AI安全系列报告-智能体安全新范式_49页_2mb

智能体安全新范式总结

核心内容

本报告探讨了智能体（Agent）安全的新范式，指出随着 AI 从“生成内容”向“执行任务”演进，企业安全边界必须从传统的网络、终端和账号扩展到身份、工具、数据、记忆、行为和运行环境等维度。智能体安全不再仅关注模型输出的可靠性，更关注其执行任务时可能带来的风险，特别是“合法动作的非法后果”。

主要观点

• 智能体安全与传统 AI 安全不同：传统 AI 安全关注“说错话”，而智能体安全关注“做错事”，涉及执行能力带来的风险。
• 风险层级、路径和治理对象发生变化：智能体风险不再局限于模型本身，而是贯穿其执行链路，包括身份、工具、数据、记忆和行为等。
• Agent 安全六层攻击面模型：包括人机交互层、通信调用层、组件间层、智能体之间、工具调用层和基础运行环境层，用于识别风险来源。
• 五类治理对象：身份、工具、数据、记忆和行为，用于构建安全边界。
• Skill 成为供应链风险入口：Skill 不仅是功能插件，更是智能体执行链路中的关键节点，其风险可能扩散到企业多个层面。
• AER 智能体执行风险指数：用于启发式评估 Agent 执行风险等级，帮助企业分级治理。
• 企业部署 Agent 需遵循“先安全，后自治”原则：安全边界是自治能力的前提，没有边界的自治可能带来重大风险。
• Agent 安全成熟度模型（ASM）：提供五阶段演进路径，帮助企业逐步构建智能体安全体系。
• 智能体安全建设需分阶段进行：从基础盘点到智能防御，逐步完善安全治理能力。

关键信息

六层攻击面模型

五类治理对象

十大高风险 Skill 类型

1. 数据外泄型 Skill（硬编码账号、密钥或 Token）
2. 凭证/密钥窃取型 Skill（读取 API Key、云服务密钥等）
3. 资产转移/盗用型 Skill（调用支付接口触发异常转账）
4. 恶意扣费/诱导付费型 Skill（引导购买卡密或跳转付费渠道）
5. 违规内容导流型 Skill（导向赌博、色情等违规内容）
6. 商业推广/刷单/黑灰产导流型 Skill（暗藏推广链接或渠道跳转）
7. 隐蔽外联/C2 型 Skill（静默连接未知域名或异常服务器）
8. 远程下载/执行型 Skill（下载脚本或文件并在本地执行）
9. 提示词/指令投毒型 Skill（隐藏违规调用或绕过限制指令）
10. 持久化/后门控制型 Skill（下载载荷、设自启或劫持组件）

企业部署 Agent 的三类安全能力

1. 运行环境防护能力：通过沙箱、权限熔断等手段，确保 Agent 在可控环境中执行。
2. 云端分析与安全运营能力：持续收集、分析 Skill 样本和攻击行为，支持检测策略更新。
3. 统一治理与可视化能力：提供 Agent 资产发现、行为审计、风险可视化和策略编排。

三种关键支撑技术

1. 数字孪生沙箱：构建可控执行空间，隔离 Agent 与真实环境。
2. 业务规则与常识约束模型：降低目标漂移和逻辑误执行风险。
3. 以模治模：利用 AI 安全大模型进行恶意意图识别、Skill 风险研判和自动响应。

高风险场景与建设路线图

五个高风险场景

Agent 安全成熟度模型（ASM）

部署模式

1. 混合架构部署模式：集成数字孪生沙箱与 AI 安全防护套件，适用于需本地隔离与云端分析结合的企业。
2. 云端集中部署模式：将检测、分析和管控能力集中部署在云端，适用于 Agent 数量多、分布广的企业。
3. 纯终端部署模式：在本地部署防护引擎，适用于已有统一管理平台的企业。
4. 可联网部署模式：在内网部署安全平台，通过云端获取安全能力，适用于需持续更新安全规则的企业。
5. 隔离网部署模式：适用于政务、军工、金融等高安全要求场景，通过离线同步方式保障安全能力更新。

企业部署 Agent 必须回答的六个问题

1. Agent 代表谁执行？
2. Agent 能调用什么工具？
3. Agent 能读取什么数据？
4. Agent 会记住什么信息？
5. Agent 实际做了什么？
6. 如何确保 Agent 执行安全可控？

趋势展望

• Agent 身份治理纳入零信任体系：未来企业将为每个 Agent 建立独立身份与权限边界。
• Skill/MCP/工具链安全成为新战场：企业需关注 Skill 准入、工具白名单、MCP 服务检测等。
• Agent 安全治理走向全生命周期：涵盖设计、上线、运行、复盘等阶段，实现持续监控与响应。
• AI 对 AI 防御成为主流：利用 AI 安全大模型进行自动检测、识别和响应，提高防御效率。