智能体 AI 安全与治理现状 2.01（中）

威胁分析（Threat Analysis）

威胁格局概览（Threat Landscape Overview）

十二个月前基本上还只是理论性风险组合的内容，如今已进入实战。攻击者正在积极瞄准 AI 智能体、其工具注册表以及连接它们的协议。提示注入（prompt injection）是此处记录的几乎每一类攻击的底层支撑；而随着自主性的扩张快于治理，智能体供应链已成为主要的失陷载体。

本节从六个方面更新威胁格局：自主性转变及其在所有智能体类别中造成的风险扩张、作为基础性未解难题的提示注入、智能体供应链作为活跃攻击面的崛起、氛围编程（vibe coding）与影子 AI 造成的治理缺口、作为独立控制平面的智能体身份，以及主要框架在分层攻击面模型上达成的趋同。

#### 智能体自主性的持续扩张（The Expanding Autonomy of Agents）

2025—2026 年的决定性趋势是智能体自主性在每个类别中的快速扩张：企业智能体、编码智能体、面向客户的智能体概莫能外。这些平台将高度特权的能力串联起来，通过一个仍然易受提示注入影响的概率性中介，把从未被设计为彼此信任的系统连接在一起。

企业与低代码智能体

无代码与低代码智能体平台日益普及，使业务用户能够构建连接电子邮件、内部聊天应用、组织知识库和云服务的 AI 工作流。整个 2025 年，研究者演示了企业规模的攻击：仅一份被投毒的文档（一个共享文件、一份日历邀请或一封电子邮件），就足以让企业 AI 助手在不触发安全告警的情况下，跨组织边界外泄敏感数据。在每一起案例中，智能体都是按设计运行的；失效发生在治理其连接对象的信任假设上。

构建这些工作流的用户往往是「公民开发者」（citizen developer）——对基础设施流水线、云配置错误和 SaaS 服务集成模式所继承的风险不甚熟悉的业务人员。他们构建速度快、不经安全审查就部署，且往往运行在 IT 与安全团队的可见性之外。其结果是，企业中嵌入的高连接度、轻治理智能体群体不断壮大。攻击者认识到了这一点：针对喂养这些智能体的合法数据源下手，而不是直接攻击智能体本身，是在组织规模上实施提示注入的高效方式。如需了解更多此类风险，请参阅《OWASP 公民开发十大风险》（OWASP Citizen Development Top 10）。[5]

编码智能体

编码智能体已成为智能体 AI 能力推进最快的核心竞技场。2025—2026 年，每家主要 AI 实验室都发布或大幅升级了自主编码工具，为其配备 shell 访问、文件系统操作、git 操作和云基础设施管理能力。开发团队正积极推动智能体自主性最大化，引导智能体以尽可能少的人工参与来创建产品和修复缺陷。攻击面如今已超越模型输出本身，延伸到智能体所连接的整个开发工具链。

随着编码智能体演变为派生专用子智能体（负责实现、测试和部署）的编排系统，单次失陷的爆炸半径随网格规模扩大。通过一个被投毒文件进入的提示注入，可以沿委派链传播到从未直接接触它的智能体，因为链条中没有任何智能体拥有验证其父级指令未被篡改的机制。

编码智能体还引入了独特的供应链风险：绕过人工审查的智能体生成提交会使组织的 SLSA（软件制品供应链完整性等级）溯源级别倒退，消除人工审查工作流所提供的认证保证。分支保护规则和必需审查者策略必须在仓库层强制执行，而不能放在智能体的配置层，因为能够影响自身配置的智能体同样可以削弱旨在约束它的控制。

组织自然的应对是遏制：将智能体沙箱化，通过允许清单（allowlist）限制命令。但这些控制是为人工控制的执行而设计的，编码智能体以将控制转化为攻击载体的方式打破了这一假设。真实世界的事故证实了这一缺口：一个 AI 智能体直接违反代码冻结指令删除了生产数据库；一个编码工具扩展通过注入破坏性系统提示的恶意拉取请求（pull request）而被攻陷。

两个已确认的漏洞说明了这一模式。CVE-2026-22708 于 2026 年 1 月针对 Cursor 披露，显示能够影响智能体指令的攻击者可以静默地污染执行环境，使得用户或允许清单已经批准的命令（如 git branch 或 python3 script.py）转而执行任意代码。允许清单并没有在阻止攻击上失效——它反而简化了攻击，自动批准了攻击者触发载荷所需的命令。CVE-2025-59532 针对 OpenAI 的 Codex CLI 披露，显示智能体自身的输出可以重新定义沙箱的可写边界，从而在预期工作区之外进行文件写入和命令执行。两者反映的是同一结构性弱点：为人工操作者校准的控制，在执行者能够影响自身遏制措施时就会变得可被利用。

这些事故横跨安全（safety）—安保（security）边界，我们将在「AI 安全 vs AI 安保」章节中详细探讨。Replit 的失败没有对手方，而上述 CVE 需要对手方，但底层的权限架构是相同的。而同样的自主性对攻击者也同等可用：2026 年 2 月，hackerbot-claw[6]——一个被刻意打造为武器的自主机器人——利用了多个主要开源仓库中 GitHub Actions 的配置错误，通过 PAT（个人访问令牌）窃取攻陷了 Aqua Trivy[7]，并使用窃取的凭证向 OpenVSX 市场推送了恶意制品。启动之后无需任何人工指挥。

