能在释放 AI 生产力的同时，把风险控制在可接受、可审计、可追溯的范围内。

END

推荐阅读

你刷的每条广告，可能都是一次零点击黑客攻击

2026-10-19

AI 间谍战役瞄准政府 Linux：黑客用大模型写攻击脚本，专偷邮箱和数据库

2026-10-18

勒索软件开始\"连坐\"：黑客把刀架到员工家属脖子上，37% 的企业已经中招

2026-10-18

24 小时内\"双杀\"：思科与 Palo Alto 两个 root 级漏洞同时遭实战利用，CISA 限 3 天修复

2026-10-18

刚刚！微软端掉一个\"中国钓鱼帝国\"：10 亿封诈骗邮件，牵出 3 个中文工具包

2026-10-17