媒体声音 | 从大模型到智能体：AI安全治理系统的范式升级
颁布功夫 2026-06-17AI从大模型天生跃迁至智能体自主执行 ，安全沉心由内容合规转向行为约束 。智能面子对跨层级攻击链风险 ，需构建“入口干净、过程可控、执行受限”的全链路防护 ，并升级为覆盖网络、利用、数据、供给链、运营、评测的“六维一体”治理系统 。
人为智能技术正从大模型内容天生向智能体自主执行加快跃迁 ，这一转变从底子上沉构了人为智能安全的治理逻辑与风险天堑 。在大模型时期 ，安全的主题在于天生内容是否合规 ，风险重要为输出内容的合法性、数据泄露、事实幻觉与私见歧视等方面 ，治理以“内容治理”为主 ，通过输入过滤、输出审核、模型对齐和数据脱敏实现防护 ，风险重要集中于内容与决策辅助层面 。
进入智能体阶段 ，由于其具备挪用工具、自主执杏注悠久影象与多智能体协一致能力 ，人为智能可从被动问答升级为直接操作文件、执行号令、接见API并联动业务系统 。此时 ，智能体的安全沉点不再是“回覆是否正确” ，而是是否会越权行事、谬误操作或引发链式失控 。例如 ，攻击者可利用提醒注入、恶意技术、网关绕过等伎俩实现远程代码执杏注节造主机与窃取数据 。
这充分批注 ，智能体的风险已从单点缝隙扩大为系统性、跨层级、可传导的失控风险 。因而 ，从大模型到智能体的安全治理 ，亟须实现三个关键转变：从管控输出转向约束行为 ，从单点防护转向全链路治理 ，从被动审核转向自动控权 。
智能体安全风险
一、攻击面：六大风险入口
智能体的安全威胁存在于其分层架构的每一环节 。结合OpenClaw实战缝隙与OWASP智能体安全框架 ，可将智能体的整体安全威胁划分为以下六个关键层面 ，它们互有关联 ，使风险得以逐级传导 。
一是输入与接入层 。作为智能体最表层入口 ，涵盖用户提醒词 （Prompt）、表部利用法式编程接口（API）、网络钩子（Webhook）及各类新闻平台接入蹊径 ，是攻击的第一落点 。主题风险来自身份校验失效与输入攻击 。
二是技术/插件/市场层 。该层是智能体生态的主题攻击面 ，技术并非单一提醒模板 ，而是蕴含执行逻辑、权限申明、剧本与配置的可执行行为包 ，可直接操控智能体行为 。
三是高低文与影象层 。该层承载短期会话、持久向量库与检索加强天生（RAG）知识库 ，是智能体决策的主题凭据 ，也是高价值攻击指标 。重要风险蕴含影象投毒、高低文劫持、RAG传染与影象泄露 ，攻击者通过植入恶意影象、篡改会话汗青、传染检索数据 ，可持久扭曲决策逻辑 。
四是调杜纂决策层 。作为智能体的“大脑” ，该层掌管工作拆解、蹊径规划与推理执行 ，主题风险重要阐发为决策操控与逻辑偏移 。攻击者可通过语义劫持篡改工作指标 ，疏导智能体执行恶意打算 。
五是工具与执行层 。该层是智能体衔接表部系统的关键环节 ，掌管API挪用、号令执行等操作 。缝隙可导致工具滥用、越权执杏注号令白名单绕过等 ，是风险产生内容风险的主题层 。
六是运行时与表部环境层 。该层是智能体的底层运行底座 ，涵盖容器、操作系统、网络与云基础设施 。重要风险为沙箱逃逸、权限过高、端口露出与运行时劫持 。
综上 ，攻击者往往从表层入口切入 ，利用内部逻辑脆弱点逐级渗入 ，最终可实现对智能体及关联业务系统的齐全节造 。
二、攻击链：六段式跨层传导
智能体攻击的主题特点在于风险可跨层级传导与链式放大 。参考OpenClaw实战缝隙链与网络杀伤链模型 ，可将其概括为以下六段式尺度攻击链 ，最终形成“从输入到失控”的齐全关环 。
一是输入注入 。作为攻击者通过输入与接入层 ，将恶意指令嵌入用户输入、表部数据、工具返回值中 ，蕴含直接提醒注入、间接注入、匹敌性令牌注入等 。该阶段不直接执行操作 ，仅实现“恶意指令植入” ，是攻击的入口环节 。
二是语义劫持 。注入的恶意指令扭曲模型的语义理解 ，使智能体将攻击者意图鉴别为合法指标 ，实现“认知劫持” 。此时 ，模型并未被“越狱” ，但决策逻辑已产生偏移 ，为后续行动提供合法性凭据 。