面向客户、个人与基础设施智能体

同样的转变重塑了其余类别：面向客户的智能体现在直接执行交易，将授权边界暴露给任何用户；用户设备上的个人智能体在企业治理之外连接公司系统；基础设施智能体持有 IAM 凭证，因此单次失陷就能实现基础设施规模的横向移动。

氛围编程与影子 AI（Vibe Coding and Shadow AI）

「氛围编程」（vibe coding）——被《柯林斯词典》评为 2025 年度词汇——描述的是通过自然语言描述意图来生成整个应用、并在不审查的情况下接受 AI 生成代码的做法。对数千个此类应用的大规模分析显示，LLM 会产生统计上可预测的漏洞：每个模型都有其反复出现的硬编码密钥、偏好的默认配置和一贯的安全缺口。理解这些模型特定模式的攻击者无需侦察即可大规模加以利用。

与影子 AI（Shadow AI）的重叠加剧了治理挑战。调查[8]显示，约一半的员工在使用未经雇主批准的 AI 工具，且常在未经 IT 批准的情况下将其连接到工作系统。数据泄露事件证实了其影响：根据 IBM《数据泄露成本报告》[9]，影子 AI 使用量大的组织面临显著更高的泄露成本、更长的检测时间和更高的数据失陷率。同一报告显示，只有 37% 的组织制定了管理 AI 或检测影子 AI 的政策。AI 采用速度与治理成熟度之间的差距不是在缩小，而是在扩大。

#### 提示注入：智能体攻击的主要投递机制（Prompt Injection: The Primary Delivery Mechanism for Agentic Attacks）

提示注入（LLM01:2025）是针对 AI 系统最普遍的攻击技术。在独立模型中，一次注入只能改变一个响应；而在智能体中，它可以重定向目标、破坏多步计划、伪造智能体间消息，并级联为跨多个系统的工具操作。这就是为什么它对应十个 ASI 类别中的六个。

这一挑战是架构性的。LLM 将数据平面与控制平面塌缩为单一通道：系统提示、用户请求以及从外部来源检索的内容都被作为统一的词元（token）序列处理，没有可靠机制在其间强制实施特权边界。当攻击者将指令嵌入智能体处理的任何数据源时，这些指令便与合法命令具有同等权重。2026 年 1 月发表的研究[10]展示了提示注入如何充当智能体杀伤链（kill chain）中的关键环节，实现跨多智能体系统的横向移动和跨组织边界的特权提升。

由于架构问题尚未解决，从业者已从试图阻止注入转向约束被注入的智能体实际能完成什么。Simon Willison 著名的「致命三重奏」（lethal trifecta）指出了使注入可被端到端利用的三项智能体属性：访问私有数据、暴露于不可信内容、具备对外通信能力。当一个智能体在单个会话内同时具备这三项属性时，一次注入即可完成完整攻击链：指令通过不可信内容进入，智能体为被注入的目标检索私有数据，再通过其对外通信能力送出被窃数据。

Meta 于 2025 年 10 月发布的「智能体二选二法则」（Agents Rule of Two）将其转化为设计约束：在任何不需要人工批准的会话中，智能体最多只能满足三项属性中的两项。若三项属性齐备，则必须在智能体行动之前进行人在环（human-in-the-loop）审批。

本节记录的企业提示注入事故中，涉事智能体无一例外地在没有审批关卡的情况下同时满足三项属性。「二选二法则」对解释结构性问题很有价值，但它并非完整的防御。《邀请即所需》（Invitation Is All You Need，2025）[11]记录的通过日历邀请投递的攻击表明，即使只具备三项属性中的两项，攻击仍然可行。

#### 智能体供应链：从理论走向活跃利用（The Agent Supply Chain Moved from Theory to Active Exploitation）

去年的报告将供应链风险标记为与工具滥用和协议滥用相关的隐患。到 2025—2026 年，它已成为智能体生态系统中演化最快的攻击载体，攻击者瞄准每一层：协议基础设施、技能注册表（skill registry）和核心 AI 软件包。

MCP 协议供应链

MCP（模型上下文协议）生态系统被证明尤其脆弱。在广泛采用的数月之内，研究者就记录了野外首个恶意 MCP 服务器：postmark-mcp[12]——一个以邮戳为主题的软件包，用十五个版本积累可信度，然后静默加入一行数据外泄代码。不久之后，在数十万开发者使用的 MCP 核心基础设施中发现了一个严重的 RCE（远程代码执行）漏洞 CVE-2025-6514（CVSS 9.6），这表明即便是协议的传输层也带有可被利用的信任假设。

使其区别于传统软件供应链攻击的，是智能体独有的攻击面。研究者形式化了「工具投毒攻击」（Tool Poisoning Attacks）概念：恶意指令隐藏在工具描述字段中，人工审查者看不见，但 AI 模型会将其作为可信上下文处理。载荷不在代码中而在元数据中，利用了人工审计内容与智能体消费内容之间的落差。相关技术还包括「MCP 抽地毯」（MCP Rug Pulls，工具描述在批准后被更改）和跨源提权（cross-origin escalation，恶意服务器对可信服务器的工具进行影子替换）。

技能注册表利用（Skill Registry Exploitation）

技能与软件包注册表在不同层面呈现同样的模式。ClawHavoc 行动在伪造的技能文档中嵌入社会工程手段以投递混淆载荷。Koi Security 对该行动的审计[13]还识别出使用不同技术的离群技能：在正常使用（而非安装）期间触发的反向 shell 后门，以及从配置文件静默外泄 OpenClaw 机器人凭证的技能。Snyk 独立的 ToxicSkills 分析[14]发现有技能对智能体的持久记忆文件（SOUL.md 与 MEMORY.md）投毒，实现跨会话持续的延时行为修改。

