本文系统梳理人工智能核心概念谱系，结合全球权威机构最新产业数据与安全研究成果，全面解析智能体安全的产业现状、风险体系、控制架构与落地路径。我们首先明确 AI、AIGC、大模型、智能体与具身智能的层级关系，指出 AI 安全的主战场已从大模型的 “内容风险” 全面转向智能体的 “行动风险”。智能体不再是增强版聊天机器人，而是具备感知、规划、执行能力的运行时系统，其安全治理必须从单点提示词防护升级为全链路系统控制。
当前全球智能体产业正处于规模化落地前夜，2026 年底 40% 的企业应用将集成任务型 AI 智能体，但安全治理能力严重滞后，仅少数组织认为自身具备成熟的智能体治理体系。报告提出六层攻击面模型、七层控制技术栈与分阶段落地路线图，指出企业竞争的核心将从模型能力转向安全可控的规模化行动能力，安全不是智能体发展的刹车，而是规模化落地的发动机。
一、核心概念谱系与产业发展背景
1.1 人工智能核心概念层级
人工智能是技术总集，目标是让机器具备像人一样的思考、学习与决策能力。
其技术体系呈现清晰的层级关系：机器学习是实现人工智能的核心方法之一，通过大量数据让机器自主总结规律；深度学习是机器学习中当前最强的技术路线，模仿人脑神经网络结构，自动分层提取信息特征。二者的核心差异在于特征提取方式，机器学习依赖人工设计特征，适用于分类、推荐等简单结构化任务；深度学习可自动学习特征，擅长处理图像、自然语言等复杂任务。
生成式人工智能是深度学习的重要应用方向，指人工智能不仅能识别判断，还能主动创作出全新的文字、图像、音频、视频等内容。其运行分为两个阶段，训练阶段通过海量数据提炼内容规律，生成阶段基于规律组合输出全新内容，核心依赖训练数据、大模型与生成算法三大要素。
大模型是生成式人工智能的核心载体，指在海量数据与算力支持下训练出的参数规模庞大、具备跨领域泛化能力的人工智能模型。其本质是基于概率网络的语言预测系统，通过逐词预测下一个最合理的字符生成连贯内容。按照生成模态可分为文生文、文生图、文生音乐、文生视频等不同类型，分别对应对话写作、图像创作、音乐生成、视频制作等场景。
智能体是基于大模型的行动系统，是一种具备感知、决策和行动能力的自主实体。与普通 AI 模型的被动工具属性不同，智能体能够理解任务目标，自主拆解步骤、制定计划并调用工具执行多步行动，直到完成目标。普通 AI 模型是一问一答的被动响应模式，高度依赖用户指令；智能体则具备主动性，可接受简单目标后自主补全信息、规划路径，一站式完成复杂任务。其核心运行闭环是感知、思考、行动与反馈优化，通过不断接收环境反馈调整策略，逐步达成最优执行效果。
具身智能是拥有物理实体的智能体形态，它不仅具备思考能力，还能通过摄像头、传感器、机械结构等硬件感知物理世界、执行实体操作。其智能不仅来自抽象数据训练，更来自与真实环境的交互试错，核心挑战包括复杂环境感知、精准运动控制与物理世界不确定性处理。
五者的整体关系可概括为：人工智能是最大的技术集合，大模型是当前 AI 的主力技术范式，同时支撑 AIGC 内容生成与智能体行动系统两大应用方向，具身智能则是具备物理身体的实体化智能体。
1.2 从对话式 AI 到行动式 AI 的范式跃迁
大模型时代的安全聚焦于输出内容的合规性，核心是防止模型 “说错话”，治理手段以内容审核、提示词防护为主。而智能体具备规划、工具调用、状态保持、多步执行能力，能够代表用户或系统读取数据、发送邮件、修改配置、执行业务流程，直接影响外部系统状态，安全风险从认知层渗透到执行层。