三是状态传染 。恶意信息被写入智能体的高低文或悠久化影象 ，实现“状态投毒” 。被传染后的影象会持续影清脆续多轮交互 ，即便攻击者终场输入 ，智能体仍会基于传染状态执行恶意操作 ，实现攻击的悠久化 。
四是决策操控 �；诖镜母叩臀挠胗跋� ，智能体的工作规划被齐全疏导 ，天生切合攻击者意图的执行打算 ，从而绕过内置安全约束 ，标志取其“自主决策权”已被攻击者收受 。
五是工具利用 。被操控的智能体挪用高权限工具、API 或表部系统 ，如号令执杏注网络要求等 ，实现权限利用与资源接见 。
六是行为执行 。在攻击最终落地阶段 ，智能体执行恶意操作产生现实风险 ，如数据泄露、系统粉碎、远程代码执行或横向渗入等 。
由此可见 ，智能体安全风险的性质在于跨层级攻击链的买通 。传统单点防护无法阻断链式攻击 ，必须针对攻击链全节点执行分层阻断 。
三、风险类型：三大风险维度
结合OWASP颁布的Agentic Skills Top10（AST10安全尺度 ，以及全国网络安全尺度化技术委员会（TC260）颁布的《网络安全尺度化技术钻研汇报》中提出的智能体11类主题风险与实战缝隙 ，可将智能体风险综合为节造类、数据类、执行类三个维度 。
一是节造类风险 。该类风险的主题是智能体节造权被窃取 ，是最致命的风险类型 。具体蕴含：越狱攻击、权限绕过、智能体失控、身份仿冒 。该类风险直接导致智能体沦为攻击者的“傀儡” ，是安全治理的首要防控指标 。
二是数据类风险 。该类风险的主题是数据可信性与保密性失效 。具体蕴含：数据泄露、隐衷露出、RAG传染、数据篡改、影象把持 。数据是智能体决策的基础 ，数据不成信直接导致决策不成控 。
三是执行类风险 。该类风险的主题是智能体行为越界与粉碎性执行 。具体蕴含：工具滥用、表部系统攻击、多智能体协同攻击、悠久化粉碎 。该类风险是智能体安全的最终落地风险 ，直接导致业务与现实损失 。
智能体安全防护
智能体安全的主题矛盾是自主执行能力与风险可控要求的平衡 。鉴于风险的链式传导特点 ，防护的主题不再是“建补单点缝隙” ，而是在攻击链的关键节点执行分层阻断 ，构建“入口干净、过程可控、执行受限”的全链路防护系统 �；诠セ髁戳锥� ，形成攻击链——防护措施的映射 ，实现每一段攻击的有效阻断（如表所示） 。
表 攻击链——防护措施的映射
一、入口要干净
严控输入与接入层 ，确保“身份可信、输入干净、起源可溯” ，这是阻断攻击链的第一路防线 。
实际中需解决两大难点：一是多模态输入的恶意指令鉴别 ，需结合多模态检测模型实现跨体式统一校验；二是身份校验落地误差 ，常见于部吩祗业为图便捷选取可变字段 ，导致身份仿冒风险 。落地关键是将平台不成变ID设为唯一身份锚点 ，禁用可变字段作为校验凭据 ，成立接入渠路可信分级与白名单机造 。
二、过程要可控
约束智能体的语义理解、影象状态与决策逻辑 ，实现“认知不扭曲、影象不传染、决策不越界” ，阻断攻击链的中央传导环节 。
实际中需突破两大难点：一是语义劫持的荫蔽性鉴别 ，需构建场景化语义校验模型以拦截恶意诱导；二是影象传染的悠久化断根 ，需成立影象全性命周期治理与检测算帐机造 。同时强化决策可诠释性 ，通过日志追忆决策逻辑 ，急剧定位传染源头 ，预防攻击链向执行层传导 。
三、执行要受限
收紧工具挪用与执行环境权限 ，实现“权限最幼化、执行沙箱化、行为可审计” ，守住防护系统最后一路防线 。
实际中需解决三大难点：一是工具权限动态适配 ，成立权限与工作的动态绑定、用完即销机造；二是防备沙箱逃逸 ，强化沙箱隔离强度 ，对号令执前进行语义级校验；三是提升行为审计有效性 ，引入AI异常检测模型实现高危操作实时拦截与溯源 。
智能体安全治理
