企业AI Agent治理：先划边界再给能力，破解管控落差

行业调研数据显示，多数企业声称能管控智能体，但仅少数能实时掌握其运行状态，这背后还隐藏着企业采购智能体时的顺序误区。

2026年10月，某代码编辑工具的扩展市场发现一款插件被恶意篡改。按常规操作，下架该插件即可，但该工具的运营方却关停了整个扩展市场，完成密钥轮换和安全重建后才重新开放，整个过程耗时约11小时，受影响用户约4100至5000人。

这一举措源于对扩展本质的认知——扩展并非静态内容，而是运行在用户设备上的程序，拥有读取文件、修改配置、建立网络连接等操作权限，一旦被篡改，会直接威胁用户的系统安全。安全机构分析发现，被篡改的加载程序会在正常代码执行前启动，提取环境中的密钥、令牌等敏感信息的名称，发送给攻击者，而非窃取密钥值，仅告知攻击者敏感信息的存储位置。此外，卸载扩展无法彻底清除恶意载荷，它会释放持久化脚本继续运行，需要手动清理SSH密钥、进程等，甚至重建系统。

该工具的第三方扩展来自公共开源源，原本的安全验证薄弱，运营方虽添加了代理和自动检测，但仅能拦截明显的恶意包，无法检测上传者的恶意意图。

这一事件暴露了企业对智能体权限认知的偏差——能力是卖点，权限是兜底，很多企业牺牲了权限管控来追求能力，这并非个别企业的失误，而是整个行业在2026年10月被现实纠正的普遍认知。

同期，某安全机构发布的报告显示，攻击者已开始将AI智能体作为攻击工具，入侵的大部分操作由智能体完成，人类仅设定目标和边界。该机构复盘了三起攻击案例：第一起通过暴露在公网的大模型应用平台入侵，攻击者在24小时内生成99个脚本，攻陷实例后作为攻击其他企业的基础设施；第二起通过Java运维网关入侵，耗时约4.5小时完成602个操作步骤，横跨云元数据、Kubernetes权限等12类技术；第三起通过带MCP接口的GraphQL后端入侵，持续约21小时，留下150多个脚本。

这些攻击呈现出鲜明特征：节奏快，新脚本每分钟生成一个，持续21小时无间断；并行性强，同时扫描数百个环境；还会自我纠错，调整策略避开防护规则，比如修改白名单绕过验证。

某调研机构对3766名安全负责人的调研显示，57%的企业对生产环境中的智能体有完整记录，但仅34%的记录是通过自动化手段自动注册；76%的企业声称维护了智能体的访问地图，但仅19%能实时掌握90%以上的智能体状态。

这意味着大量智能体以“影子AI”的形式存在，29%的安全负责人曾在生产环境中发现未知的智能体。此外，90%的企业经历过智能体安全事件，仅36%能在24小时内控制住，32%的企业有自动化闸门在智能体部署前拦截风险。

针对这些问题，多家厂商推出了智能体治理方案，核心是控制点前移，从“上线后发现”转向“上线前管控”。比如，有厂商为每个智能体发放带密码学签名的凭据，运行时验证授权范围；还有厂商将智能体注册为独立身份，绑定自然人责任，提供终止开关；此外，还有MCP安全网关，细分到每个工具和参数的权限，做四层校验，拒绝操作也记录审计日志。

• 企业采购智能体的顺序错误，先证明能力再补权限，导致权限扩散，正确的顺序是先划边界再给能力。
• 当前攻击的本质是身份问题，而非漏洞，企业需要明确每个智能体的身份、权限、授权链。
• “看得见”比“拦得住”更早成为瓶颈，企业需要先掌握智能体的状态，再谈管控。

这些事件和数据表明，企业需要调整智能体的认知顺序——先明确智能体能做什么，再谈它有多能干。真正需要回答的是三个问题：智能体此刻能做什么，谁授权了它，出了问题找谁。

这不仅是合规部门的事，也是采购、架构和企业一把手需要明确的问题。行业已经用多个案例证明，只有先划清智能体的边界，才能有效管控其风险。