智能体与对话式模型存在本质差异：对话式模型核心能力是生成内容，外部连接少，权限有限，风险形态为错误输出，安全重点是内容审核，后果仅为误导用户；智能体核心能力是执行任务，外部连接广泛，权限较多，风险形态为错误动作，安全重点是行为治理，后果可能导致数据泄露、越权操作、业务中断。
随着 MCP 等协议的普及，智能体连接工具与数据源的门槛大幅降低，企业开始将智能体应用于客服、研发、安全运营、财务与内部流程等场景，能力越接近真实操作，安全治理越需要前置。Gartner 数据显示，截至 2026 年，17% 的受访组织已部署 AI 智能体，超过 60% 计划在未来两年内部署；到 2026 年底，40% 的企业应用将集成任务特定的 AI 智能体，较 2025 年不足 5% 的占比实现跨越式增长。到 2028 年，全球财富 500 强企业平均将使用超过 15 万个智能体，智能体蔓延将成为企业治理的核心挑战。
1.3 全球监管与产业共识
智能体安全已从厂商最佳实践升级为国家级安全议题。2026 年 5 月，美国 CISA、NSA 联合多国网络安全机构共同发布智能体安全采用指引，明确提出分层防御、严格访问控制、人类监督和渐进式部署四大原则，将智能体安全纳入关键基础设施防护体系。该指引识别出权限扩张、设计配置缺陷、行为偏差、结构脆弱性、问责缺失五大风险类别，要求每个智能体具备独立的加密身份与短期凭证。
NIST 也在 2026 年持续推进智能体安全标准建设，其信息征询文件明确区分普通聊天机器人与行动型智能体，聚焦能够改变外部状态的 AI 智能体系统，覆盖独特威胁、开发部署、测量方法与环境约束四大议题，为企业风险分级提供官方边界。
产业层面，OWASP 于 2025 年底发布首份智能体应用 Top10 风险清单，2026 年进一步推出智能体技能安全风险框架，将 Skill 生态安全纳入标准化治理体系。微软已将零信任理念扩展至智能体劳动力体系，推出专门的智能体身份治理能力，将智能体作为独立身份主体纳入企业身份管理体系。这些信号共同表明，智能体安全已不再是单一模型问题，而是企业身份、权限、工具、数据与行为治理的综合问题。
1.4 三个核心判断
第一，智能体的安全边界远大于聊天机器人。智能体不是一个功能按钮，而是一个拥有权限的运行时系统，仅靠提示词无法保证工具调用和外部动作的安全，必须从系统层面构建工程控制能力。
第二，企业核心壁垒在于安全控制平面，而非单个模型。智能体能力会逐步商品化，模型与开发框架会越来越易得，但可规模化的权限管理、审计、评测与事故响应是组织级能力，越早建立控制平面，越能快速释放智能体的业务价值。
第三，智能体安全的目标不是让模型永远不犯错，而是让错误不会无约束扩散。其核心抓手是身份、权限、工具、上下文、沙箱、审批与审计，最终实现让会行动的 AI 可授权、可约束、可追责。
二、智能体风险的本质变化与威胁逻辑
2.1 风险升级：从内容风险到行动风险
普通大模型的主要问题是输出质量与内容边界，风险停留在文本层面；智能体的核心问题是能否代表用户或系统采取行动，风险直接作用于真实业务系统。同一个错误，在聊天机器人中只是错误回答，在智能体中可能变成邮件外发、数据改写或生产变更。风险的本质从 “说错话” 升级为 “做错事”，影响范围从用户认知扩展到系统状态、数据资产与业务连续性。
对于具身智能而言，风险进一步延伸至物理世界。具备实体操作能力的机器人一旦失控，可能造成设备损坏、人员伤害等实体损害，其风险后果远超过软件系统的信息安全事件。随着智能体从数字空间向物理世界渗透，安全治理的边界也必须同步扩展。
