智能体 AI 安全与治理现状 2.01（上）

智能体 AI 安全与治理现状（State of Agentic AI Security and Governance）

版本 2.01｜2026 年 6 月

执行摘要（Executive Summary）

本报告 v1.0 版（2025 年 7 月）将智能体（Agentic）风险界定为一组可信度较高的威胁组合，调研了早期生态系统，并呼吁治理工作要跟上发展步伐。一年过去，采用速度已经加快，《OWASP 智能体应用十大风险》（OWASP Top 10 for Agentic Applications）已经发布，围绕智能体驱动型危害的监管环境也开始成形。v2 版梳理了这一年的证据，并围绕三项发现组织全文。

威胁如今已是现实。 2025 年还只是一份架构层面顾虑清单的内容，如今几乎每一项都附带了生产环境事故、供应商安全公告和 CVE 编号。本版中的「真实世界事故与漏洞利用追踪」（Real-World Incidents and Exploits Tracker）章节整理了这批证据，「威胁分析」（Threat Analysis）章节则将每种攻击模式置于事故发生时智能体能力正在扩张的具体背景之中。威胁模型不再是假想，随之而来的设计讨论也不再是可有可无。

安全（Safety）与安保（Security）在部署层交汇。 在软件历史的大部分时期，安全（safety）是工程问题，安保（security）是对抗性问题，由不同团队以不同方法负责。当智能体系统以广泛自主性和工具访问权限执行操作时，这一界限变得模糊。我们认为，在部署层——即由部署组织负责的架构决策、配置、权限与运营控制——这两类问题在运营上无法分开。模型层面的 safety 仍是提供商的责任，但一旦智能体在生产系统上执行操作，同一套控制措施就同时治理两类危害，同一次调查也会同时暴露两类成因。其组织层面的推论非常直接：AI 安全（AI Safety）与 AI 安保（AI Security）不能再作为两条平行职能继续下去。

治理必须跟上部署步伐。 监管机构已经接受这样一个前提：智能体造成危害的速度可能超过人工审查的跟进速度。DORA（《数字运营弹性法案》）的 4 小时通报、NIS2（《网络与信息系统安全指令 2.0》）的 24 小时早期预警、纽约州 RAISE 法案的 72 小时前沿模型报告，以及加州 SB 53 法案的 15 天窗口期，全都假定的是持续监督而非周期性审计。剩下的工作在性质上有所不同，它要求对智能体行为进行实时监控、建立能够标记漂移的基线、自动化的事故路由，以及在数秒（而非数天）内生效的停机机制。

《智能体 AI 安全与治理现状》v2 版的新内容

本版引入了基于已记录事故重新构建的「威胁分析」、一个全新的「AI 安全 vs AI 安保」章节，以及与《OWASP 智能体应用十大风险》挂钩的「真实世界事故与漏洞利用追踪」。全新的「企业采用成熟度模型」（Enterprise Adoption Maturity Model）对照部署复杂度评估治理能力，每一章都与相关的智能体十大风险类别对齐。「智能体身份与非人类身份」（Agent Identity and Non-Human Identity）被提升为独立章节，将身份视为新的控制平面（control plane），并新增了「AI SBOM 与供应链溯源」章节。智能体分类法（Agents Taxonomy）沿三个独立维度（类型、实现方式、组合模式，自主性作为贯穿维度）进行了修订，生态系统视图基于对 53 个受追踪智能体项目的遥测数据，监管格局现已覆盖 10 个司法辖区的 42 项法规文书。

从何入手

务实的起点是识别你当前运行的最先进智能体，然后要么将治理成熟度提升到与之匹配的水平，要么降低其部署层级（deployment tier）。需要特别关注的是「影子 AI」（Shadow AI）——它几乎存在于我们贡献者考察过的每一个组织中，必须先被发现，才能被治理。证据已不再停留在理论层面，所需的控制措施也更加清晰。「企业采用成熟度模型」章节旨在为安全与风险负责人提供一张最新地图、一套共享词汇和一条具体的前进路径。

范围与受众（Scope and Audience）

本文档的目标受众主要是首席信息安全官（CISO）、高管层（C-level）以及负责智能体 AI 计划安全性、治理与战略监督的高级领导者。我们也希望为安全架构师、AI 工程师和一线从业者提供参考，他们可以从本报告对不断演变的威胁格局与治理挑战的框架化梳理中受益。详细的实施指导（包括框架、速查表和技术缓解措施）维护在本文档通篇引用的 OWASP 配套资源中。此外，本文档还涵盖围绕智能体系统的监管背景，对合规、法务及监管相关团队也有参考价值。

