清华大学:2026智能体安全研究报告

2026年，Agent（智能体）从概念验证走向生产部署，OpenAI、Google、Anthropic等厂商的Agent SDK陆续成熟，MCP成为连接模型与外部工具的事实标准。Agent的能力越强，其被滥用或失控后的破坏力也越大。清华大学这份80页报告的核心公式直截了当：Agent Safety = Identity + Policy + Tools + Logs——四个字面背后，是智能体安全从"单点防御"转向"体系化架构"的系统性思考。

一、Agent的演进，本质是自主权的扩大

报告梳理了从Chatbot到Copilot、再到Agent和Autonomy的演进路径。每一级跃迁都意味着模型对外部世界的操作权限在增加。传统AI安全关注模型输出的"内容安全"，而Agent安全关注的是行为安全——Agent在获得用户授权后实际做了什么、访问了哪些数据、是否被外部指令劫持改变了目标。

报告引用CISA和NSA联合发布的"Careful Adoption"指南，将Agentic AI列为需要"谨慎采用"的新兴技术类别。NIST也在2026年初就AI Agent系统的安全考虑向公众征求意见。监管层的态度已经清晰：Agent不是普通软件，其安全要求对标关键基础设施。

二、攻击面：从指令劫持到供应链渗透

报告对Agent的攻击面进行了系统拆解，涵盖从输入层到执行层的全链路风险。

指令攻击（Instruction Attacks） 是最直接的威胁。攻击者通过注入恶意提示词、隐藏指令或利用PDF/网页等载体中的不可见内容，诱导Agent偏离原定目标。Agent处理的多模态输入大大扩展了攻击面，传统文本过滤已不足以应对。

工具滥用与过度授权 是另一大核心风险。Agent通过MCP连接数据库、代码执行环境、云服务时，如果权限配置粗放，可能出现"过度共享上下文"或"工具调用泄露"问题。NSA专门针对MCP发布了安全指南，提醒权限边界设计直接关系Agent的安全基线。

Agent劫持（Agent Hijacking） 是更高阶的威胁。攻击者一旦控制Agent的决策链，就可能利用其合法身份执行非法操作，例如以正常业务流程为掩护进行数据窃取或资产转移。此外，报告还覆盖了隐私泄露、供应链攻击、Agent间横向移动等场景。OWASP在2026年发布的Agentic Applications Top 10，几乎与报告的攻击面分析一一对应。

三、安全架构：四位一体的Control Plane

面对上述攻击面，报告提出的核心架构是Agent Safety Control Plane（安全控制平面）。这一架构将分散的安全能力整合为一个统一管理层，与Agent的业务执行层解耦。

Agent Registry（注册表） 是Control Plane的基础设施。每个Agent在Registry中登记其Owner、所用模型、工具权限、访问范围等元信息，相当于为Agent建立了"数字身份证"。

Schema验证与Allowlist 是工具层的核心防线。Agent对外部工具的调用必须经过严格的Schema校验，只允许访问白名单内的接口和数据源。"默认拒绝"（Default Deny）应成为Agent工具调用的基本原则。

Action Ledger（行动账本） 记录Agent每一次感知、规划、工具调用和执行结果，形成完整的审计链条。与传统日志不同，Ledger以Agent的决策周期为单位，天然支持回滚和快照。

Sandbox与DLP 构成执行层的安全边界。Agent的代码执行、文件操作和网络访问应被限制在沙箱中，DLP机制则防止Agent将敏感数据外发。

四、从检测到治理：安全运营闭环

报告不仅关注技术架构，也关注安全运营的落地。其提出的Detect-Monitor-Governance三层运营模型，与ISO 27001及CISA Secure by Design原则相衔接。

检测层（Detect） 强调对Agent异常行为的实时识别，包括权限越界、工具调用模式突变等。监控层（Monitor） 通过Eval Dashboard对运行状态进行可视化度量。治理层（Governance） 则将Agent安全纳入企业整体风险管理体系，明确Owner责任制。

「洞察：」报告将Agent安全与NIST SSDF和CISA Secure by Design挂钩，意味着Agent安全不是运维阶段的补丁，而是需要从设计阶段就嵌入的工程约束。

「竞争位势：」国际主流云厂商（OpenAI、Google Cloud、Azure）均在2025-2026年间发布了各自的Agent安全框架。国内企业的Agent安全能力建设仍处于早期，这份报告提供了与国际主流框架对齐的本土化参考，在结合中国网络安全法规方面具有独特价值。

五、成熟度路径：L0到L4的分级建议

报告给出了Agent安全的成熟度分级模型，从L0（无专门安全控制）到L4（全自动安全治理）。L2-L3是大多数企业未来1-2年内的合理目标：具备Registry管理、Schema验证、Ledger审计和基础DLP能力。L4则需要AI驱动的自适应安全策略和跨Agent协同防御。

Agent安全不是"全有或全无"的命题，企业可以根据业务风险和Agent复杂程度分阶段建设。

结语

清华大学的这份报告传递了一个核心判断：Agent的安全不能依赖模型自身的对齐能力，而必须依靠外部架构的强制约束。Identity、Policy、Tools、Logs四个字面，本质上是对"谁在用、能做什么、做了什么、如何追溯"四个问题的工程化回答。

对于正在规划或部署Agent的企业而言，这份报告的价值在于将散落在各厂商文档、监管指南中的安全要求整合为一套可落地的架构框架。在Agent从"能用"走向"敢用"的过程中，这样的系统性梳理是必要的基础建设。

本文基于清华大学《智能体安全研究报告》（2026年6月）撰写，详细内容请查阅原文。