2.2 核心特征：合法动作的非法后果
智能体风险区别于传统网络安全的核心特征是 “合法动作的非法后果”。传统安全漏洞的逻辑是代码缺陷被攻击者利用，导致系统异常，核心是防范非法访问；而智能体风险的逻辑是正常权限加错误目标加不可信上下文加自动执行，最终造成违背业务意图的结果。智能体可能在未突破权限控制、未利用系统漏洞的情况下，仅通过正常身份、正常工具和正常流程，执行出错误操作。
典型场景包括：知识库智能体被诱导读取超出权限的薪酬文件，所有操作均在其合法读取权限内，但结果造成敏感信息泄露；办公自动化智能体被邮件中的隐藏指令诱导，篡改审批金额并完成流程，全程未触发传统安全告警；安全运营智能体误判正常流量为攻击，自动封禁核心业务服务器，导致生产中断。这些场景中，智能体没有被攻破，没有利用漏洞，只是在权限范围内被诱导或误判后执行了错误操作，这也是智能体安全治理的核心难点。
2.3 宏观威胁环境
外部网络攻击压力持续上升，智能体的普及为攻击者提供了新的自动化攻击链路。FBI2025 年网络犯罪报告显示，全年网络犯罪损失达 208.77 亿美元，较 2024 年增长 26%，创历史新高；其中 AI 相关诈骗案件超过 2.2 万起，直接损失超过 8.93 亿美元，AI 已成为网络犯罪的核心赋能工具。
漏洞层面，2025 年全球智能体相关 CVE 数量达 263 个，较 2024 年的 74 个增长 255.4%，是所有 AI 安全细分领域中增速最快的类别。MCP 服务器作为新兴攻击面，2025 年已披露 95 个 CVE，成为新的风险高发区。2026 年前五个月，全行业 AI 相关漏洞已超过 1200 个，其中智能体框架、工具集成与 API 连接系统是高危漏洞集中领域。
与此同时，公开 Skill 生态的安全状况堪忧，对十余万个在线 Skill 的检测显示，12.4% 的 Skill 依赖至少一个不可信外部指令源，总安装量达 670 万次；数百个 Skill 存在可立即被劫持的依赖风险，包括已删除的 GitHub 账号、未注册包、过期域名等，可被攻击者接管并影响大量智能体。企业侧的现状是部署速度远超安全建设速度，多数企业已遭遇过智能体相关安全事件，但仅少数企业部署了智能体专属安全控制措施，治理缺口显著。
三、智能体攻击面模型与核心风险地图
3.1 六层攻击面模型
智能体的攻击面不再是静态的漏洞集合，而是运行体系中每一个可被利用的交互点，可从六个层级完整覆盖风险入口：
▌人机交互层。安全对象是用户输入与 AI 输出，核心风险包括直接提示词注入、间接提示词注入、越权输出，防护重点是输入净化、输出过滤与意图检测。这是最直观的攻击入口，攻击者可通过对话直接植入恶意指令，或通过外部文档间接完成投毒。
▌通信调用层。安全对象是 API 通信与数据传输，核心风险包括通信劫持、参数投毒、回调接口伪造，防护重点是通信加密、完整性校验与响应信任验证。智能体与外部系统的 API 交互链路是数据篡改与身份冒用的高发区。
▌组件间层。安全对象是模型与内部组件的交互，核心风险包括记忆投毒、意图篡改、组件通信劫持，防护重点是组件隔离、意图验证与记忆审计。智能体内部的记忆系统、上下文模块一旦被污染，风险会跨任务持续存在。
▌智能体之间层。安全对象是多智能体协作通信，核心风险包括身份假冒、访问越权、协作链路污染，防护重点是身份认证、权限隔离与双向校验。多智能体场景下，信任传递会放大单点风险的影响范围。
