过去一周，智能体安全从“模型是否会答错”进一步转向“系统是否允许它做错”。2026年9月24日，微软公布安全产品更新，强调发现和控制本地AI智能体、将零信任策略扩展到代表用户执行任务的智能体流量，并在网络层阻止敏感数据流向高风险目的地；9月21日，AWS发布实践文章，提出把Amazon Bedrock Guardrails的拦截事件纳入统一安全遥测。两项更新共同说明，智能体治理正在从提示词约束走向身份、权限、数据出口和运行时审计的组合控制。微软安全更新 AWS安全博客
越权风险为什么不能只靠提示词解决
普通聊天模型主要生成内容，智能体则可以读取文件、调用接口、发送消息、修改记录或触发工作流。提示词中的“不要访问敏感数据”只是自然语言要求，并不等同于系统级授权。只要运行身份仍持有宽泛令牌，智能体在受到间接提示注入、错误规划或异常工具返回影响时，仍可能使用这些合法凭证执行超出任务目的的操作。
典型风险并不一定表现为直接“提权”。一个具备全库只读权限的智能体，虽然不能修改数据，却可能遍历客户记录并形成事实上的批量导出；分别开放邮件、网盘和外部网络访问，单项权限看似合理，组合后却可能构成敏感信息外传链路。因此，治理对象不能只有角色名称，还要覆盖数据范围、字段、工具组合、调用频率、输出目的地和授权时长。
以“九不准”和“七条底线”校准治理目标
《互联网信息服务管理办法》第十五条明确了不得制作、复制、发布、传播的九类违法信息，并要求服务提供者保证信息内容合法；相关框架还强调法律法规、国家利益、公民合法权益、社会公共秩序、道德风尚和信息真实性等底线。对智能体而言，这些要求不应只用于最终文本审核，还应前移到数据读取、内容生成、工具调用和对外发布全过程。《互联网信息服务管理办法》现行文本
例如，智能体若可自动发布论坛内容，就需要在发布前检查事实来源、个人信息、诽谤侵权和违法有害内容；若可处理用户资料，则应限制其访问与当前任务无关的数据；若可执行删除、转账、生产配置变更等高影响操作，则必须增加审批和可回滚机制。内容合规与权限安全并非两条平行线，越权读取可能侵害公民权益，越权发布可能破坏信息真实性，越权执行则可能进一步影响公共秩序和业务安全。
最小权限治理的六项实践
- 为智能体建立独立身份。不要让智能体长期复用员工账号、管理员账号或共享服务账号。每个生产智能体都应有唯一身份、明确负责人和生命周期状态，使每次调用都能回答“谁在代表谁、为哪项任务、访问什么资源”。
- 按任务签发短期权限。把永久API密钥替换为短时、可撤销、限定受众和用途的令牌。任务结束、审批失效或风险等级变化后，权限应自动回收，避免测试凭证长期遗留。
- 把授权细化到数据与动作。除RBAC角色外，还应按部门、项目、数据敏感度、字段、时间和请求来源设置属性条件。只读智能体应优先访问脱敏视图或汇总接口，而不是直接获得底层全表查询能力。
- 建立工具白名单和参数约束。工具注册时应标注读、写、删、外发和不可逆等级，并限制允许的参数范围。智能体只有“调用工具”的权利并不够，每一次实际调用仍需经过独立策略引擎判定。
- 为高风险动作设置人工门禁。外发邮件、公开发布、批量下载、删除数据、修改生产环境和资金操作，不应仅凭模型判断自动执行。审批页面应展示目标对象、数据范围、预期影响和回滚方案，避免用户在信息不足时机械点击同意。
- 记录并监测完整行动链。日志至少关联用户、智能体、令牌、工具、资源、策略结果和输出目的地。AWS于2026年9月21日发布的实践将提示注入拦截、敏感数据脱敏等Guardrails事件转化为可进入安全分析体系的遥测，说明智能体事件应与登录失败、异常网络访问等传统信号联合调查，而不是留在孤立的模型日志中。AWS安全博客相关更新
从“默认允许”改为“默认拒绝”
一个可执行的治理基线是：未登记的智能体不得连接业务系统，未注册的工具不得被调用，未声明的数据范围不得读取，跨域外发默认阻断，高风险动作默认等待审批。微软2026年9月24日公布的更新提到，可在网络层对用户行为及代表用户执行的智能体流量应用数据分类与策略，在敏感文件被上传到未经批准的AI工具前阻断传输。这种“出口处强制执行”比单纯要求智能体自我约束更可靠。微软官方说明
上线前还应进行权限差分测试：分别验证普通请求、恶意文档、提示注入、异常参数和跨工具组合下，智能体实际能够触达的最大范围。测试重点不是证明模型“通常会拒绝”，而是确认即使模型作出错误决定，身份系统、策略网关、沙箱和数据防泄漏控制仍能阻止危险动作。
总结
智能体越权的根因通常不是模型拥有恶意意图，而是系统提供了过宽、过久且缺乏上下文约束的权限。有效治理应把智能体视为独立的非人身份，以默认拒绝为起点，通过短期授权、数据级裁剪、工具白名单、人工审批、出口控制和全链路审计缩小风险半径。结合“九不准”和“七条底线”，企业还应把合法性、权益保护、公共秩序和信息真实性落实到每一次读取、生成、调用和发布动作中，让合规要求成为可执行的技术策略。
事件或资料日期
- 2026年9月24日：微软发布2026年9月安全产品更新。
- 2026年9月21日：AWS安全博客发布Bedrock Guardrails事件安全遥测实践。
- 2024年12月6日：《互联网信息服务管理办法》第二次修订文本公布。