与智能体计划资源的衔接（Fit with Agentic Initiative Resources）

本报告作为 OWASP 智能体安全计划（OWASP Agentic Security Initiative，ASI）的一部分发布，ASI 是更广泛的 OWASP GenAI 安全项目[1]中的关键工作流之一。GenAI 安全项目是 OWASP 旗舰项目，拥有来自 18 个以上国家的 600 多位贡献者，是大语言模型与生成式 AI 安全指导的总纲。ASI 特别关注 AI 系统获得自主性并能够跨信任边界（trust boundary）运行所带来的安全挑战。

自本报告上一版（2025 年 7 月）以来，该计划已发布多项重要成果。最重要的是《OWASP 智能体安全十大风险》（OWASP Top 10 for Agentic Security），这是专门针对自主 AI 智能体安全保护的行业指导。下表列出了当前从业者可用的主要 ASI 与 GenAI 安全项目资源。

智能体安全计划（ASI）资源

GenAI 安全项目资源

所有资源均可在 OWASP GenAI 网站获取。[1] 如需加入智能体安全计划，请访问 GenAI Initiatives。[2]

智能体分类法（Agents Taxonomy）

2025 年，智能体格局显著扩张。新的智能体类别不断涌现（个人智能体、基础设施智能体），智能体正通过根本不同的实现路径构建（编排框架、轻量级库、低代码平台），生产部署也越来越多地涉及跨越信任边界的多智能体组合。分类法也随之演进。

本节沿三个独立维度对智能体格局进行分类：

• 智能体类型（第 1 节）：智能体做什么、在哪里运行。
• 实现模式（第 2 节）：智能体如何构建，这决定了审计面与组织可见性。
• 组合模式（第 3 节）：智能体如何编排，这决定了信任边界结构与级联失效风险。

任何智能体类型都可以通过任何实现模式构建，并参与任何组合模式。

范围（Scope）

本分类法为安全与治理目的对智能体 AI 系统进行分类，提供本报告中威胁分析、协议格局、身份和成熟度模型各章节所引用的分类框架。

本分类法并不主张：我们并非暗示这些类别是穷尽的，也不是说每个生产智能体都能整齐地归入某一类型。这些是截至 2026 年年中观察到的主要模式，按「做什么、如何构建、如何编排」对智能体分类，比仅按运营角色分类能提供更完整的治理图景。

按运营角色划分的智能体类型（Agent Types by Operational Role）

随着 AI 智能体在能力与采用度上的演进，它们正被部署到广泛的环境中。每一类智能体都引入独特的集成模式与安全风险。以下分类按运营角色与风险面整理了截至 2026 年初在生产环境中观察到的主要智能体类型。这些类别应被视为模式而非互斥的类；单个系统可能因部署环境、工具访问权限和自主性水平而横跨多个类别。

#### 概览（Overview）

注：这些类别是模式而非刚性分类。生产智能体经常横跨多种类型。部分面向客户的部署使用确定性脚本，其自主性低于此处定义的量表；自主性范围适用于基于智能体的系统。

关于每种智能体类型的治理特征、属性与关键控制措施的更详细讨论，参见附录 1：详细智能体类型分类法（Appendix 1: Detailed Agent Type Taxonomy）。

实现模式（Implementation Patterns）

上述分类法中的任何智能体类型都可以通过截然不同的实现路径构建。实现方式对治理很重要，因为它决定了审计面、监控能力和组织可见性。一个手工编写的编码智能体和一个基于 LangGraph 的编码智能体面临相同的威胁格局，但组织对它们进行检测、盘点和响应的能力却大不相同。

治理影响：成熟度模型假定组织能够盘点并分类其智能体（Level 1 及以上）。对于通过轻量级库组合构建、或经由低代码平台以影子 AI 形式部署的智能体，这一盘点步骤要困难得多。安全团队不应假定采用了框架就等于拥有可见性。这些治理影响聚焦于运行时审计面；静态分析等部署前控制措施适用于全部三种模式。

交叉参考：对于使用编排框架的组织，配套的框架安全能力对比表（见「解决方案生态」章节）提供了详细比较。关键结论是：各框架的内置安全特性差异巨大，没有任何一个能开箱即用地提供全面覆盖。无论采用何种实现路径，《保护智能体应用指南》中记录的安全控制措施均适用。

组合模式（Composition Patterns）

智能体越来越多地不是孤立运行，而是在多个智能体协调、委派或链式执行任务的组合中运行。此外，组织也越来越多地将智能体部署为独立的并行集群（parallel fleet），多个智能体并发执行，没有共享状态或协调。在这类部署中，治理挑战来自聚合规模（审查瓶颈压力、共享工具链上的相关性失效），而非智能体间的信任边界。组合模式决定信任边界结构，是本报告协议格局与「身份 vs 非人类身份」章节的主要输入。任何智能体类型都可以参与任何组合模式；二者是相互独立的关注点。

