智能体安全战略：从密码到身份治理

一、概念定义：什么是智能体安全战略

智能体安全战略，是面向企业中大规模运行的 AI 智能体所建立的安全治理框架。它关注的不是单一漏洞，而是当智能体开始代替人执行查询、读写代码、调用接口、操作配置、访问数据、触发变更时，企业如何重新定义“谁可以做什么、在什么条件下可以做、做完之后如何追踪和追责”。

从技术视角看，智能体安全战略的核心是“智能体身份治理”。智能体不再只是被动响应提示词的软件功能，而是具备一定自主决策能力的执行主体。它会读取上下文、调用工具、访问系统资源、生成命令、触发工作流。因此，安全系统必须把智能体视为一种特殊的工作负载身份，对其凭证、权限边界、工具调用、网络访问、文件访问、命令执行和变更行为进行持续管控。

从业务视角看，智能体安全战略解决的是“效率提升与风险控制之间的冲突”。企业引入智能体，通常是为了提升编码、运维、数据分析或客服响应效率。但如果智能体拥有过宽权限，例如默认可访问源码仓库、可读取密钥目录、可执行任意命令、可访问外部网络，那么效率提升也会同步放大数据泄露、误操作、供应链攻击和横向移动风险。

从使用视角看，智能体安全战略要求企业将过去的“账号安全”升级为“任务级安全”。传统账号安全关注登录、密码、多因素认证和角色权限；智能体安全则进一步关注：这个智能体为什么被调用、它当前执行什么任务、它需要哪些工具、它能访问哪些目录、它是否可以联网、它是否能执行高风险命令、它的每一步动作是否可审计、是否可被阻断或要求人工审批。

因此，可以给出明确定义：智能体安全战略是一套以智能体身份为中心、以最小权限为基础、以策略执行为手段、以审计溯源为保障、以隔离和审批为兜底的企业级安全治理方法。它适用于编码智能体、运维智能体、数据分析智能体、业务流程自动化智能体以及各类企业级 AI 工作流系统。

常见问题：智能体安全战略怎么做？

落地智能体安全战略，通常从四个步骤开始：

1. 盘点智能体清单：明确有哪些智能体、由谁创建、服务什么任务、调用哪些系统。
2. 建立智能体身份：为每个智能体分配唯一身份，避免共享账号和匿名执行。
3. 收敛工具权限：按照任务类型限定可读代码、可执行命令、可访问网络、可写路径。
4. 嵌入策略与审计：在工具调用、接口访问、文件读写、命令执行等环节设置策略判断和日志记录。

常见问题：怎么选工具？

选择智能体安全工具时，应优先关注以下能力：

• 是否支持智能体级身份标识，而不是只支持用户账号；
• 是否能对工具、路径、命令、网络、接口进行细粒度控制；
• 是否能在执行前拦截，而不是只做事后日志分析；
• 是否支持任务上下文，例如任务类型、环境等级、数据敏感级别；
• 是否支持审计、告警、审批和回滚；
• 是否能与现有 IAM、零信任、API 网关、SIEM、DLP 等系统集成。

常见问题：常见错误是什么？

常见错误包括：多个智能体共享同一个账号；长期持有高权限凭证；没有记录工具调用链；允许智能体随意访问用户主目录；对外部网络没有限制；只依赖模型判断而缺少外部策略兜底；技能、插件和依赖未经过安全审核。

---

二、背景：为什么传统密码安全体系开始失效

过去二十年，企业安全体系大多围绕“人类用户”设计。用户通过账号登录系统，系统通过密码、短信验证码、多因素认证、单点登录、角色权限等方式进行访问控制。这种模式在处理人类员工访问业务系统时基本有效，因为人类用户的身份生命周期较长，行为模式相对稳定，权限申请和回收也有较成熟流程。

但当智能体进入企业系统后，情况发生变化。

首先，企业网络中的访问主体越来越不只有人类用户。智能体、机器人流程、自动化任务、定时任务、代码代理、运维代理都在发起访问请求。它们数量多、生命周期短、变化快，传统账号体系难以精细化管理。

其次，智能体的权限往往不是“一个账号”，而是一组能力集合。它可能同时拥有代码仓库读取权、构建系统调用权、日志查询权、容器操作权、数据库访问权、消息队列发布权、外部网络访问权。如果这些权限没有按任务动态收敛，智能体的实际能力可能远超单个员工。