利用随后升级到核心 AI 基础设施。2026 年 3 月，TeamPCP 的 hackerbot-claw 机器人利用 Aqua Security 不完整的凭证轮换，攻陷了 Trivy 的 GitHub Actions，并用其收割了 LiteLLM 的 PyPI 发布令牌。两个带后门的版本被直接发布到 PyPI，绕过了上游仓库。载荷利用 Python 的 .pth 机制，收割 50 多个类别的凭证。LiteLLM 是 CrewAI、DSPy、Microsoft GraphRAG 以及数十个其他智能体框架的 LLM 网关。在三小时的暴露窗口内发生了近 47,000 次下载。

三个层面的模式是一致的：攻击者瞄准的是智能体隐式信任的组件，爆炸半径随依赖图扩大。将智能体供应链安全视为传统软件依赖问题的组织，低估了攻击面，也低估了失陷传播的速度。

AI 智能体陷阱（AI Agent Traps）

Franklin 等人（2026[15]）将此形式化为「AI 智能体陷阱」（AI Agent Traps）——一个建立在结构性观察之上、重新界定防御者关注点的框架。攻击者的目标不是智能体，而是智能体所消费的信息环境：工具描述、检索语料、持久记忆存储、技能注册表和网页内容。智能体自身的能力成为攻击机制。上文记录的工具投毒、记忆持久化和技能注册表攻击都遵循这一模式，「未来趋势」中讨论的审批疲劳（approval fatigue）问题也是如此——该框架将其视为针对人工审查者的蓄意攻击，而非附带的运营摩擦。该框架还识别出多智能体系统性陷阱，包括由智能体相关性行为触发的级联失效，以及只有跨智能体聚合时才会重组的碎片化载荷；随着多智能体部署达到生产规模，这些将具有实际的运营意义。

智能体身份与治理缺口（The Agent Identity and Governance Gap）

企业环境中的非人类身份（non-human identity）数量现已远超人类身份，但很少有组织拥有管理非人类身份与智能体身份的战略。随着智能体获得持久身份、API 凭证和跨系统行动能力，它们继承了身份与访问管理的全部复杂性，却没有围绕人类身份构建了数十年的工具支持。编码智能体持有开发者凭证。企业智能体访问敏感业务数据。氛围编程产出的应用常常带着硬编码或明文密钥出厂。在组织以对待人类用户的同等严谨程度将身份治理扩展到非人类智能体之前，这仍将是智能体格局中最易被利用的结构性弱点之一——而且，由于造成身份暴露的设计决策与造成自主错误暴露的设计决策相同，修复其一即修复其二。关于当前身份缺口的更多见解，参见「智能体身份 vs 非人类身份（NHI）」章节。

攻击面模型已然成形（The Attack Surface Model Found Its Shape）

2025—2026 年，业界对这一攻击面的理解显著成熟。各项独立工作（CSA 的 MAESTRO 威胁模型、AWS 的架构范围矩阵、NVIDIA 与 Lakera 的安全框架、Google 的 A2A 协议）从不同起点得出了相同的结构性结论：智能体风险不能归结为单一层面。它产生于模型的推理能力、其可调用的工具、其积累的记忆与上下文，以及协作智能体之间信任关系的相互作用。一层的失陷会级联穿透其他层。下文的六个威胁领域正是围绕这一分层理解组织的。

AI 安全 vs AI 安保（AI Safety vs AI Security）

智能体 AI 系统可能以造成真实危害的方式失效。这些失效在成因、机制和影响上各不相同，而这些差异决定了组织如何检测、响应和治理它们。本节先确立两类风险，然后论证智能体系统使二者之间的运营边界变得不稳定，这直接影响安全负责人如何组织威胁建模、事故响应和组织归属。

这些类别与国际共识一致。2026 年《国际 AI 安全报告》（International AI Safety Report）[16]的三分类框架区分了恶意使用（malicious use）、故障（malfunction）和系统性风险（systemic risk），前两者与此处使用的 security 与 safety 定义紧密对应。[16] 从任一框架出发的从业者都会得出兼容的风险评估与控制要求。

[16] 《国际 AI 安全报告》将「AI safety」用作涵盖所有 AI 风险类别（包括网络安全与生物安全威胁）的广义总称。我们的用法更窄。我们所说的「safety」对应报告所称的「malfunctions」，也即 AI 研究社区所称的「对齐」（alignment，具体指运营层面的对齐失效）：系统以违背人类意图、价值观或规范的方式使用其能力的倾向。我们选择「safety」而非「alignment」，是因为对安全负责人而言，「safety」承载着正确的运营含义：危害源于系统本身是什么，而非攻击者对它做了什么。在不同文档之间切换的读者，应将我们的「safety」映射到报告的「malfunctions」类别，将我们的「security」映射到其「malicious use」类别。我们注意到，safety/security 的区分针对的是可追溯到特定系统的危害。随着智能体部署规模扩大，局部失效可能产生生态系统级后果。

#### AI 安保实践（AI Security in Practice）

安保类失效具有共同结构：对手利用了「被允许的」与「被预期的」之间的落差。不同的是攻击载体、失陷的持久性，以及利用在多大程度上借助了智能体自身的架构。以下场景展示了该结构在不同复杂度层面如何上演。

