摘要：
智能体安全不是单一技术，而是多维度、动态化的体系：管控层解决“谁能用、用多少”，云安全层夯实运行底座，主动安全管理层以AI之矛铸AI之盾，业务安全层在业务内再布一道风控智能体，并以运行时治理与物理降级这一层兜底。
智能体正在从演示走向生产。一旦智能体进入真实的业务流程，安全问题的性质就发生了变化：它不再是“这个模型会不会说错话”，而是“这个能自主调用工具、自主执行动作的数字员工，会不会被滥用、被攻破、被套取，甚至被诱导做出损害业务的动作”。智能体越自主，越需要多维度、动态化地筑牢安全防线。
一、智能体安全管控：解决“谁能用、用多少”
智能体安全管控，解决谁能用、使用范围、使用多少的问题。这是智能体安全的第一道关口，核心是三个问题。
第一，零信任的身份认证系统。 智能体不是孤立的程序，它往往以某种身份接入系统、调用接口、访问数据。传统边界防护的思路在这里失效——智能体可能运行在云端，可能被第三方集成，可能在多租户环境下工作。因此必须坚持零信任原则：不因来源在内网就默认可信，不因上次认证过就默认可信，每一次调用都要认证、每一次授权都要校验，身份与权限随时可回收、可追溯。因为智能体本身就在不断演进，不断加载记忆，不断加载新技能，因此信任也要不断重新验证，只能是临时授权，不能长期授权，并配合即时访问、动态验证和最小权限原则。
第二，上下文（资源）风险检测。 智能体的行为高度依赖上下文——它读取的文档、检索的知识、接入的数据源、调用的外部工具，都可能成为攻击的入口。提示注入、恶意文档、被污染的检索结果，都可能在上下文中埋下“指令”，诱导智能体越权行事。因此对上下文与资源本身要做风险检测，把不可信的内容挡在决策链路之外。
第三，预算配额。 智能体天然带有“放大”效应，一次误判可能触发多次调用，一次失控可能消耗海量词元或算力。预算配额既是成本控制的工具，也是安全兜底的阀门：为智能体设置调用频次、资源消耗、动作范围的上限，一旦越界立即熔断。
二、云安全：夯实智能体所依赖的底座
智能体的部署首先要考虑的是架构选择，把智能体部署在云端虚拟办公环境中，而非直接安装在员工电脑上，才能真正隔离其对本地文件和内网数据的接触。
同时，正因为智能体大多不是跑在孤立的物理机上，而是运行于云平台之中，云平台的脆弱性就是智能体的脆弱性，云平台的暴露面就是智能体的暴露面。因此，需要保障云安全，解决智能体所部署的云平台的日常运维等问题。
云安全的核心工作包括三个方面：
漏洞分级治理。 云平台组件众多、依赖复杂，漏洞不可能清零，必须建立分级治理机制：按危害程度、可利用性、影响范围分级，优先处置高危、可远程利用、直接影响智能体的漏洞，做到“发现—定级—修复—验证”闭环。
对外暴露面资源配置检查。 大量安全事故源于配置错误——不该对外开放的端口开放了，不该授予的权限授予了，不该保存的凭证泄露了。特别要警惕的是，安全配置本身就在暴露面，就是新的攻击面。云安全必须把配置文件纳入供应链治理和版本审计。对暴露面与资源配置做持续检查，是成本最低而收益最高的安全手段。
反入侵检测。 针对已在云环境中活动的异常行为进行检测，包括异常登录、异常调用、横向移动、数据外传等，做到早发现、早隔离、早处置。
云安全看似基础，却是智能体安全的底座。底座不牢，上层的管控与护栏都无从谈起。
三、主动安全管理：以AI防AI
如果说前两个方面还是“守”，那么主动安全管理则是“攻”——针对外部AI攻击能力的强化，主动发现智能体问题并加强防范。
这一思路的关键，是认清对手已经变了。当攻击方开始用AI批量扫描、自动构造攻击、快速迭代利用链时，防守方如果仍靠人工分析和周期性扫描，速度与覆盖面都无法匹敌。针对网络攻击“敌快我慢、敌众我寡”这一现实，通过AI驱动渗透测试主动发现漏洞已成必须。以AI防AI，以AI之矛，铸AI之盾。