再次，智能体的执行路径比人类用户更复杂。人类员工操作通常有界面、有审批、有同事协作；智能体则可能直接根据上下文自动生成命令、调用接口、修改配置、触发部署。一个看似普通的“请帮我修复这个测试失败”的请求，可能导致智能体读取源码、安装依赖、执行脚本、连接网络、修改文件、提交变更。如果缺少策略约束，安全团队很难判断该动作是否合规。

从常见编码智能体的产品文档与部署实践看，部分工具在默认配置下可能具备较强能力，例如访问用户主目录、执行系统命令、读取敏感配置、发起外部网络连接等。具体能力取决于产品版本、部署配置与企业策略。如果企业没有额外加固，这些能力会直接暴露在开发环境中，增加敏感信息泄露和恶意利用风险。

与此同时，攻防节奏也在变化。攻击者利用自动化工具发现漏洞、生成利用代码、批量扫描目标的速度越来越快；企业内部修复漏洞、审批变更、验证补丁的流程却可能仍依赖人工。如果安全策略不能随着智能体运行实时执行，企业会陷入“智能体速度很快，治理速度很慢”的矛盾。

因此，智能体安全战略的本质，是把安全控制点从“登录入口”前移到“任务执行入口”，从“账号权限”细化到“工具调用权限”，从“事后审计”强化为“事前策略、事中拦截、事后追溯”。

---

三、核心组成：智能体安全战略包含哪些关键模块

1. 智能体身份体系

智能体身份是整套安全治理的起点。企业需要为每一个智能体分配唯一身份，而不是让它共享员工账号、管理员账号或匿名身份。

智能体身份至少应包含：

• 唯一标识：例如任务代理、编码代理、运维代理、数据查询代理；
• 所属主体：代表哪个团队、哪个系统、哪个业务流程；
• 凭证形式：短期令牌、工作负载证书、临时密钥、任务票据；
• 有效期：默认短时效，避免长期有效凭证泄露后被持续利用；
• 来源证明：能够证明该智能体由可信平台、可信任务或可信工作流发起。

理想状态下，智能体不应持有长期高权限密钥，而应通过身份代理、凭证托管、短时令牌等方式获取完成任务所需的最小权限。

2. 权限与工具边界

智能体不是普通用户，不能简单套用“员工角色权限”。它需要围绕“可调用工具”进行细粒度授权。

例如，一个编码智能体可能只需要：

• 读取代码仓库；
• 查看测试报告；
• 执行单元测试；
• 生成代码补丁；
• 提交代码评审请求。

它通常不应默认拥有：

• 读取密钥目录；
• 访问生产数据库；
• 执行任意系统命令；
• 连接任意外部网络地址；
• 直接发布制品或部署生产环境。

因此，权限边界要精确到工具、命令、路径、网络、数据范围和环境等级。

3. 策略引擎：从输入到决策

策略引擎负责判断智能体当前动作是否允许执行。它不是简单黑白名单，而应形成完整的决策链路。

策略引擎的输入至少包括：

• 智能体身份；
• 当前任务类型；
• 请求来源；
• 目标资源；
• 操作类型；
• 环境等级；
• 数据敏感级别；
• 网络区域；
• 时间窗口；
• 风险评分。

策略引擎的执行点应位于智能体调用链的关键位置，例如：

• 工具代理层；
• API 网关；
• 沙箱运行时；
• 平台拦截层；
• 工作流编排层。

策略引擎的输出应标准化，至少包括四类决策：

1. 允许：动作在授权范围内，可继续执行；
2. 拒绝：动作越权、违反硬性策略或命中高危风险；
3. 审批：动作可能允许，但需要人工确认或二次授权；
4. 审计：动作允许执行，但需要记录、告警或持续观察。

策略引擎不应只是静态规则，还应支持动态评估。例如，同一个智能体在测试环境中读取代码可能允许，但在生产环境中执行删除操作就需要审批；同一个智能体访问普通日志可能允许，但访问包含个人信息或密钥的日志则应阻断。

