当多智能体系统开始并行拆解代码审查、资料检索、数据处理和内容发布等大型任务时，安全边界已不再是“模型是否回答正确”，而是“哪个智能体能够在什么条件下读取、调用、修改或对外发送什么”。2026年9月8日更新的安全实践资料将工具滥用、权限提升、级联故障和高影响操作列为智能体系统的重要风险；2026年9月10日发布的威胁情报则显示，人工智能可能从辅助工具进一步成为复杂行动的编排者。两份资料共同提示：并行能力越强，权限隔离和运行时熔断越应先于效率优化。[1][2]
一、为什么并行执行更容易放大越界风险
单智能体的风险通常集中在一次会话和一条工具调用链上，多智能体则会形成“规划者分配任务、执行者调用工具、审查者给出判断、发布者触达外部系统”的协作网络。任何节点权限过宽，或者下游只信任上游身份而不校验原始任务，就可能出现低权限智能体借用高权限智能体完成敏感操作的“混淆代理”问题。
并行还会压缩人工干预窗口。例如，多个执行者同时修改数据库、代码仓库和知识库时，即使监控系统发现异常，其他分支也可能已经继续传播错误。安全设计不能只依赖提示词中的“禁止越权”，因为模型输出具有不确定性，真正的授权必须由模型之外的确定性策略执行。
二、把“九不准”和“七条底线”转化为机器策略
《互联网信息服务管理办法》第十五条列明九类不得制作、复制、发布、传播的内容，第十六条要求发现明显违法信息时停止传输、保存记录并依法报告。工程上不应把这些要求只做成发布前的关键词过滤，而应转化为贯穿任务创建、资料读取、内容生成、工具调用和外部发布的策略门。法规文本
“七条底线”所强调的法律法规、国家利益、公民合法权益、社会公共秩序、道德风尚和信息真实性等要求，可以映射为七类策略标签。每个子任务生成时都携带适用标签、数据等级、允许动作和禁止目的。智能体只能提出行动建议，策略引擎根据标签作出允许、拒绝、降权或转人工决定，从而避免把价值判断完全交给模型。
三、权限隔离应落实到任务、工具和数据
1. 每个智能体使用独立身份
不要让所有智能体共享一个管理员账号或长期密钥。规划、检索、写入、审核和发布智能体应分别拥有可审计的服务身份，日志中同时记录用户、父任务、智能体、模型版本、工具和资源对象。出现异常时，系统才能只冻结相关身份，而不是关闭整个平台。
2. 采用任务级临时授权
权限应随子任务即时签发并在完成后失效。例如，资料检索智能体只获得指定知识库的只读权限，代码修复智能体只能写入临时分支，发布智能体只能提交待审核草稿。令牌中还应包含资源范围、动作类型、有效期、调用次数和父任务标识，禁止智能体之间直接转交高权限凭证。
3. 拆开读取、修改与外发能力
一个智能体同时拥有敏感数据读取权和任意网络发送权，会形成天然的数据外泄通道。应按信任域拆分工具集：读取敏感数据的智能体没有外网权限，能够对外发送的智能体只能接收脱敏结果；删除、支付、上线和批量通知等不可逆操作必须进入独立审批通道。
四、越界熔断不能只设置一个停止按钮
有效熔断至少需要动作级、任务级和系统级三层控制。动作级在工具调用前检查参数结构、资源范围和业务条件；任务级监测连续拒绝、异常重试、权限探测、调用量突增以及执行路径偏离；系统级则在多个智能体出现关联异常时，冻结凭证、阻断网络出口并暂停整条调用链。
- 执行前：对删除、覆盖、对外发布和敏感数据导出进行影响预演，高风险动作必须人工确认。
- 执行中：设置调用次数、并发量、累计成本、数据行数和写入范围预算，任何分支不得自行提高预算。
- 触发后：立即吊销临时令牌，停止派生子任务，将未完成操作转入隔离队列，并保存策略判定与工具响应。
- 恢复时：先回滚可逆操作，再由与原执行智能体相互独立的审查者检查，禁止原智能体自行解除熔断。
2026年9月8日更新的安全清单特别强调最小工具授权、敏感操作显式授权、独立验证和全面审计，并将多智能体中的级联故障列为风险。这说明熔断判断不能仅分析单次输出，而要关联父子任务、跨智能体消息和完整工具调用图。安全清单
五、用一次故障演练检验系统是否真正可控
上线前可设计组合演练：向检索材料中放入诱导性指令，让低权限智能体请求高权限智能体代为删除数据，同时制造工具超时和重复回调。合格结果不是模型口头拒绝，而是策略引擎拒绝越权、凭证无法跨任务使用、部分成功操作能够补偿、异常链路自动暂停，并且审计人员可以从日志还原完整决策过程。
验收指标应聚焦可控性，包括越权请求是否全部经过策略门、熔断后是否仍有新工具调用、敏感信息是否进入外发通道、日志能否定位原始用户和父任务，以及恢复流程是否需要独立授权。若这些问题无法明确回答，就不宜扩大并行规模。
总结
多智能体大型任务的安全核心，不是给每个智能体增加更长的约束提示，而是建立“独立身份、任务级最小权限、数据与外发分离、确定性策略授权、分层熔断、全链路审计”的控制面。以“九不准”和“七条底线”为内容治理边界，再结合运行时权限和异常中断机制，才能让并行执行既提高效率，又不把一次局部误判扩散成跨系统事故。
事件或资料日期：
2026年9月8日：安全实践资料更新，列出工具滥用、权限提升、高影响操作与多智能体级联故障等风险，并提出最小权限和敏感操作授权措施。[1] AI Agent Security Cheat Sheet
2026年9月10日：威胁情报报告发布，披露截至2026年8月发现并处置的人工智能滥用活动，强调持续检测、阻断和跨机构协作的重要性。[2] Detecting and countering misuse of AI
2024年12月6日：现行《互联网信息服务管理办法》完成第二次修订，其第十五条和第十六条构成本文内容治理与异常处置框架的法规依据。[3] 国家行政法规库