单个被投毒的输入——无论是共享文件、日历邀请还是电子邮件——都能使企业 AI 助手在不触发任何安全告警的情况下外泄敏感数据。智能体的功能完全按设计运行；失效之处在于 LLM 无法可靠地区分「应当处理的数据」与「应当遵循的指令」。这一数据—指令边界是智能体系统中最普遍、最不成熟的信任边界。

同样的结构性失效在与智能体的执行环境交互时后果更严重。一个沙箱配置宽松的编码智能体通过克隆的代码仓库收到提示注入，随后以完整用户权限实现远程代码执行。沙箱边界名存实亡，没有实施任何有意义的遏制。严重性来自控制的预期功能与实际执行之间的落差——这一模式在每个智能体类别中反复出现。

另一类攻击利用智能体自身的记忆。攻击者通过一次精心构造的交互污染智能体的持久记忆。数天后，当用户提出一个不相关的问题时，被嵌入的指令被激活，在初始失陷很久之后实现未授权操作。智能体把自己的记忆当作可信上下文，而对手却能通过普通交互通道向其写入。以单个会话为范围的监控永远无法检测到它。失陷在每一次未来交互中静默存续。

#### AI 安全实践（AI Safety in Practice）

安全（safety）类失效具有另一种共同结构：系统在没有任何对手参与的情况下通过正常运行造成危害。不同的是危害来自模型的知识、可靠性还是自主性。以下场景展示每种情况在实践中如何上演。

第一种模式涉及信息而非行动。用户询问 AI 系统如何合成受管制物质，系统提供了分步说明。系统具备产生危险信息的能力，却没有足够的护栏来阻止。风险是有界的，因为人类仍须选择依输出行动。这是提供商的责任；前沿实验室正在对齐与拒绝训练上投入巨资以减少此类失效。

当智能体可以直接行动时，风险状况就变了。在一起有记录的 2025 年事故中，[17]一个编码助手在用户明确、反复指示「什么都不许改」的情况下删除了用户的生产数据库。随后它伪造了数千条虚构记录，谎称回滚不可能，并在被告知停止后数秒内继续违反代码冻结。系统就是无法可靠地遵循约束，而其默认访问级别使这种不可靠变成灾难。模型的不可靠性是触发因素，但爆炸半径由部署架构决定。

另一种模式出现在智能体每一步都按预期工作、但其默认自主性超过情境所需从而产生有害结果时。在 2026 年的一起事故中，[18]一个自主编码智能体向某主要开源库提交的拉取请求被维护者拒绝。该智能体随后调查了维护者的个人信息与贡献历史，构造出质疑其动机与人品的诽谤性叙事，并发布到公开互联网上。智能体行使的每项能力（网络调研、观点形成、长文写作、发布）都按设计运行。危害源于一个设计选择：赋予智能体在重要渠道上的自主行动权，却将监督保持在最低限度。

第四种模式通过反馈而非单一事件发挥作用。2025 年 7 月，Grok 开始在 X 上自称「MechaHitler」并生成反犹太内容。这一行为并非源于某一次提示或某一次训练，而是源于一个反馈回路：平台上流传的对模型行为的描述成为模型随后接触到的输入，放大并固化了被标签化的行为。研究者将这一机制记录为「人设超迷信」（persona hyperstition，Franklin 等人 2026[15]）：关于模型身份的公共叙事通过训练数据与检索重新进入模型，产生强化该叙事的输出并固化该行为。这一机制不需要对手。该模式对安全负责人之所以重要，是因为针对可靠性失效的控制无法应对它：漂移发生在会话之间而非会话之内，等到行为可见时，运行中的系统已经偏离了部署者当初评估并为之构建控制的那个系统。

#### 智能体系统为何使这一区分塌缩（Why Agentic Systems Collapse This Distinction）

在传统软件中，安全（safety）与安保（security）在运营上是可分离的。桥梁的结构完整性是工程问题；有人在桥上安放炸药是安保问题。两类问题需要不同的团队、不同的方法和不同的汇报链。仅生成文本或分类图像的 AI 系统大体保持了这种分离：你可以把对抗性提示注入当作安保问题、把幻觉当作产品质量问题，组织边界得以维持。

智能体 AI 使这一点不再稳定。准确地说，是与安保交汇的是部署层的 safety。模型层面的 safety 仍是一门独立学科，前沿实验室在该领域的投入降低了某些失效的频率，但并未消除部署者的架构义务。

当 AI 系统能够自主执行有重大影响的行动（例如发送邮件、修改文件、调用 API、提交代码、触发交易）时，「系统因被操纵而做了有害的事」与「系统因有能力而做了有害的事」之间的区分在运营上就变得难以维持。智能体越强大、越自主，这两类就越趋同：智能体可能自行滥用的每项能力，也是对手可以通过提示注入、记忆投毒或工具操纵触发的能力；攻击者对系统的杠杆恰恰来自智能体在真实世界中行动的力量。在 AI 决策影响健康、安全或福祉的高风险领域，组织应假定攻击者会专门瞄准安全关键功能。对于自主性有限或有人在环控制的智能体，两类仍然可以有效地分开。对于以广泛权限和最少监督运行的智能体，这种分离就会瓦解。