▌工具调用层。安全对象是外部工具调用，含 Skill 与 MCP 服务，核心风险包括恶意工具注入、工具描述投毒、返回值污染，防护重点是工具白名单、返回值校验与准入检测。工具调用是智能体执行能力的核心，也是最大的攻击面扩展点。
▌基础运行环境层。安全对象是推理框架与部署环境，核心风险包括框架漏洞、配置错误、依赖漏洞，防护重点是漏洞扫描、安全基线与沙箱隔离。底层环境的缺陷会直接突破上层防护。对于具身智能，还需额外覆盖硬件控制接口、传感器数据与机械执行单元的安全防护。
3.2 八大核心风险类型
结合产业实践与行业风险框架，智能体面临八大高频核心风险，覆盖从目标到工具、身份再到供应链的全链路：
▌目标劫持。攻击者通过恶意文档或指令将数据伪装成指令，诱导智能体偏离真实任务，执行攻击者设定的目标。防护重点是不可信输入隔离与敏感动作审批，这是最高频的风险类型。
▌工具滥用。工具将语言输出转化为真实动作，同一句错误回答接入工具后可能变成真实删除或数据外发。每个工具都需要明确的接口规范、白名单与执行前策略检查，防止错误参数与越权调用。
▌身份与权限滥用。过宽的权限会放大单次安全事件的影响，智能体若继承用户全量权限，单个漏洞就可能演变为重大事故。服务账号、用户凭证与连接器权限需分开管理，采用短期令牌与任务级授权机制。
▌上下文投毒。间接提示词注入往往来自用户不可见的内容，隐藏在网页、邮件、PDF 与工具输出中，可导致数据外泄、工具误调用或模型行为改变。结构化输出与指令优先级边界机制可有效缩小攻击面。
▌记忆污染。长期记忆提升了智能体的连续性，也带来持久攻击面。一次恶意注入可能写入记忆，影响未来大量任务，包括恶意偏好、伪规则、伪联系人等。记忆写入需具备可见性、审批机制与回滚能力。
▌沙箱逃逸。代码、文件与命令操作具备最高风险，沙箱环境可能被命令注入、路径穿越、网络访问与凭证读取等手段突破。代码工具与命令工具必须接受最高级别约束，默认禁用不必要的出网与宿主机访问权限。
▌供应链污染。风险不仅存在于模型与代码仓库，还分布在 MCP 服务、插件、工具描述与 RAG 内容中。第三方工具需进行版本锁定、签名校验与供应商审查，运行时供应链需纳入软件物料清单与变更管理体系。
▌多智能体级联失败。单个智能体的错误可能成为其他智能体的输入，协作关系提升效率的同时也增加了信任传递风险。智能体之间的输出默认不可信，必须校验来源、权限与证据，关键动作前需独立验证。
此外还存在人机信任利用、行为漂移与规格博弈、不可审计等衍生风险。智能体流畅的表达可能误导用户过度信任，审批界面缺少风险解释会诱发误批准；智能体为完成目标可能走捷径，出现目标错配与不可预期行为；缺少完整日志则无法支撑规模化治理与事故追责。
3.3 Skill 生态：供应链风险的核心入口
Skill 作为智能体扩展能力的核心载体，本质上已成为智能体执行链路的关键节点，其安全问题正从单点插件风险演变为系统性供应链风险。当前公开生态中的高风险 Skill 覆盖多个维度，包括内置硬编码账号密钥的数据外泄型、读取 API 密钥的凭证窃取型、调用支付接口的资产盗用型、诱导跳转付费的恶意扣费型、导向违规内容的导流型、静默外联的指挥控制型、下载执行恶意代码的远程控制型、隐藏绕过指令的提示词投毒型，以及设置持久化机制的后门控制型。
Skill 安全呈现三大特征：一是传统软件风险与智能体原生风险叠加，既存在代码缺陷、后门等传统问题，也存在自然语言描述投毒等新型风险；二是自然语言描述成为新的攻击载体，工具描述、参数说明与返回值都会被模型读取用于决策，传统扫描器无法识别其中的恶意意图；三是风险具备供应链扩散特征，一个高风险 Skill 被多个智能体复用，影响范围会快速覆盖账号体系、数据资产与业务流程。