4. 技能治理

智能体技能可以理解为它完成某类任务所需的能力包，包括提示词、工具集、检索源、执行脚本、插件、模型调用逻辑和外部接口访问能力。

传统软件功能通常由产品经理和研发团队控制；智能体技能则可能由多个团队快速组合而成。如果技能来源不可信、权限声明不清晰、版本不可追踪，就会形成新的风险入口。

技能治理至少包括：

• 技能注册：所有技能必须登记；
• 权限声明：每个技能必须说明所需权限；
• 数据来源说明：说明会访问哪些知识库、代码库或业务系统；
• 输出限制：说明是否可以生成命令、修改文件或触发变更；
• 版本管理：技能更新必须可追溯；
• 回滚机制：出现异常时可以快速禁用或回滚。

5. 审批与阻断机制

并非所有动作都需要人工审批，但高风险动作必须有人工确认或自动阻断能力。

常见需要审批的动作包括：

• 修改生产配置；
• 删除数据；
• 发布制品；
• 部署环境；
• 访问敏感数据库；
• 连接外部网络；
• 执行未知脚本；
• 安装未经审核依赖；
• 批量修改核心代码仓库。

审批机制应尽量与任务上下文结合，避免简单粗暴地要求所有操作都人工确认，否则会显著降低智能体价值。

6. 审计与可观测性

智能体安全必须可追踪。审计日志不能只记录“智能体访问了某接口”，而应记录完整调用链：

• 哪个智能体发起请求；
• 代表哪个任务；
• 调用了哪个工具；
• 访问了哪些资源；
• 使用了哪个版本技能；
• 是否通过策略检查；
• 是否触发审批；
• 最终执行结果是什么；
• 是否产生异常或风险信号。

建议同步关注以下审计指标：

• 策略拒绝率；
• 审批耗时；
• 异常工具调用数；
• 敏感目录访问次数；
• 网络外联告警数；
• 凭证过期风险；
• 高危命令执行次数；
• 跨环境访问次数。

审计日志本身要防篡改、可检索、可长期保存，并与安全运营平台联动。

7. 隔离与运行环境

智能体执行环境应尽量隔离。隔离包括：

• 文件系统隔离；
• 进程隔离；
• 网络出口控制；
• 容器或沙箱运行；
• 临时目录限制；
• 敏感目录只读或不可见；
• 外部网络白名单；
• 命令白名单或黑名单。

对于编码智能体，尤其需要防止其访问用户主目录下的密钥、令牌、缓存、浏览器配置或云凭证文件。

---

四、工作原理：智能体安全策略如何执行

智能体安全战略的典型执行流程可以概括为以下步骤：

1. 身份识别

当智能体启动或被调用时，平台首先为其分配或验证身份。该身份可以来自任务系统、编排平台、工作流引擎或安全代理。

2. 任务解析

系统识别当前任务类型，例如代码修复、日志查询、配置审计、数据分析、接口调用等。任务类型决定默认权限范围。

3. 策略预检

在智能体真正访问资源之前，策略引擎进行预检。例如：

• 该智能体是否允许访问目标仓库；
• 是否允许读取指定目录；
• 是否允许执行命令；
• 是否允许访问外部网络；
• 是否允许写入生产环境；
• 是否需要人工审批。

4. 临时授权

策略通过后，系统向智能体发放短时效凭证或任务票据。凭证只覆盖当前任务所需资源，并在任务结束后失效。

5. 受控执行

智能体在沙箱、容器或受控工作区中执行任务。所有工具调用必须经过代理层或安全拦截层。

6. 行为记录

每一次工具调用、文件访问、网络请求、命令执行都进入审计日志。

7. 风险反馈

如果行为出现异常，例如短时间访问大量敏感文件、尝试连接未知网络地址、执行高危命令、越权读取密钥目录，系统可以实时阻断、降级权限、要求审批或告警。

策略示例：需要理解为概念示意

以下策略为概念示意，不能默认认为可直接跨平台运行。实际落地时，需要将其映射到具体平台的策略语法，并补充决策优先级、冲突处理、审批路由和审计字段。

agent_identity: coding-agent
task_type: test_fix
default_decision: deny
allow:
  tools:
    - repo_read
    - test_run
    - patch_generate
  paths:
    - src/**
    - tests/**
  network:
    - package_mirror
deny:
  tools:
    - shell_exec
    - credential_read
    - deploy
  paths:
    - secrets/**
    - ~/.ssh
    - ~/.config/credentials
approval_required:
  - modify_config
  - merge_request
  - publish_artifact
audit:
  log_all_tool_calls: true
  log_network_requests: true
  retain_days: 180