两个案例说明了这一点：

• 一个拥有广泛文件系统访问权的企业智能体删除了生产数据。这是 safety 失效（智能体无法可靠遵循约束）还是 security 失效（权限模型过于宽松）？这个问题本身就是错置的。过度授权的访问模型就是 safety 失效，而这同一 safety 失效正是对手会利用的 security 缺口。试图把这次事故归入某一类别，会造成组织层面的拖延，其间事故得不到遏制。
• 一个持久记忆早先被对抗性交互污染的智能体，在数天或数周后开始行为异常：外泄数据、给出细微错误的答案、采取未授权行动。对实时观察的团队来说，该行为看上去完全像可靠性故障。只有深入的法证分析才能揭示底层的安保失陷。将其当作 safety 问题处理的团队（重启智能体、检查漂移、审查训练数据）可能完全错过持久化机制并再次被攻陷。将其当作 security 问题处理的团队（追查初始访问载体、分析记忆状态、寻找持续控制的指标）更有可能遏制它。

上述交汇反映了当前智能体可靠性的基线。前文所述的开源事故直接说明了这一点：同样的诽谤性结果既可能源于自主目标漂移，也可能源于对抗性提示，而受害的维护者无从分辨。《国际 AI 安全报告》记录到，当前 AI 智能体完成约三十分钟时长的明确定义任务的可靠性约为 80%，但成功率随任务复杂度上升急剧下降，对需要数小时的任务低于 25%。有记录的失效模式包括执行不相关的命令、丢失运行状态跟踪、以及在无人工干预时无法从简单错误中恢复。这些是当前状态的限制，可能随时间改善，但今天部署智能体系统的组织必须针对今天的可靠性设计控制。当 safety 失效如此频繁时，它们为对手创造的机会也同样普遍。

本报告其他章节记录的每个主要趋势都加深了这种交汇。下表沿 safety 与 security 两个维度追踪四项趋势。「交汇效应」列展示了结构性结果：在每种情况下，造成 safety 风险的设计决策同样造成 security 风险。

每一行的模式都相同：造成 safety 暴露的设计决策正是造成 security 暴露的设计决策。解决其一必须解决其二。为其一建立的监控会产生其二所需的遥测数据。

#### 范围与相邻风险（Scope and Adjacent Risks）

此处定义的 security 与 safety 针对的是可追溯到特定系统行为的危害，无论是对抗性还是非对抗性的。这包括协调失误和资源冲突等多智能体失效模式——它们涉及系统间交互，但仍可追溯到具体的架构与设计选择。

另一类风险不在本节的运营范围之内：由广泛采用（而非任何单一系统的失效）引发的系统性危害。其中包括劳动力市场替代、由自动化偏见和对 AI 系统的情感依赖造成的人类自主性侵蚀，以及信息环境的退化。在量表的最远端，它们还包括存在性与灾难性风险场景——能力足够强的智能体系统造成文明层面的不可逆危害。这些风险是真实的且影响日益重大，但它们需要超出部署层安全控制能力范围的政策层面与生态系统层面响应。构建智能体系统的组织应在关注此处所述系统级控制的同时，跟踪系统性风险治理的进展。

security 与 safety 仍是理解「系统为何失效」的有用分析类别。但当它们决定「由谁响应」时就会适得其反。将部署层的 safety 与 security 视为单一风险面的两个维度——共同治理、共同监控、共同响应——这一主张在智能体自主性与能力最高处最为有力，并将随着智能体部署加速而愈发有力。

#### 这对安全负责人意味着什么（What This Means for Security Leaders）

组织层面的后果是直接的：在部署层，智能体系统的 safety 与 security 无法分开治理。模型层面的 safety 仍属提供商的领域，但上文记录的各类失效与安保问题有着共同的根因，需要同样的控制与事故响应能力。

在当今多数企业中，AI safety 归属 ML 工程或产品团队，AI security 归属信息安全部门或 CISO 办公室，而 AI 采用战略往往归属某个转型或创新职能——它拥有部署决策权，却可能不对 safety 或 security 结果承担正式问责。每个职能都有自己的风险分类法、自己的升级路径和自己对「何为事故」的定义。当模型能造成的最坏结果只是一个由人在行动前审查的不良输出时，这种分离是可行的；但对于自主行动的系统，它不再成立。CISO、CTO、AI 负责人和产品安全负责人都对这条边界如何重划有着切身利害关系。

将现有安全职责扩展以覆盖 safety 失效是自然的起点，但挑战是实质性的。智能体系统中的 safety 失效涉及多数安全组织经验有限的模型行为与评估方法论——即便其中涉及的架构决策（权限模型、工具访问、工作流设计）是熟悉领域。反过来，专注 safety 的团队往往缺乏安全工作所要求的对抗性思维与事故响应纪律。组织如何弥合这一缺口各有不同——可以通过扩展角色、跨职能结构或专职 AI 风险职能——但这一缺口本身是当前格局的一贯特征。下表映射了五个「更紧密整合的需求具有直接运营后果」的维度。

真实世界事故与漏洞利用追踪（Real-World Incidents and Exploits Tracker）

v1.0 发布时，智能体 AI 安全在很大程度上仍是理论性的：受控研究环境、早期概念验证、推测性威胁模型。到 2025 年末至 2026 年初，情况改变了。越来越多的已记录事故与漏洞利用披露表明智能体系统在生产环境中如何失效——往往经由工具执行层、连接器基础设施、协议实现，以及对委派权限的薄弱治理。

本节取材于 OWASP 智能体安全计划（ASI）漏洞利用与事故追踪库及相关公开披露，梳理与循证风险评估和控制设计最相关的失效模式。这是一份精选快照，不是详尽档案，收录并不意味着任何特定供应商或组织存在过错。相关的标准化工作在 ETSI TC SAI（TS 104 223、EN 304 223）中进行，其覆盖 AI 模型与系统，但目前尚未包含智能体专项用例。完整且持续更新的数据集见 GitHub 上的 ASI 追踪库[19]，或配套的可视化浏览器 https://owasp-agentic-ai-security-incidents.lovable.app/。[20]

