导语：当AI智能体只能在封闭沙箱中生成文本、运行受限代码时，安全重点通常是资源配额与文件隔离；一旦其可以调用浏览器、数据库、邮件、支付接口、代码仓库或企业应用，风险边界就会从“程序是否逃逸”扩展为“身份、权限、数据和业务动作是否失控”。🔐 因此，新一代防护不能只依赖沙箱，而应围绕外部连接建立多层隔离，并让第三方审计从检查制度文件转向验证真实攻击路径。

一、突破沙箱后，风险为什么发生质变

AI智能体访问外部系统，通常需要持有令牌、会话或服务账号，并根据自然语言自主选择工具。攻击者未必需要攻破宿主机，只要通过网页、邮件、文档或工具返回结果植入间接提示，就可能诱导智能体调用其本来有权使用的接口。此时，传统沙箱即使完好，数据外传、越权修改、错误审批和持久化记忆污染仍可能发生。

OWASP AI智能体安全指南将提示注入、工具滥用、数据泄露、记忆污染、过度自治和供应链攻击列为核心风险。这说明防御对象已经不只是代码执行环境，还包括智能体的目标、上下文、权限和外部副作用。citeturn1search9

二、隔离设计要从“一个沙箱”升级为“四道边界”

1. 执行环境隔离

对会运行模型生成代码的任务，应采用短生命周期、任务级实例，默认只读文件系统，禁止特权模式，并限制CPU、内存、进程数和运行时间。高风险任务可考虑用户态内核、微型虚拟机或独立虚拟机，避免不同租户共享过多底层攻击面。任务结束后应销毁实例，而不是长期复用残留状态。

2. 网络出口隔离

网络策略应坚持“默认拒绝、按任务放行”。智能体不应直接访问任意互联网地址，而应通过受控代理连接明确登记的域名、端口和API。代理层需要检查DNS解析、重定向、上传内容及请求频率，并阻断云实例元数据地址、内部管理网段和未经授权的数据接收端。🌐

3. 身份与凭据隔离

不要把长期API密钥写入环境变量后交给智能体自由使用。更稳妥的做法是由凭据代理签发短时、单用途、可撤销令牌，并绑定用户、任务、工具、资源范围和有效期。读取与写入权限应分离，高影响操作还应增加独立审批，避免智能体既提出动作又自行批准。

4. 工具与数据隔离

每个工具需要声明允许的操作、参数、数据等级和副作用。来自网页、邮件、仓库说明、MCP服务器及检索结果的内容应标记为不可信数据，不能与系统指令处于同一信任层。对数据库删除、付款、发信、部署和权限变更等动作，应实施参数校验、二次授权、速率限制以及可回滚机制。

三、MCP等外部连接带来的新控制点

MCP降低了智能体连接第三方工具的门槛，也引入了代理授权、工具描述投毒和“混淆代理”等风险。MCP安全最佳实践特别讨论了代理服务器连接第三方API时的授权问题。企业应为不同客户端保留独立授权上下文，展示清晰的用户同意界面，严格校验重定向地址与令牌受众，禁止令牌透传，并定期复核工具定义是否发生变化。citeturn1search20

第三方工具接入前还应建立准入清单，核验发布者、代码来源、依赖组件、更新机制和漏洞响应能力。生产