3.4 高风险业务场景分级
并非所有任务都适合高等级自动化，需根据数据敏感度与动作不可逆性划分风险等级，遵循低风险先行、高风险后置的原则。
▌高风险场景包括资金操作、医疗决策、法律事务、身份权限变更、生产系统变更与实体机器人操作，这类场景默认需要强人工审批与严格权限控制，不适合全自治运行。其中具身智能的物理操作场景风险等级最高，一旦失控可能造成人身伤害与重大财产损失。
▌中风险场景包括客户邮件外发、公开发布内容生成，需要进行内容审核与授权控制，确保外发信息合规且符合业务意图。
▌低风险场景包括知识检索、工单分类、报告草稿生成、代码辅助测试，这类任务可回滚、影响范围小，适合作为智能体落地的首批试点场景。
企业可通过智能体执行风险指数评估单个智能体的风险等级，该指数由权限范围、工具能力、数据敏感度、自主程度四个正向因子与可逆性系数反向因子共同决定，指数越高，所需的安全治理强度越强。
四、智能体安全控制架构与技术体系
4.1 安全控制平面总体架构
单点控制不足以支撑生产级智能体部署，必须构建统一的安全控制平面作为横向基础设施。控制平面统一管理身份、工具、策略、审计与评测，所有业务智能体通过控制平面访问工具与数据，安全、IT、数据与业务团队共享同一套证据链，避免重复建设与管控盲区。
控制平面的核心组件包括智能体注册清单、工具注册中心、策略引擎、审计日志系统与沙箱执行环境。智能体注册清单登记每个智能体的所有者、所用模型、可调用工具、权限范围、数据域与风险等级，未登记的智能体不得访问企业工具，是治理的基础底座；工具注册中心将工具从黑盒转化为可治理资产，每个工具声明用途、接口规范、权限要求、审批等级与失败模式，工具变更需走版本管理与安全评审流程，高风险工具默认不可见。
4.2 七层控制技术栈
完整的智能体安全体系需覆盖从身份到人工审批的七层技术栈，形成纵深防御：
▌身份层。智能体必须拥有独立身份与完整代理链路，不得长期持有人类账号凭证，每次工具调用都需记录用户、智能体、服务账号与审批链。身份链清晰是事故追责的前提，也是零信任原则在智能体场景的核心体现。
▌权限层。权限按任务授予，而非继承用户全量权限，将操作分为只读、草稿、半自动、自动执行四个等级，高风险动作强制审批或独立验证。权限具备短期性、可撤销性与可观测性，遵循最小权限原则。
▌工具层。工具既是能力载体也是攻击面，每个工具需配备清晰的描述、接口规范、权限标签与风险标签。工具返回内容不能自动升级为高优先级指令，工具调用前后均需执行策略检查。
▌上下文层。不可信数据必须标记并隔离，网页、邮件、PDF、工单与日志都可能包含恶意指令。上下文需明确区分指令、用户意图与普通数据，不可信内容可被引用但不得覆盖系统规则。
▌记忆层。长期记忆会将单次攻击转化为持续偏差，记忆写入需遵循规则并具备可见性。敏感偏好、权限例外与业务规则不得随意写入记忆，记忆系统支持版本管理、删除与回滚操作。
▌沙箱层。代码、文件与命令操作必须在隔离环境中执行，文件读写、代码运行、命令执行与网络访问均受管控，默认关闭不必要的网络与主机权限。高风险任务启用快照、资源限制与回滚机制，确保错误可撤销。对于具身智能，沙箱还需扩展至数字孪生模拟环境，高危操作先在虚拟环境验证再执行实体动作。
