AI Agent 的风险，开始于“谁在让它做事”
企业部署 AI Agent，往往先从效率问题出发：让它检索资料、汇总工单、调用业务 API，甚至自动完成一段流程。但当系统从“回答问题”变成“代表员工执行操作”，安全边界就不再只围绕账号、终端和网络划分。Agent 本身、它携带的身份凭据、连接的工具以及它读取的上下文，都可能成为新的权限通道。
真正值得警惕的，不是 Agent 会不会犯错，而是它能否在错误发生后迅速扩大影响：一个被诱导的工作流可能同时接触网页内容、内部数据库和写入型 API；一项未经核实的指令也可能在人工察觉前触发多步操作。AI Agent 安全治理因此必须把“可见、可限、可验证、可撤回”放在同一套控制设计中。
速度差正在重写漏洞处置节奏
Akamai 在 2026 年发布的《Speed, Scale, and Nonhuman Identity: The Agentic Threat Landscape》把问题归纳为两种变化：Agent 的自主性让传统权限边界变得模糊；AI 加快了漏洞发现与利用链构造的节奏。该报告引用的数据称，受访组织日均 API 攻击数从 2024 年的 121 次升至 2025 年的 258 次，增幅为 113%；87% 的受访组织在 2025 年经历过 API 相关安全事件。报告同时称，超过 40% 的企业用户安装过 AI 浏览器扩展，且超过 6% 的聊天机器人对话含有敏感信息。以上是 Akamai 报告的研究口径，不应直接外推为所有行业或所有企业的发生率。
Anthropic 对 Project Glasswing 的介绍也显示，前沿模型正在被用于关键软件的防御性漏洞研究。该计划由多家技术与基础设施组织参与，Anthropic 表示模型已发现大量漏洞，并以受限研究预览形式提供给参与方。这是厂商公开的项目描述，不等于每家企业都已面临相同攻击能力；但它提醒安全团队，不能假设漏洞发现和验证仍受传统人工周期约束。
当攻击者能更快发现可利用缺陷，防守方若仍只依赖“发现—排队—打补丁”的串行流程，暴露窗口可能过长。补丁依然重要，只是它不能承担全部即时风险控制。
先盘点 Agent 的身份、工具与数据路径
治理的第一步不是禁止 Agent，而是回答几个可审计的问题：组织里有哪些 Agent、由谁负责、以什么身份运行？它们调用哪些 API、MCP（Model Context Protocol）服务器、浏览器扩展或外部模型？每个组件能读取哪些数据、写入哪些系统？凭据是否独立、可轮换、可撤销？
MCP 让模型通过标准化接口连接工具和数据源，也带来新的信任边界。Akamai 报告讨论了工具描述、上下文注入和跨服务器交互可能造成的风险。企业应把每个 MCP 服务当作具有明确来源和权限的依赖项管理：记录所有者与版本，审查代码和配置，限制网络可达范围，并对工具调用保留可追踪日志。把低信任的外部内容与高权限内部工具放进同一个可自由串联的上下文，会扩大提示注入造成的潜在影响。
权限设计要从“能连上”转向“完成任务所需的最小集合”。优先使用只读权限、短时凭据和按任务隔离的身份；将开发、测试与生产资源分开；对写入、付款、账号变更、批量删除等高影响操作设置二次验证或人工审批。日志需要记录发起主体、调用工具、目标对象、授权依据和结果，而不仅是模型输出了什么文字。
把即时遏制与补丁修复并行起来
漏洞管理可以结合可达性、可利用性、资产重要性和业务影响排序，而非只按单一评分排队。关键系统尚未完成修补时，可通过 API 网关规则、运行时防护、网络分段、临时关闭高风险接口等措施降低暴露；随后再完成根因修复、验证和复盘。临时控制必须有负责人、有效期和退出条件，避免“先挡住”变成永久例外。
Agent 的安全测试也不应止于提示词越狱演示。应在隔离环境中模拟恶意网页内容、异常工具返回、身份令牌泄漏和服务依赖更新，验证系统是否会越权、跨信任域取数或执行不可逆操作。测试结果要落到可重复的验收条件，例如“未经授权的写操作全部被拒绝”“高风险调用必须经过审批”“撤销身份后旧令牌立即失效”。
用可验证性决定自主程度
自主程度不是越高越先进。更稳妥的原则是：动作越容易验证、影响越可逆，越适合自动化；越涉及敏感数据、资金、生产配置或法律责任，越需要明确授权和人工把关。即使模型给出了可信的理由，也不能把自然语言解释当作权限证明。
企业可据此建立分级策略：低风险检索和格式整理允许自动执行；对外发送、数据修改等操作先生成待确认结果；涉及生产系统、特权账户或大范围数据的操作，则要求强认证、审批、限时授权和事后审计。每一类自动化都应配套停止开关、回滚方案和异常升级路径。
给安全负责人一份可执行的检查清单
- 建立 Agent、服务身份、MCP 服务、API 与浏览器扩展的统一资产清单，并指定业务与技术负责人。
- 对每个 Agent 绘制“身份—工具—数据—动作”路径，标明读写权限、信任级别和敏感数据触点。
- 以最小权限配置工具和凭据，隔离不同信任级别的连接，并定期清理无人认领的令牌和服务账号。
- 对关键 API 和高影响动作启用运行时监控、速率与行为约束、人工审批以及可撤销的短时授权。
- 将漏洞修补与临时缓解并行管理，按真实暴露条件和业务影响排序，并为临时例外设置到期日。
- 定期用隔离测试验证提示注入、异常工具输出、跨域访问和回滚流程，记录证据并复测修复结果。
从试点阶段就把治理纳入设计
AI Agent 安全治理不是单独添加一层“模型防护”，而是把身份、API、数据、运行时控制和人工问责串成闭环。先有资产与权限清单，再设定什么任务可以自动完成、什么动作必须审批，最后用日志和测试结果证明控制确实生效。这样既不必因风险而一概阻止创新，也不会把未经约束的自主权误当成生产能力。
DELine 可协助企业梳理 AI Agent 与 MCP 接入面、评估身份和 API 权限、设计隔离与运行时控制，并制定可验证的试点治理流程。欢迎访问 DELine 官网 或通过联系我们讨论适合企业现状的安全评估与落地方案。