该示例体现了一个关键原则：智能体默认不能执行任何动作，只有在明确允许的范围内才可执行。

在实际策略引擎中，还应明确：

• 决策优先级：拒绝优先于审批，审批优先于允许；
• 冲突处理：当多条规则冲突时，应采用更严格策略；
• 审批路由：根据风险等级路由到安全、平台、业务负责人；
• 审计字段：必须记录身份、任务、工具、资源、时间、结果和策略决策。

---

五、典型应用场景

1. 编码智能体

编码智能体可以辅助代码补全、解释代码、修复缺陷、生成测试、重构模块和提交评审。

安全风险主要集中在：

• 读取源码仓库；
• 读取本地配置文件；
• 执行构建或测试命令；
• 安装依赖；
• 连接外部网络；
• 修改分支；
• 触发持续集成任务。

编码智能体应限制在代码仓库和测试环境内，禁止访问密钥目录，限制外部网络访问，对合并、发布和依赖安装设置审批。

2. 运维智能体

运维智能体可以辅助查询日志、分析告警、执行巡检、提出修复建议，甚至执行部分自动化修复动作。

其风险在于：

• 访问生产系统；
• 修改配置；
• 重启服务；
• 删除资源；
• 修改网络策略；
• 访问敏感日志。

运维智能体应遵循“只读优先、变更审批、操作留痕”的原则。低风险动作可自动化，高风险动作必须人工确认。

3. 数据分析智能体

数据分析智能体可以查询数据仓库、生成报表、解释指标、发现异常。

风险主要集中在：

• 访问敏感数据；
• 批量导出数据；
• 绕过行列权限；
• 将数据发送到外部模型或外部接口；
• 生成包含敏感信息的结论。

因此，需要对数据源、查询范围、导出权限、脱敏规则和外部传输进行严格限制。

4. 客服与业务流程智能体

客服智能体、流程自动化智能体和业务助手智能体通常会调用多个业务接口，例如订单查询、工单创建、退款申请、权限开通等。

风险点包括：

• 越权调用；
• 误触发业务流程；
• 被提示词注入诱导；
• 泄露用户隐私；
• 高频调用造成系统压力。

此类智能体需要设置接口白名单、速率限制、敏感操作审批和会话审计。

5. 持续集成与发布智能体

在持续集成和发布流程中，智能体可能参与构建、测试、制品签名、环境部署和发布验证。

风险包括：

• 访问发布密钥；
• 修改构建脚本；
• 发布未经验证制品；
• 操作生产环境；
• 引入不可信依赖。

该场景应强化制品来源验证、依赖审查、密钥隔离、发布审批和环境分区。

---

六、与相关概念的区别

概念	核心问题	与智能体安全战略的差异
IAM 身份和访问管理	用户、组、角色、权限、认证	IAM 回答“这个身份是谁”，智能体安全战略还要回答“这个智能体当前任务能调用哪些工具、访问哪些资源、是否可以执行高风险动作”
零信任	永不默认信任，持续验证	零信任是理念基础，智能体安全战略更关注智能体自主决策路径、工具调用链和任务上下文
SIEM 安全信息和事件管理	日志收集、告警关联、威胁分析	SIEM 偏事后分析，智能体安全战略强调在执行入口进行前置控制
API 网关	接口流量、路由、限流、认证	网关可限制调用频率，智能体安全战略还要判断调用是否属于当前任务、是否超出数据范围、是否触发高风险变更
DLP 数据防泄漏	敏感数据是否被外传或泄露	DLP 关注数据外泄，智能体安全战略更关注智能体是否有机会访问敏感数据、是否会通过工具调用把数据发送到外部