贯穿维度：自主性水平（Cross-Cutting Dimension: Autonomy Level）

任何类型的智能体都可以在不同的自主性水平下运行。随着自主性提高，风险状况会发生实质性变化——不是因为威胁格局变了，而是因为人工检测与干预的窗口收窄了。以高自主性运行、具备持久记忆、广泛工具访问和最少监督的智能体，无论其运营角色如何，都是风险最高的配置。

关键的治理问题不仅是「这是什么类型的智能体？」，还有「这个智能体在没有人确认的情况下能做什么？」组织应梳理每个已部署智能体的自主性水平，并施加与无监督行动的爆炸半径成比例的控制。

对于在完全自主水平运行的智能体，无论智能体类型如何，还有两项额外的治理要求。第一，组织应对执行时间、API 调用次数和计算成本强制设置预算上限，以便在失控的自主循环耗尽资源或造成级联损害之前将其遏制。第二，完全自主智能体应在身份与访问管理（IAM）系统中被视为高风险主体（principal），拥有专属的智能体身份、明确的权限边界，以及与部署它们的人类用户相区分的审计轨迹。（关于智能体身份生命周期管理的实施指导，参见「身份 vs 非人类身份」章节。）

知名智能体项目调查与关键趋势（Notable Agentic Projects Survey and Key Trends）

以下趋势来自 OWASP State of AI Surveyor 追踪的 53 个关键智能体 AI 仓库的 GitHub 遥测数据（完整方法论与项目数据见附录 4：知名智能体项目），并辅以 a16z 对《财富》500 强和 Global 2000 企业 AI 部署分析（2026 年 4 月）的企业采用数据。[4]

1. 生态系统正在整合，新赢家入场时已被评估过。 53 个仓库中只有 5 个（9.4%）呈现提交量激增；39% 在下滑或停滞，还有三个项目已归档（AgentGPT、bytebot、opencode-ai/opencode）。与此同时，几个上线不到 100 天的仓库已经每月累积数万颗星，将「首次提交」到「企业采用」之间的时间压缩到数周。这一模式不限于开源：根据 a16z 的分析，《财富》500 强中已有 29%、Global 2000 中约 19% 是某家领先 AI 初创公司的付费活跃客户。历史上需要数年的采用速度已压缩到数月。其结果是快速洗牌：一小撮高速迭代的项目吸纳社区贡献，而早期入场者停滞不前；取代它们的项目在安全审查周期尚未开始之前就已被企业广泛使用。

2. 编码智能体主导开发者心智与企业采用。 53 个仓库中有 28 个被归类为编码智能体（53%），增长最快的五个项目也全部属于该类别（Claude Code、Gemini CLI、Codex、Cline、Aider），智能体生态系统仍然高度偏向开发者工具。企业数据印证了这种集中度：a16z 发现，在《财富》500 强的 AI 采用中，编码是主导用例，领先幅度接近一个数量级，多数企业 AI 工具都部署在代码领域。Cursor、Claude Code、Codex 等工具的增长率甚至超过了最乐观的预测。这有直接的供应链影响。代码位于所有其他应用的上游，因此一个被广泛采用的编码智能体中的漏洞利用（参见 ASI04：供应链漏洞）不仅是开发者风险，更是系统性风险——它能够在没有人工审查检查点的情况下，将恶意代码传播到下游应用中。

3. 发布速度前所未有，构成治理缺口。 有七个项目每天或更频繁地发布版本。trycua/cua 在追踪期内平均每 8 小时发布一次。这种速度并非偶然。每家主要 AI 实验室都在激烈竞争，试图赢得「代码」这一用例，由此产生的竞争压力激励着持续交付，而其节奏是传统安全审查流水线从未被设计去承受的。在这种频率下，传统漏洞扫描与软件成分分析（SCA）流水线若无自动化便在结构上是不够的。推荐的控制措施参见「AI SBOM 与供应链溯源」章节。

4. 安全公告密度与采用度相关，而非自主性水平。 按安全公告数量排名前五的仓库（n8n：57、Claude Code：22、AutoGPT：15、Dify：13、Roo-Code：11）全部是半自主框架或编码智能体，而非完全自主系统。这部分是报告偏差（更大的社区提交更多 CVE），但该模式与更广泛的企业数据一致：a16z 的分析显示，编码与工作流自动化工具占据了《财富》500 强 AI 采用的大头，这意味着产生最多安全公告的框架，也正是企业渗透最深的框架。其推论是：框架——而不仅仅是自主终端智能体——是高价值目标，应在组织风险评估中相应地优先对待。

PRIMARY_SOURCE: https://genai.owasp.org/resource/state-of-agentic-ai-security-and-governance