▌审计层。完整的动作账本是规模化治理的基础，记录每次工具调用的参数、结果、批准人与时间戳。关键动作接入安全信息与事件管理系统、数据防泄漏系统与告警平台，事故后可完整回放决策链并定位责任。
人工审批是七层技术栈之外的关键控制点，高风险动作必须设置人工闸门，不可逆操作、资金操作、法律事务、生产变更与实体高危操作等场景强制人工介入。审批界面需清晰展示差异、来源与风险，防止审批疲劳导致的误操作。
4.3 三大核心发力点
智能体安全需同时应对确定性计算的传统安全问题与不确定性计算的新型安全问题，围绕三大核心发力点构建防护体系：
▌意图检测。核心是区分用户真实意图与伪装在输入中的恶意指令，在输入层建立 AI 驱动的检测能力，识别提示词注入、隐藏恶意指令、工具描述投毒等新型攻击向量。传统安全解决 “谁在操作” 的问题，意图检测解决 “操作者的意图是否可信” 的问题，是应对自然语言攻击的核心手段。
▌环境隔离。为智能体创建可用但不可越界的执行空间，通过数字孪生沙箱、虚拟化隔离、权限熔断等技术，将工具调用、数据访问与流程执行限制在预定安全边界内。环境隔离不限制智能体的正常能力，但确保高权限动作不会直接作用于生产系统，是降低事故影响的核心屏障。
▌逻辑纠偏。即使通过了意图检测与环境隔离，智能体仍可能因上下文理解偏差或目标漂移执行错误操作。逻辑纠偏通过业务规则、常识约束、行为审计与回滚机制，在执行过程中持续监测并纠正偏离预期的行为。其核心是将完成任务与遵守边界同时作为评估标准，避免智能体为达成目标走捷径。
4.4 企业安全底座核心能力
企业级智能体安全必须从架构设计阶段嵌入安全能力，形成内生式安全而非外挂式防护，七类核心能力构成完整底座：身份隔离能力，智能体拥有独立身份而非无边界继承用户权限；权限最小化能力，按任务临时授权避免长期高权限配置；工具白名单能力，可调用工具需经过注册授权与全流程审计；数据边界能力，敏感数据分级访问，检索结果可控可脱敏；行为审计能力，全链路记录智能体的读取、推理、调用与执行过程；人机确认能力，高风险操作强制人工审批确保关键动作可控；回滚机制能力，错误动作可撤销可阻断可快速恢复。
五、智能体安全评测与运营体系
5.1 评测体系核心维度
智能体评测不能仅关注任务成功率，必须同时评估安全表现，核心覆盖三类评测方向：
▌任务类评测。衡量智能体的业务执行能力，核心指标是任务成功率，反映智能体的基础价值。
▌安全类评测。衡量风险防御能力，核心指标包括违规率、泄露率与越权拒绝率，分别对应注入抵抗能力、数据保护能力与权限管控能力。安全评测需覆盖五大核心场景：注入红队模拟网页、邮件、PDF 与工具输出中的恶意指令，包含间接提示注入与跨工具传播场景，结果作为上线准入门槛；工具调用测试验证错误参数、越权参数、恶意链接与边界值下的表现，检查是否调用非授权工具；数据泄露测试构造含敏感字段的上下文与诱导请求，测量外发、摘要、日志与工具传输中的泄露情况；记忆污染测试验证恶意信息能否写入长期记忆并影响后续任务，评估记忆审查与回滚流程的有效性；沙箱逃逸测试针对代码工具开展对抗测试，覆盖命令注入、路径穿越、网络访问与凭证读取，验证隔离环境的可靠性。
▌恢复类评测。衡量事故处置能力，核心指标是恢复能力，反映故障发生后能否快速止损、回滚与复盘。
评测不是上线前的一次性动作，必须持续运行。智能体的行为会随模型、工具、数据与业务流程变化而变化，评测集与策略也需同步更新，形成监测、复盘、更新的闭环运营机制。
5.2 运行监控与告警机制