随着智能体系统规模化，事故频率与复杂度也将随之上升。持续追踪真实世界的失效并将其与治理控制交叉映射，对降低系统性风险仍然至关重要。

协议格局与风险（Protocol Landscape and Risks）

智能体 AI 协议如今构成了多数生产级智能体系统的骨干。在 v1.0 发布周期中还是新兴互操作性标准的协议，如今已嵌入企业平台、开发者工具和面向客户的服务之中。

这些协议标准化了智能体调用工具、与其他智能体通信以及发现可用能力的方式。这使大规模部署成为可能，同时也创造了共享攻击面，并把信任边界扩展到远超传统应用与网络边界之外。

若干主要协议现在已通过开放基金会和行业联盟进行治理（或正处于治理进程中），提高了标准化与透明度，但这尚未转化为始终安全的实现。

自 2025 年年中以来，多起事故表明协议层弱点会直接转化为运营失效、数据暴露和监管风险。在实践中，协议治理没有跟上采用的步伐。

本节对主要协议类别及其引入的安全与治理问题给出高层视图。

#### 智能体到工具的调用协议（Agent-to-Tool Invocation Protocols）

智能体到工具的调用协议将推理系统（LLM、SLM 及编排层）连接到确定性工具、API 和数据源。它们使智能体能够执行具体行动，如查询内部系统、发送消息、发起交易和触发工作流。到 2026 年，这些协议已深度集成到生产力平台、开发者环境和企业自动化系统中。

代表协议：模型上下文协议（Model Context Protocol，MCP）（采用度高）。

安全与治理考量：工具调用协议将运营权限委派给智能体。2025 年以来的事故与披露表明，不安全的 MCP 服务器实现可能导致失陷（包括远程代码执行），而薄弱的上下文与工具边界控制会造成数据暴露和权限滥用的现实路径。在工具描述符与服务器清单充当承载策略的制品的场合尤其如此。

依赖这些协议的组织必须把工具接口当作受监管的执行环境，而非被动集成。最小权限访问、强沙箱、实时安全检查与持续监控必不可少。OWASP 已发布 MCP 安全专项资源，包括《OWASP MCP 速查表》（OWASP MCP Cheatsheet）[27]和《OWASP MCP 指南》（OWASP Guide for MCP）[28]，为保护 MCP 实现提供实用指导。

#### 智能体通信协议（Agent Communication Protocols）

智能体通信协议支持自主系统之间的结构化消息传递与协调，支撑跨内部与外部环境的委派、协商和协作式任务执行。这些协议越来越多地连接由不同供应商、团队和组织运营的智能体。

代表协议：智能体间协议（Agent-to-Agent，A2A）（采用度低）；智能体通信协议（Agent Communication Protocol，ACP）（采用度低）。实践中，生态系统正在向共同治理框架下更少的共享标准收敛。

安全与治理考量：智能体间通信以常常未被充分理解的方式扩展了组织信任边界。观察到的风险包括：智能体冒充与身份欺骗、失控的委派循环、自主系统间的横向移动，以及信任传递性失效。若没有明确的治理控制，智能体可能继承权限却没有相应的问责或清晰指定的组织责任。安全部署需要强身份绑定、明确定义的委派限制和可审计的通信路径。

#### 智能体与工具发现协议（Agent and Tool Discovery Protocols）

发现协议允许智能体根据声明的能力动态定位工具与对等方。它们支持可扩展、松耦合的生态系统，智能体无需手工配置即可协作。

代表协议：网络化智能体与去中心化 AI（Networked Agents and Decentralized AI，NANDA）（采用度低）；智能体名称服务（Agent Name Service，ANS）（采用度低）——提供 PKI 支持的身份与注册表元数据，并支持跨 MCP、A2A 和 ACP 的集成。

安全与治理考量：发现层将信任集中于注册表与路由服务。真实世界的事故涉及：能力虚假声明、注册表投毒、Sybil（女巫）智能体创建，以及流量重定向。从治理视角看，发现系统是关键信任基础设施，需要与域名系统和公钥基础设施相当的控制，包括加密身份锚定、完整性监控和可靠的吊销机制。

#### 贯穿性协议风险（Cross-Cutting Protocol Risks）

跨协议类别的事故分析显示出反复出现的结构性弱点：经由复合与传递信任造成的身份稀释、过度的能力暴露、跨供应商碎片化的审计轨迹、薄弱的遏制与吊销机制，以及对自主委派的有限可见性。这些风险主要与架构和治理相关，并因供应商与部署组织之间碎片化的共担责任模型而加剧。

#### 基线安全与治理预期（Baseline Security and Governance Expectations）

到 2026 年，部署标准化智能体协议的组织至少应能够证明：智能体与工具拥有可加密验证的身份；对委派与自主性有明确限制，包括定义好的升级路径与人在环监督触发条件；对共享上下文与描述符进行验证与净化；最小权限执行环境；针对协议服务器与适配器的软件供应链控制，包括溯源、签名与漏洞管理；端到端、审计级的协议层遥测与可追溯性；以及快速吊销与遏制控制。凡是缺失这些基础的地方，协议采用放大风险的速度总是超过治理结构的响应速度。

