“当我们把 AI 工具和智能体连接到电子邮件、文件服务器和 ERP 时，如何保证安全？”在智能体正从试点阶段走向日常工作的组织中，这个问题被提出得越来越频繁。关于智能体是什么、在哪类工作中创造价值、项目为何会被取消，我们已在关于智能体项目的文章中做过介绍。本文的关注点更为具体：智能体在哪些系统中、针对哪些操作被授予权限，以及这些权限如何受到限制。
这一话题之所以在今天受到关注，是因为出现了新的数据。Gartner 于 2026 年 9 月 30 日发布了建议安全主管在年底前采取的五项行动，其中一项直接针对智能体访问。根据 Gartner 在 2026 年第二季度对 297 名网络安全负责人开展的调查，54% 的组织在限制 AI 智能体访问方面没有明确的方法，或者让智能体沿用预先为人员定义的访问权限。
数据说明了什么？
Gartner 对这一发现所做的评论很好地概括了问题的核心。一个 AI 系统要造成严重的网络风险，并不需要达到通用人工智能的水平；只要具备影响组织运营的能力就足够了。因此，Gartner 建议将先进的 AI 部署视为一种来自组织内部的风险（内部人员风险）来对待。其建议是，多智能体自主系统不应按照模型有多聪明来管理，而应按照它们被授权执行哪些操作来管理。Gartner 还建议借助能够缩小潜在错误影响范围的“守护智能体”来保障智能体工作流的安全。
世界经济论坛于 2026 年 1 月发布的《2026 年全球网络安全展望》指向同一方向。报告显示，评估 AI 工具安全性的受访者比例从 2025 年的 37% 上升至 64%（2026 年），即在一年内几乎翻了一番。在同一调查中，87% 的受访者认为 AI 相关漏洞是 2025 年间增长最快的网络风险。
将这两组数据结合来看，可以得出这样的图景：组织已经开始评估 AI 工具，但“智能体一旦接入系统后能够触及什么”这一问题尚未成熟到同等程度。
为什么智能体访问是另一类问题？
美国国家标准与技术研究院（NIST）下属的国家网络安全卓越中心（NCCoE）于 2026 年 2 月发布了一份概念文件草案，将智能体定义为能够在有限人工监督下作出决策并采取行动的系统，并指出这些系统所执行操作的规模和种类可能成倍增加。
该文件提出了一个项目，探讨如何将身份管理的三项核心原则（识别、认证和授权）应用于智能体。主要议题包括：访问系统能够区分智能体身份与人员身份；当智能体代表用户行事时，将权限委托与特定人员挂钩；以及以智能体自身的身份记录其操作。NIST 提出的一个开放性问题同样值得关注：对于在部署时无法完全预见其操作的智能体，“最小权限”应如何确定？Gartner 调查中突出的“依赖预先定义的人员访问权限”做法回避了这个问题：智能体使用为人员定义的权限工作，因此并未划定针对智能体的边界。
过度代理的三个来源
OWASP 发布的 2025 年大语言模型应用风险清单是应用安全领域使用最广泛的参考之一，它在“过度代理”（Excessive Agency）标题下描述了这一问题。根据 OWASP 的说法，问题的根源通常是以下三个因素之一：过度功能、过度权限和过度自主。
- 过度功能： 智能体所连接的工具还包含工作并不需要的功能。例如，一个只需读取文档的智能体被赋予了一个也能修改和删除文档的扩展。
- 过度权限： 工具在底层系统中拥有超出需要的权限。在 OWASP 的示例中，一个只需读取数据的扩展使用同时具有更新和删除权限的身份连接数据库。
- 过度自主： 高影响操作在没有独立核实或审批的情况下执行。
OWASP 的示例场景使这一风险变得具体。一个用于汇总收到的电子邮件的助手，由于所选扩展的原因，同时具有发送邮件的权限。一封经过恶意构造的邮件可以通过间接提示注入，诱导助手搜索敏感信息并转发到外部。在这一场景中，问题既在于模型被“欺骗”，也同样在于智能体持有一项它从未需要的权限。
实用路径：智能体访问检查清单
以下步骤是根据 Gartner、NIST NCCoE 和 OWASP 来源中的建议归纳出的通用框架；每个组织都需要根据自身的系统架构加以调整。
- 建立智能体清单。 列出哪些智能体和 AI 工具连接到哪些系统、代表谁工作以及使用哪些凭据。
- 为每个智能体赋予独立身份。 智能体不应使用共享账户或员工的个人权限工作。正如 NIST 文件所建议的，访问系统应能够区分智能体与人员。
- 将权限收窄至任务所需。 按照 OWASP 的建议，将扩展的数量、扩展的功能以及底层权限限制在所需的最低限度。不要为只做读取工作的智能体授予写入权限。
- 避免开放式工具。 与其使用执行命令或从任意地址获取数据等宽泛工具，不如优先选择只完成单一任务的窄范围工具。
- 将代表用户行事的智能体限制在该用户的权限范围内。 如果智能体代表某人行事，它所能访问的范围不得超过该人员，且权限委托必须有记录。
- 不要将授权决定交给模型。 根据 OWASP 的“完全仲裁”原则，某项操作能否执行不应由模型决定，而应由底层系统的授权机制决定。
- 对高影响操作要求人工审批。 付款、批量发送邮件和删除记录等操作不应在未经审批的情况下执行。
- 记录、监控并限制速率。 以智能体的身份记录其操作，并关注异常行为。OWASP 指出，限制操作速率虽不能防止损害，但可以减少损失。
结论
Gartner 的数据显示，在超过一半的组织中，智能体访问要么未被定义，要么依赖人员权限。然而，风险与其说来自模型有多先进，不如说来自智能体能够触及什么。因此，智能体安全应在任何新技术投资之前，从将现有的身份与访问管理规范同样应用于智能体开始：独立身份、窄权限、人工审批和日志记录。
从 Orient Global 的角度来看，在将新的智能体投入使用之前完成这份清单的前三项，可以为后续步骤奠定基础。
为什么物流经验在这里很重要。 仓库和配送网络本身就依靠这份清单所要求的那类控制措施运转。在运营良好的企业中，每个人都以个人 ID 登录仓库管理系统，因此每一笔库存变动都可以追溯到具体人员；来访司机的通行证只能打开其送货的月台门，而不是整个场区；大额库存调整或报废需要主管审批。这些做法与第 2、3、7 和 8 步直接对应：独立身份、与任务相称的权限、高影响操作的人工审批以及每项操作的记录。Orient Global 的一位顾问在运营、物流和供应链领域拥有30 多年经验：他曾在一家大型科技分销企业全面负责物流、仓储、技术服务和行政运营，组建并领导 100 多人的团队，并通过以 KPI 为导向的项目实现了运营绩效的持续提升。他还曾在领先的零售、物流和分销组织中管理全国性的仓储和运输业务。作为一名工业工程师，他如今通过 AI 和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。
#interimmanagement #forwarddeployedengineering