仅依赖技术层面的攻击链阻断 ，无法从底子上解决智能体安全问题 。智能体安全涉及架构、权限、数据、供给链、运营、评测全维度 ，必须从单点技术防护升级为系统化安全治理 。为此 ，28圈提出构建“六维一体”的智能体安全治理框架 ，覆盖技术、治理、运营与合规全流程 ， 形成“ 技术防护 + 治理运营 + 持续评估 ” 的治理关环 。
一、网络和系统安全
作为智能体安全治理的底层基础 ，该维度覆盖云、网、边、端全环境 ，主题指标是隔离风险、加固环境、封堵底层缝隙 。关键措施蕴含：默认选取Docker沙箱或虚构机进行隔离运行 ，不容主机模式直接执行；预防将服务器端口露出于公网 ，远程接见需强造加密与强认证；使用专用低权限账户运行智能体 ，实时建复框架缝隙；严格限度容器绑定挂载、网络定名空间强校验 ，屏蔽敏感主机蹊径 ，预防容器逃逸 。
二、利用和身份安全
作为智能体安全治理的主题抓手 ，该维度聚焦“谁可控、有何权” ，遵循最幼权限、身份唯一权责清澈准则 。为用户、智能体及技术分配唯一不成变身份标识 ，执行多成分认证与细粒度权限划分 。实现跨层权限隔离 ，技术权限与工作绑定、动态回收；全流程纪录操作日志 ，实现权责可追 溯、违规可取证 。
三、数据和业务安全
该维度萦绕智能体的数据全性命周期 ，保险数据的保密性、齐全性与可用性 。执行数据分级分类 ，隐衷信息实时脱敏、 敏感数据加密存储 。对RAG数据源成立白名单并定期校验 ，确保数据齐全性 。将智能体操作与关键业务流程绑定 ，对沉要操作设置人为确认环节 ，杜绝越权 行为 。
四、供给链安全
智能体的技术、插件与第三方组件是攻击沉点 ，须施杏装安全左移” 。严格限造组件起源 ，禁用未经验证的插件；对技术进行语义扫描、行为分析、缝隙检测；对引入的组件执行缝隙扫描、哈希校验与数字署名；锁定技术或组件版本 ，不容自动更新 ，升级前需沉新安全扫描 。
五、安全运营与应急
智能体风险拥有动态性与传导性 ，必须纳入企业安全运营（SOC）系统 。应实时监控智能体输入、决策、挪用与执行行为 ，鉴别异常操作；造订失控应急预案 ，支持一键关停、权限回收蹬爪急措置；在多智能体场景中执行行为隔离 ，预防风险扩散；定期发展权限审计与战术调优 ，实现动态防护 。
六、安全效力评测
成立可量化、可评测、可验证的评测系统 。应发展覆盖提醒注入、权限绕过、沙箱逃逸等场景的安全测试；自动化扫描智能体、技术及环境缝隙 ，天生风险汇报；凭据有关安全尺度进行合规评估；构建系统化的安全能力指标系统 ，量化防护成效、风险等级、响应效能 ，支持持续优化 。
该框架实现了技术与治理融合、防护与运营协同、左移与右移结合 ，构建了覆盖智能体全性命周期、全维度的安全治理系统 ，是企业落地智能体安全的主题框架 。
将来趋向
从大模型安全治理到智能体安全治理的范式升级 ，不仅是当前技术演进与风险应对的必然选择 ，更将随着智能体技术的持续迭代出现出清澈的发展方向与治理新要求 ，将来趋向重要体此刻以下三个方面 。
一是多智能体安全 。随着多智能体协同成为主流 ，风险将由单点失控升级为群体级、系统性风险 ，重要阐发为协同扩散、联动攻击与战术同谋等状态 。将来 ，安全治理将从“单体防护” 升级为多智能体系统治理 ，沉点突破协同和谈安全、群体行为管控与跨Agent权限隔离 ，预防风险级联放大 。
二是尺度化驱动 。尺度化将成为智能体安全规�；涞氐闹魈庵С� 。在国内 ，以TC260为代表构建智能体安全尺度系统 ，国际上ITU-T、ISO/IEC、OWASP同步推动安全基线与认证框架 。将来将萦绕身份系统、交互和谈、评估步骤、供给链安全形成统一尺度 ，推动安全治理从企业实际走向行业统一规范 。
三是安全即服务 。智能体安全将朝着平台化、服务化、原生化方向发展 。安全能力从“过后表挂”转变为贯通全性命周期的原生内建 ，依附安全中台实现战术、权限、审计与响应的统一管控 ，并逐步引入AI驱动机造 ，达成自动检测、自动防护与自动建复 ，最终实现安全与能力同设计、同部署、同运行 。
文章引自于：《中国信息安全》
京公网安备11010802024551号