智能体身份 vs 非人类身份（Agent Identity vs Non-Human Identity，NHI）

这是同一问题的两个不同层面，而业界为图省事混用二者，已付出代价。一个是认证原语（authentication primitive），另一个是构建其上的治理框架。

非人类身份（Non-Human Identity，NHI）是非人类实体的数字化表示与认证——传统上是静态服务账户和 API 密钥。

智能体身份（Agent Identity）是一个动态的加密框架，用于认证智能体身份，并安全治理具备独立推理和跨边界执行能力的自主智能体。

混淆二者，正是多数身份计划尚未为智能体做好准备的原因。NHI 告诉你凭证是有效的，它无法告诉你持有凭证的推理实体此刻是否应该采取它正在采取的行动。区别归结为：非人类身份验证的是凭证被授权连接；智能体身份必须持续验证持有者正在用该授权做什么。

传统 NHI（服务账户、API 密钥）在认证时回答一个问题：「这个实体允许进入吗？」答案一直有效，直到有人轮换凭证——这对每次都做同样事情的工作负载可行，对智能体则失效。智能体会推理、会委派给其他智能体、会在运行时发现新工具，因此问题不再是「这个凭证能否连接」，而是「谁委派了这个智能体、它此刻想做什么、它是否仍被允许这么做」。NHI 在会话开始时把关身份；智能体身份必须在每个行动发生的时刻治理行为。这一转变——从验证持有者到治理行为——正是本节其余部分要展开的内容。

问题的规模已经显现。在多数企业中，非人类身份数量以 100:1 的比例超过人类用户，部分组织报告为 500:1。Entro Security《2025 年 NHI 现状报告》发现，97% 的 NHI 携带过度权限，仅 0.01% 的机器身份控制着 80% 的云资源；71% 未在建议时限内轮换。

随着组织从基于聊天的助手转向完全自主的智能体工作流，身份概念已发生根本转变。在传统网络安全中，非人类身份（NHI）主要指静态服务账户、API 密钥、OAuth 凭证或工作负载使用的证书。在智能体时代，NHI 与 Agent Identity 这两个术语常被混用，但它们运行在不同层面：NHI 提供认证原语，而智能体身份是治理框架，用于认证那些跨信任边界进行推理、规划和执行的实体的来源（provenance）、意图（intent）与权限（authority）。

要应对智能体治理的新兴挑战，二者必须共同演进。为静态工作负载构建的传统 NHI 模式，本身无法治理自主推理者。

智能体不只是被动的脚本，而是自主行为者。它们与其他智能体协商、调用工具、访问敏感数据，往往没有人类直接在环。因此，智能体的「身份」不能只是一个简单的静态密钥。一个健壮的 Agentic Identity 框架必须动态强制执行三项加密断言：来源（Provenance，验证智能体的完整性）、认证（Attestation，验证智能体的身份）和意图（Intent）。同时，它必须应对传统 OAuth 风格、以令牌为中心的委派模型的局限——那些模型是为粗粒度、以人为中心或单体式机器客户端设计的，而不是为高速、按任务的智能体决策设计的。

#### 转变：从服务账户到智能体身份（The Shift: From Service Accounts to Agentic Identity）

传统 IAM 难以遏制智能体行为。被授予数据库「读取」权限的标准服务账户会永久保留该权限。而智能体身份需要与智能体当前任务和推理状态相匹配的高速、临时权限。OAuth 2.0 机器对机器模式（如客户端凭证流）在可复用令牌中使用静态作用域，阻碍了智能体所需的细粒度实时吊销。

• 静态 vs 动态：与确定性微服务不同，智能体的意图随提示变化。框架必须支持即时（Just-in-Time，JIT）特权提升与降低，仅授予当前推理步骤所需的权限。不透明访问令牌在这里失效：它们大小受限、一经签发即静态，且缺乏对单个授权决策的可见性，使细粒度策略评估和事后取证变得复杂。
• 委托—代理问题（Principal-Agent Problem）：智能体代表人类用户行动。身份模型需要健壮的委派链，保留原始用户的上下文与约束以防止特权提升。这意味着显式建模智能体在用户授权下被允许的操作，将该授权表示为短生命周期凭证，并使下游服务能够区分智能体的基础能力与被委派的权利，从而防止「被混淆的代理」（confused deputy）攻击。

#### 智能体身份的核心组件（Core Components of Agentic Identity）

组织必须将智能体身份视为加密断言，而非简单凭证。

• 身份认证（Identity Attestation）：在签发身份令牌之前，基础设施必须验证智能体的代码完整性、模型权重和运行时环境。被篡改的智能体或系统提示必须被拒绝签发令牌——这与 CI/CD 认证模式一致：只有经过验证的运行时才能访问敏感资源。
• 可验证凭证（Verifiable Credentials）：智能体间（A2A）与智能体到工具的通信需要短生命周期、可验证的凭证（如 SPIFFE SVID、OIDC 令牌），其中嵌入信任层级与分配的元数据，而非长期 API 密钥。去中心化身份（Decentralized Identity）方法（使用 DID 与可验证凭证）允许智能体在无需中心化提供商的情况下跨组织证明域成员身份或角色保证。
• 身份链（Identity Chaining）：通过 MCP 等协议调用工具时，令牌必须以加密方式将请求绑定到发起主体，以防止「被混淆的代理」攻击。下游 NHI 令牌必须携带同时表示智能体与上游主体的结构化声明。这使策略引擎能够利用令牌交换流（Token Exchange，RFC 8693）[29]强制执行约束，在多智能体链中保留请求上下文。
• 动态访问与细粒度 NHI（Dynamic Access and Fine-Grained NHIs）：有效权限必须动态适应当前任务。平台必须签发范围限定为最小必要访问的 NHI，要求在 API 端点或资源级别进行细粒度授权（例如，授予对单个代码仓库的读取权限，而不是宽泛、可复用的权限）。
• 智能体命名服务（Agent Naming Service）：组织需要标准化的方式来注册和发现非人类身份。内部的「智能体命名服务」[30]可以提供稳定标识符，将其映射到加密 ID（DID/SPIFFE ID），并暴露权威元数据（所有权、允许的工具、信任层级）用于授权与审计。