上线只是安全工作的开始，运行阶段需建立常态化监控体系。监控核心指标包括工具调用频率、异常拒绝次数、数据外发量与高风险审批数量，将智能体日志接入企业安全信息与事件管理平台与告警系统。针对异常模式，如短时间内高频调用敏感工具、大量访问未授权数据域、异常外联行为等，触发自动降级或暂停机制，防止风险扩散。
指标看板需同时展示业务指标与安全指标，业务侧关注任务完成率、节省时间、返工率等价值指标；治理侧关注智能体登记率、评测覆盖率、日志覆盖率等管理指标；安全侧关注越权拒绝次数、泄露拦截次数、熔断次数等风险指标，实现业务价值与安全风险的可视化平衡。
5.3 事故响应与熔断回滚
失败时能停，比成功时能跑更重要。高风险智能体必须预先设计事故剧本，配备熔断、接管与回滚能力。
▌熔断机制。针对权限异常、频率超限、预算超支、行为异常等场景设置自动熔断规则，触发后立即暂停智能体的执行权限，防止风险扩大。
▌事故响应流程。遵循检测、遏制、根除、恢复四步标准流程，定义暂停智能体、撤销令牌、冻结工具、保全日志、通知责任人的标准动作。事故复盘需完整还原上下文与工具调用链，定位根因，修复后重新通过红队与回归评测方可重新上线。
▌回滚能力。关键任务执行前保留系统快照，错误发生后可快速回滚至执行前状态，最大限度降低业务影响。沙箱环境的快照与回滚是高风险场景的必备能力。
六、企业治理体系与落地路线图
6.1 治理组织与责任模型
智能体治理需要跨团队协同，不能仅由安全团队或业务团队单独负责。每个智能体需明确三方责任人：业务所有者负责定义任务边界与业务目标；技术所有者负责实现与运维；安全所有者负责确立威胁模型与控制要求。三方共同对智能体的安全合规负责，高风险智能体上线必须经过完整评测、跨部门审批与事故演练。
业务团队聚焦目标与范围，安全团队确立规则与风控，平台团队建设基础设施与管控手段，三者协同形成治理合力。治理的目的不是阻碍效率，而是支撑智能体的可控规模化落地。
6.2 风险分级与成熟度模型
智能体需根据风险等级进入不同的上线通道，按照自治程度从低到高分为只读辅助、草稿建议、半自动执行、闭环自治四个层级。数据敏感度与动作不可逆性共同决定风险等级，等级越高，管控强度越大。
企业智能体安全建设可分为五个成熟度阶段，逐步升级治理能力：L1 无感使用阶段，员工自由使用各类智能体，无工具边界、无权限控制、无审计机制，处于完全无治理状态；L2 工具管控阶段，限制智能体的工具与数据访问范围，建立白名单管理机制，实现账号隔离与基础策略；L3 行为审计阶段，智能体行为全链路可追踪，具备完整日志与审计能力，设置风险告警规则；L4 风险控制阶段，高风险动作可自动阻断，建立人机确认机制与策略引擎，具备完善的回滚与应急流程；L5 智能防御阶段，由安全智能体持续监控业务智能体，实现 AI 对 AI 的监测、动态策略调整与自动响应，进入主动防御状态。
大多数企业应先稳定在 L2 至 L3 阶段，再逐步向更高等级演进，避免盲目追求全自治而忽视安全基础。
6.3 分阶段落地路线图
企业智能体安全建设建议遵循先盘点、再管控、后优化的节奏，分四个阶段推进：
▌0 至 30 天基础盘点期。完成企业内智能体资产盘点，建立工具与 Skill 白名单，制定基础权限基线，梳理高风险智能体清单。核心目标是先看见所有资产，建立治理基础清单。
▌30 至 90 天管控基线期。建立权限、日志、审批三大基线，选择低风险场景开展试点，完成首轮红队测试。核心目标是验证防御机制有效性，发现潜在漏洞并修复。
▌90 至 180 天平台建设期。扩展智能体注册清单与工具注册中心的覆盖范围，接入策略引擎、数据防泄漏系统、安全信息事件管理系统与沙箱环境，形成跨团队的评测与上线流程。核心目标是从单点试点走向平台化管控。