具体而言，主动安全管理包含以下几个环节：
在攻击侧，通过AI驱动，以攻击者视角，自己主动攻击。 不等对手先来，而是自己先扮成对手，扫描、发现、验证漏洞，发现风险。这种“自攻”机制的价值在于，它把安全问题从被动响应变成主动发现，把风险暴露在造成实际损失之前。但要注意，“以AI防AI”必须异构：机构内部负责攻击和防范的智能体专司其职，主要用来监视、告警和防范，与被监视的智能体之间不能通信，否则就真变成了无意义的自己攻击自己。
共享发现，自主决策，并行执行。 一次攻击测试中发现的问题，应当能够被共享给同类资产与同类智能体，不必逐个重复验证；再由智能体自主决策处置优先级，并并行执行修复与验证任务，大幅压缩“发现—修复”的时间窗口。
筑起多层安全护栏，持续安全验证。 安全不是一次性验收，而是持续的过程。应当围绕智能体的输入、决策、动作、输出等环节，设置多道护栏，并通过持续的安全验证，确认护栏在真实对抗条件下依然有效。但要注意，并不存在绝对的安全护栏，关键在于快速响应，“少林武功唯快不破”，并且应当尽量考虑多个不同技术路线的攻防智能体的部署，交叉防范。
四、智能体业务安全：在业务中再布一层风控
智能体业务安全，是更为独特、也更为贴近实际的一层：在智能体业务中，再另行配置专门的负责风控的智能体，实时监测智能体运行。
既然智能体的行为难以用静态规则穷尽，那么最自然的做法，就是用一个“专门盯人”的智能体去实时观测业务智能体的运行：它调用了什么、访问了哪里、是否偏离了预期意图、是否出现了异常的模式与频率。一旦发现异常，即可预警、可拦截、可降级处理、可叫停。
用智能体监控智能体，用智能体风控智能体，这是“以AI防AI”在业务层面的延伸，也是智能体时代风控体系的一种新形态。它的意义在于：把安全能力内嵌到业务运行之中，而不是外挂于业务之外。
但是，并不能就此高枕无忧。事实上，智能体本身就可能是业务风险的放大器，针对业务运行中出现的异常或高风险、高权限场景，设置真人核验、干预也是绝对必要的。
五、运行治理：物理降级
无论是“守”还是“攻”，单一手段都无法“抵御”AI攻击，而必须有面临AI攻击时的硬性手段，就是业务运行治理中的分层降级：运行层面采用默认拒绝的访问控制、系统调用拦截、预算耗尽后的安全回退；物理层面保留不依赖软件的硬件级“气隙开关”；关键基础设施保留机械/模拟后备层；并将断电权去中心化，分散到多个无数字连接的人类节点。这防的不是“AI决定攻击”，而是“数字系统被攻陷后的灾难性后果” 。
结语
智能体安全不是单一技术，而是多维度、动态化的体系：管控层解决“谁能用、用多少”，云安全层夯实运行底座，主动安全管理层以AI之矛铸AI之盾，业务安全层在业务内再布一道风控智能体，并以“运行时治理与物理降级”这一层兜底。
五层之间并非并列，而是层层递进、彼此支撑。唯有把这些维度组合起来，并让它们在动态业务中持续运转、持续验证，才谈得上真正筑牢智能体的安全防线。
同时，必须接受“强敌环饲”的现实。没有攻不破的盾，五层措施并非追求完美的“进不来”，而是要让攻击变得“足够慢、足够贵、足够可被人类反应”，从而构建一个可持续动态维持的降级体系。
（本文由AI辅助完成，文责作者自负。）
参考文献：
[1]周鸿祎谈AI：尽头不是能源，是安全 | 刘湘明×周鸿祎.
[2]深度｜AI安全事件频发：碳基生物的最后一张底牌，可能也是最大的漏洞.
[3]MCP（模型上下文协议）真的与零信任原则相悖吗？.
[4]Agent 的"忒修斯之船".
[5]跨应用AI智能体的行为边界：从"授权之争"走向"规则内嵌".
作者简介：董学耕，原海南省大数据管理局局长
研究方向：数字政府、数据经济、人工智能