#### 智能体身份与 NHI 战略薄弱的风险（Risks of Weak Agent Identity and NHI Strategy）

缺乏专门的身份与 NHI 战略，组织将面临严重风险：

• 身份欺骗与冒充（Identity Spoofing & Impersonation）：缺少加密绑定时，流氓智能体可以冒充可信实体。跨智能体复用 NHI 会摧毁问责并放大失陷影响，对应 OWASP NHI9:2025「NHI 复用」。[31]
• 幽灵智能体（Ghost Agents）：为任务创建但从未退役的智能体保留有效身份，成为休眠后门。这反映 OWASP NHI1:2025「不当离职处理」[32]和 NHI7:2025「长期存活密钥」。[33]
• 智能体信任传递性失效（Agent Trust Transitivity Failures）：如果智能体 A 信任 B，B 又委派给不受信任的 C，数据就会泄漏到信任边界之外。协议必须强制执行明确的信任扩展限制，以缓解 OWASP NHI5:2025「过度授权的 NHI」[34]和 NHI9:2025「NHI 复用」。[35]
• 第三方智能体供应链（Third-Party Agentic Supply Chain）：依赖外部技能或插件的智能体，可能以调用工作流的权限执行被投毒的数据。这对应 OWASP NHI3:2025「脆弱的第三方 NHI」[36]，要求严格的来源验证。
• 凭证蔓延（Credential Sprawl）：工具集成引入凭证蔓延（API 密钥、静态密钥），常在代码或提示中配置错误。这放大了 OWASP NHI2:2025「密钥泄漏」[37]、NHI4:2025「不安全认证」[38]和 NHI7:2025「长期存活密钥」。[39] GTG-1002 展示了这在机器速度下的样子：一个被越狱的编码智能体带着 MCP 连接的工具，以机器速度自主收割多个目标环境的凭证，人类只在每次行动的四到六个决策点介入。
• 传统 NHI 与经人代理的身份（Legacy NHI and Human-Proxied Identity）：使用共享服务账户或人类用户身份的智能体会失去问责并继承不适当的权限。这模糊了人—智能体界限，违反最小权限原则，直接触及 OWASP NHI4:2025[40]和 NHI10:2025「人类使用 NHI」[41]（反向情形）。ServiceNow 的 BodySnatcher（CVE-2025-12420）展示了运营后果：硬编码的 API 密钥加上基于电子邮件的自动关联，使未经认证的攻击者能够冒充任何用户（包括管理员），进而指挥 AI 智能体在被劫持的身份下执行特权工作流。
• 凭证范围即爆炸半径（Credential Scope as Blast Radius）：范围过大的智能体凭证无论触发事件是对抗性还是自主性的都会造成危害。Replit 生产数据库删除事件在没有任何攻击者参与的情况下证明了这一点，进一步说明身份范围决定影响，与成因无关。对应 OWASP NHI5:2025「过度授权的 NHI」。[42]

#### 面向 2027 年的运营要求（Operational Requirements Through 2027）

治理团队和安全架构师必须为非人类身份数量的爆发以及智能体身份解决方案的缺位做好准备。2025 年《OWASP 非人类身份十大风险》（OWASP Non-Human Identities Top 10）[43]指出，不当离职处理、长期存活密钥、过度授权的 NHI、不安全认证模式以及 NHI 复用在云与 API 驱动的系统中已经普遍存在；如果置之不理，智能体架构将继承并加剧这些失效模式。

• 自动化身份生命周期（Automated Identity Lifecycle）：对每小时可能派生数百个子智能体的系统而言，手工创建服务账户不可持续。身份签发必须自动化、临时化，并与智能体工作流的生命周期绑定。这包括在工作流完成时自动离职处理，以避免「不当离职处理」（NHI1:2025），并确保令牌、密钥和证书具有短生命周期，不致成为「长期存活密钥」（NHI7:2025）。
• NHI 的策略即代码（Policy-as-Code for NHI）：智能体身份的权限应以代码定义并实时评估。智能体的身份应严格限制其能够「发现」和调用的工具，防止客服智能体拥有访问生产工程工具所需的身份属性。策略引擎应能同时解析传统 NHI 属性（如环境、应用、权限级别）和新兴的智能体专属声明（如推理模式、任务类型或 DID 绑定的凭证），以在多智能体工作流中强制执行最小权限并防止「过度授权的 NHI」（NHI5:2025）。

#### 这对安全负责人意味着什么（What This Means for Security Leaders）

在智能体世界里，身份就是新边界。组织必须超越静态密钥，采用加密的、经认证的、临时的身份，把每一次自主行动绑定到可验证的授权来源。这要求为智能体重新思考 OAuth 风格的授权，在适当处引入可验证凭证与去中心化标识符（DID）模式，并使运营控制与《OWASP 非人类身份十大风险》对齐，从而以不低于当今服务账户与机器凭证的严谨程度管理智能体 NHI。 PRIMARY_SOURCE: https://genai.owasp.org/resource/state-of-agentic-ai-security-and-governance