2026年9月16日发布的《暗网监测2025年度报告》披露，具备自主规划能力的商用级AI攻击智能体已经进入地下交易市场，可被用于侦察、漏洞分析、入侵和数据窃取等连续环节。与此同时，2026年国家网络安全宣传周集中讨论智能体风险防控、数据安全和人工智能全周期治理，并展示智能体安全监管平台等成果。两组公开信息共同提出了一个现实问题：当数据入侵的大部分步骤由AI智能体自动完成时，谁应当被认定为攻击者，提供模型、工具和运行环境的平台又应承担什么责任？科技日报报道[1]中国网信网资料[2]
自主执行不等于AI成为法律责任主体
AI智能体可以根据目标自行拆解任务、调用工具并依据反馈调整方案，但这种技术上的自主性，不等于法律意义上的独立人格。目前讨论责任时，仍应回到部署者、使用者、开发者和平台经营者等现实主体，审查谁设定目标、谁配置权限、谁控制运行环境、谁能够停止任务，以及谁从行为中获益。
因此，认定自主攻击不能只看入侵指令是否由人逐条输入。如果行为人明知智能体具有扫描、提权或导出数据能力，仍向其提供目标范围、访问凭证和执行环境，并放任其持续运行，即使具体攻击路径由模型生成，也不能简单以“不知道AI会选择哪一步”为由否认责任。AI在这里更接近自动化执行工具，人的责任可能由直接操作转化为目标设定、能力配置和风险放任。
认定数据入侵需要抓住四类证据
- 最初意图：审查提示词、任务单、策略文件和智能体记忆，判断任务是合规测试、公开信息检索，还是以获取未授权数据为目标。
- 授权边界：核对资产清单、测试授权书、API权限和数据访问范围。即便开始时属于授权测试，超出指定系统、时间或数据范围后仍可能构成越权。
- 控制能力：确认部署者能否暂停任务、撤销令牌或限制外联。平台已经发现异常，却未采取可行的阻断措施，可能影响其过错判断。
- 完整轨迹：保存模型版本、调用链、工具参数、网络请求、权限变化、人工接管记录和数据流向。只有提示词而缺少运行日志，通常不足以还原责任链。
调查重点不宜停留在“AI是否产生主观恶意”这一难以验证的问题，而应转向可举证事实：系统是否访问了未经授权的资源，相关人员是否能够预见风险，平台是否掌握异常信号，以及损害发生后各方是否及时阻断、报告并保存证据。
平台责任不能只靠免责声明切割
平台责任应与其控制能力和风险认知相匹配。仅提供通用算力、无法了解具体用途的平台，与直接提供攻击工具链、目标扫描接口和高权限自动执行能力的平台，注意义务显然不同。平台越能决定智能体可调用什么工具、可连接哪些网络、可读取哪些数据，其建立身份认证、权限隔离、风险识别和紧急停止机制的责任就越重。
《互联网信息服务管理办法》要求服务提供者建立网络与信息安全保障措施，并保证所提供的信息内容合法；发现明显属于禁止传播范围的信息时，还涉及停止传输、保存记录和报告等义务。其第十五条通常被概括为“九不准”，覆盖国家安全、公共秩序、公民合法权益和信息真实性等方面。对智能体平台而言，这一框架不能只用于审核最终生成的文字，还应延伸至工具调用、数据访问和自动执行过程。《互联网信息服务管理办法》现行公开文本[3]
以“七条底线”审视智能体治理
法律法规、社会主义制度、国家利益、公民合法权益、社会公共秩序、道德风尚和信息真实性七条底线，可以转化为智能体平台的具体治理要求。面向数据入侵风险，其中最直接的是法律法规、公民合法权益、国家利益、公共秩序和真实性底线：平台不得纵容智能体突破授权边界，不得将来源不明的数据包装成合法结果，也不能通过模糊日志或删除运行记录掩盖真实行为。
2026年9月15日举行的人工智能安全治理论坛提出，要完善监管制度、夯实人工智能内生安全根基，并围绕智能体风险防控和全周期安全治理展开讨论。9月16日公开的网安周现场信息还显示，智能体安全监管平台、可信智能体网络和基础设施安全方案已成为集中展示方向。这说明治理重点正在由单一内容过滤，扩展至身份、权限、数据和行为全链条可控。人工智能安全治理论坛信息[4]网安周现场报道[5]
企业与平台应建立可落地的责任链
- 上线前：登记智能体负责人、模型版本、任务范围、数据类别和可调用工具，对扫描、代码执行、批量导出等高风险能力实行专项审批。
- 运行中：使用最小权限和短期凭证，限制外部网络连接，对跨租户访问、异常枚举、权限升级和集中导出设置实时阻断规则。
- 关键操作：对删除数据、修改权限、执行脚本及向外部传输敏感信息设置人工复核，不把“自主”误解为“无需监督”。
- 事件发生后：立即停止智能体及关联令牌，固定日志、镜像和调用记录，通知受影响方并依法履行报告义务，避免自动化任务继续扩大损害。
- 合同安排：明确开发者、部署者、云平台和工具提供方的日志提供、漏洞修复、应急配合及损失分担责任，但不得以合同排除法定义务。
总结
AI智能体实施数据入侵，改变的是攻击速度、执行方式和证据形态，并没有制造无人负责的真空。责任认定应围绕目标设定、授权边界、实际控制、风险可预见性和处置行为展开。平台安全责任也不宜采用“提供技术即免责”或“发生损害即全责”的两极判断，而应依据平台掌握的权限、异常信号和阻断能力分层评价。真正有效的安全治理，是让每个智能体都有明确身份、有限权限、完整日志、人工制动和可追溯责任人。