---

七、落地注意事项

1. 默认拒绝，按需授权

智能体安全的第一原则是默认拒绝。不要给智能体默认开放文件系统、网络或命令执行权限。每一项权限都应与任务明确绑定。

2. 避免使用长期高权限凭证

智能体不应长期持有管理员密钥、云平台高权限凭证或生产数据库密码。应使用短时效令牌、任务票据、临时凭证和凭证托管机制。

3. 敏感目录必须显式隔离

应默认禁止智能体访问密钥目录、证书目录、本地缓存、浏览器配置、凭据文件和日志中的敏感字段。即使任务需要读取配置，也应通过专门接口提供脱敏后的配置项。

4. 网络出口最小化

智能体默认不应拥有任意网络访问能力。对于必须联网的任务，应设置网络白名单，仅允许访问必要镜像源、模型服务接口或业务接口。

5. 高风险动作必须审批

涉及生产环境、数据删除、权限变更、制品发布、批量修改、外部传输的动作，应设置人工审批或双人确认。

6. 审计日志要完整可追踪

日志应覆盖身份、任务、工具、资源、时间、结果和策略决策。日志不可随意修改，并应支持按智能体、任务、资源和时间快速检索。

7. 策略要版本化管理

安全策略本身也是代码，应进行版本管理、评审、测试和灰度发布。避免因为策略配置错误导致智能体无法工作，或者权限意外扩大。

8. 防止提示词注入导致权限滥用

智能体可能受到恶意输入、网页内容、代码注释、文档内容或外部返回数据的影响。安全策略不能只依赖模型自身判断，必须通过外部权限边界进行兜底。

9. 平衡体验与安全：风险分级与灰度上线

如果所有动作都需要审批，智能体价值会被削弱。应基于风险分级设计策略：

风险等级	示例动作	建议策略
低风险	读取代码仓库、运行单元测试、查看日志元数据	允许并审计
中风险	安装依赖、修改测试配置、批量查询日志、生成补丁	允许但告警，必要时审批
高风险	修改生产配置、删除数据、发布制品、访问密钥、外部传输	人工审批或自动阻断

新策略上线时，不建议直接全量执行。推荐采用灰度方式：

1. 影子模式：只记录策略判断，不真正阻断；
2. 单智能体试点：选择一个低风险智能体验证；
3. 单任务类型试点：例如仅覆盖测试修复任务；
4. 全量发布：确认误拦截率、审批耗时和审计指标达标后再扩大范围。

同时，需要准备误拦截处置机制，包括审批例外流程、临时提权、白名单申请、策略回滚和人工复核。策略错误如果直接全量执行，可能导致智能体无法工作，甚至影响业务连续性。

10. 关注供应链风险

智能体使用的技能、插件、依赖、检索源、模型服务和外部接口都可能成为供应链风险点。企业应建立技能准入、依赖审核、来源验证和版本回滚机制。

---

八、常见错误清单与修复动作

常见错误	风险	修复动作
多个智能体共享同一账号	无法追踪责任，权限难以回收	为每个智能体建立唯一身份
长期使用管理员密钥	凭证泄露后可被持续利用	使用短时效令牌和临时凭证
允许访问用户主目录	可能读取 SSH、云凭证、浏览器配置	显式禁止或只读脱敏访问
审计日志缺失	无法复盘和追责	记录工具调用链和策略决策
提示词注入未拦截	智能体可能被诱导越权	增加外部策略边界和审批机制
技能供应链未审核	恶意插件或依赖进入执行链	建立技能注册、来源验证和版本回滚
所有动作都要求审批	降低智能体价值，造成疲劳	按风险分级设置自动执行、告警和审批
策略直接全量上线	误拦截可能导致业务中断	先影子模式、再灰度、后全量

---

九、面向2027年的智能体安全战略要求

智能体安全战略的核心，不是给智能体增加一个账号，也不是简单把员工权限复制到智能体身上，而是重新定义企业中的“执行主体”。

当智能体进入研发、运维、数据分析和业务流程，企业安全需要从“密码为中心”转向“身份为中心”，从“静态权限”转向“任务级动态授权”，从“单点登录”转向“全链路行为治理”。

面向2027年及以后，企业需要重点完成三个动作：

第一，规则重写。企业不能再假设网络上的访问者都是人类用户，而要把智能体视为独立安全主体。

第二，技能重写。每个智能体技能都必须明确所需权限、数据来源、执行边界和风险控制措施。

第三，策略重写。安全策略必须嵌入智能体调用链，在身份认证、工具调用、资源访问、网络请求和变更执行等环节实时生效。

最终，智能体安全战略的目标不是阻碍智能体使用，而是让智能体在可控、可审计、可追责、可回滚的边界内运行。只有完成从密码到身份、从账号到任务、从静态权限到动态策略的升级，企业才能在持续自动化场景中安全地释放智能体的生产力。