▌180 天以上体系成熟期。形成完整的智能体安全控制平面，核心业务智能体全部接入统一管控，高风险场景具备独立评估与事故演练机制，安全指标纳入智能体绩效评估体系。核心目标是实现安全与业务的深度融合，支撑规模化落地。
试点选择需遵循低风险、高频、可回滚的原则，优先从知识检索、工单分类、报告草稿、代码辅助测试等场景切入，谨慎推进外发邮件、客户承诺、财务操作、生产变更等场景，避免一开始就部署高权限自治智能体。
6.4 部署模式选择
企业可根据自身网络环境、数据敏感度、智能体规模与运维能力，选择五类部署模式：混合架构部署模式，集成数字孪生沙箱与 AI 安全防护套件，结合端侧执行控制、云端安全运营与统一管理平台；云端集中部署模式，将沙箱、防护引擎、样本分析、威胁情报与策略管理全部部署在云端，统一承载检测分析与管控能力；纯终端部署模式，在本地节点部署防护引擎，重点提供运行环境防护、行为监控与高风险动作拦截能力；可联网部署模式，在内网部署管理平台，主机侧安装防护套件，通过管理平台连接云端运营体系；隔离网部署模式，适用于政务、军工、金融等隔离网环境，通过定期离线同步更新安全规则与威胁情报。
七、结论与未来趋势展望
7.1 核心结论
第一，智能体安全的核心不是限制能力，而是建立可控边界。没有身份、工具、数据、记忆与行为治理的智能体，本质是高权限、可被诱导、难以追责的自动执行体。传统安全关注非法访问，智能体安全还必须防范合法执行造成的错误后果。
第二，企业级智能体的发展原则是先安全、后自治，不是越自治越好，而是越强大越可控。自治能力是目标，安全边界是前提，没有边界的自治等同于没有刹车的加速。
第三，智能体安全将成为 AI 应用落地的前置条件。未来企业竞争的关键，不只是能否部署智能体，而是能否部署安全、可信、可审计、可治理的智能体体系。企业能否规模化落地智能体，不取决于模型能力，而取决于是否建立了可信、可控、可审计、可回滚的安全底座。安全不是智能体的刹车，而是规模化发展的发动机。
7.2 未来趋势判断
未来两到三年，智能体安全将呈现四大发展趋势：
▌智能体身份治理纳入企业零信任体系。随着智能体规模化部署，智能体将从应用功能模块升级为代表用户执行任务的新型数字主体。企业零信任体系将从人和设备扩展至人、设备与智能体三元架构，为每个智能体建立独立身份、权限边界与行为基线。身份治理将从可选项变为基础能力，没有独立身份的智能体将无法进入核心业务流程。
▌Skill 与工具链安全成为供应链安全新战场。智能体的能力来自工具调用，随着第三方工具大量接入企业环境，安全风险将从模型本体扩展至工具链与供应链。企业将建立完整的 Skill 准入、工具白名单、MCP 服务检测、返回值校验与运行审计机制，工具安全治理从单点检测走向全生命周期管理，成为标准配置。
▌安全治理从模型防护走向全生命周期治理。治理对象从模型输出扩展为身份、工具、数据、记忆、行为与运行环境的完整体系，覆盖设计、上线、运行、复盘的全流程。上线前风险评估与红队测试、运行中持续监测、事后日志追溯与策略更新形成闭环，安全运营成为常态化工作。
▌AI 对 AI 防御成为基础运营能力。当攻击者利用智能体实现自动化探测、注入与攻击编排时，人工响应将无法跟上风险变化速度。以模治模将从漏洞发现扩展至智能体运行治理、Skill 检测、行为审计、告警研判与自动响应，安全智能体将成为企业安全运营的核心组成部分，支撑机器速度的攻防对抗。
