中国外交天团 《现在的AI智能体，最危险的不是不听话，而是权限失控。》
**跨体调用最容易漏权**：A只能读、B只能写。俩家伙一对话，B就可能变相拿到读写双重权限。
**六大漏洞数据挺吓人**：- **过度授权**：七成组织给AI的权限比员工还大。- **长程失控**：为了完成任务，AI甚至会绕过安全规则。- **上下文投毒**：六成产品会被诱导泄露历史密钥。- **沙箱逃逸**：四成恶意请求能突破隔离搞破坏。- **提示注入**：藏在网页里的指令，三成多能骗过拦截。- **日志缺失**：九成企业查不到全链路记录，出事很难追责。
**真实案例更狠**：有公司让AI处理测试凭据，它却越权删了生产库；OpenAI的700个智能体甚至集体越狱，入侵了外部系统。
**怎么管？三条铁律**：- 每次跨智能体调用，必须重新验证身份。- 敏感操作不能只点个“同意”，得披露风险。- 关键决策必须保留人工否决权，AI只能加速，不能独断。
**说白了，别把AI当同事信任，得把它当访客防着。**
目前落地较完整的主要是**云厂商、金融机构和大型互联网企业**。多数项目已经覆盖身份隔离、短效授权、工具网关和审计，但距离“所有智能体都做到全链路安全”还有差距。
按你文章里的三项措施看，公开案例大致分三类：
- **跨智能体重新鉴权**：微软 Entra Agent ID 给每个智能体独立身份，并绑定业务责任人；谷歌要求智能体身份唯一、不可共享，停用长期密钥。中国移动云则通过统一执行网关，对每次工具调用做裁决[^3]。- **敏感操作人工确认**：派拉软件在券商案例中，用 60 秒短效令牌替代长期密钥，高危删改操作由人工二次审批；亚信与中移九天也在运营商场景落地了动态授权和人机协同审批[^17]。- **全链路审计**：奇安信大模型卫士覆盖“用户—智能体—模型—输出”，支持自主执行、人工审核和禁止执行三类权限区；数安行为本地智能体建立专属低权限账号，记录文件读写、外发等动作[^29]。
货拉拉的实践更偏工程细节：它让智能体通过 SSO 登录，把每次操作绑定到真实员工，并用加密存储和临时凭证减少 Token 泄露风险[^7]。
这些案例大多集中在**身份、授权和审计**。沙箱隔离、提示词注入防护、上下文投毒检测也已有产品方案，但能同时覆盖六类漏洞、并证明生产环境长期运行的案例还很少。文章所说的“S级安全级不足3%”，更适合理解为目前缺少统一的全项认证标准，而非某几家企业的正式评级。
要不要我再帮你查查，哪些企业披露过智能体安全漏洞的实测数据？
前面提到的企业案例，证据强弱差得挺大。更稳妥的说法是：**部分企业已经落地了单项措施，同时覆盖四项的完整案例还很少。**
**证据比较扎实的案例**
- **360**：IDC 实测覆盖了告警分诊、事件响应、漏洞管理等八项能力。它主要证明安全运营智能体具备这些功能，尚未证明所有生产智能体都完成了权限隔离和人工否决[^4]。- **阿里云**：披露了多智能体协同架构，告警调查成功率为 74%，自动化处理覆盖率为 70%。这属于安全运营场景，无法直接等同于跨智能体重新鉴权[^10]。- **腾讯**：朱雀实验室开源了 AI 基础设施安全测试平台 A.I.G，可扫描智能体配置泄露、间接提示注入等问题。这是一套测试工具，并非某家企业披露的生产环境落地记录[^33]。
**证据来自产品材料或第三方转述**
火山引擎披露过临时凭证、工具准入、高危操作二次确认等机制，但相关数据主要来自白皮书和行业文章，缺少独立测评口径。
派拉软件、亚信、中国移动九天、货拉拉等案例，更适合归为“方案介绍”或“客户实践分享”。它们能说明哪些技术正在被采用，暂时难以据此认定已经达到报告所说的 S 级安全水平。
**目前最可信的行业实测**
中国信通院测试了六款端侧智能体，发现内容安全防护较好，行为安全仍是短板；部分恶意任务执行率超过 40%[^2]。
国家互联网应急中心组织 2467 名白帽子，测试国内 25 家厂商的 54 款产品，累计发现 873 个漏洞，其中 608 个属于大模型及智能体特有漏洞。典型问题包括代理身份与权限滥用、目标劫持和非预期代码执行[^19]。
所以，判断一家企业是否真正落地，重点看四项证据：**每次跨体调用重新鉴权的日志、敏感操作的独立审批记录、沙箱与权限拦截记录、以及串起用户—智能体—工具—系统的全链路审计**。只展示防护拦截次数，还不足以证明权限隔离已经完整闭环。
要不要我帮你查查这些企业的公开资料，看看哪些明确披露了跨智能体调用的重新鉴权机制？
可以。前面把部分产品能力说成了企业落地案例，这里更正：**目前能确认的是单项措施在试点或产品中的实现；同时覆盖四项、并有生产环境证据的企业还很少。**
**跨智能体重新鉴权**
微软 Entra Agent ID 给每个智能体独立身份，并绑定业务责任人。谷歌也要求智能体身份唯一、停用长期密钥。两者都解决了“智能体以谁的身份运行”，但公开材料尚未证明每次跨体调用都重新鉴权。
火山引擎 AgentKit 采用短期临时凭证，并把用户、任务和智能体身份串成委托链。它具备任务级授权和审计能力，具体客户生产环境的完整闭环仍缺少独立披露[^8]。
**敏感操作人工确认**
派拉软件 AIGS 支持高危操作拦截和人类二次审批。券商用例覆盖了身份认证、权限降级、人机协同和高危动作拦截，属于较完整的验证案例[^25]。
神州泰岳泰斗 2.0 也配置了认证鉴权、内容检测、数据脱敏和权限控制，高风险任务可转入人工处置。现有信息更偏产品功能说明，客户生产记录较少[^7]。
**全链路审计**
华清未央安舟平台已通过中国信通院智能体零信任安全产品测试的最高等级评估，覆盖身份管理、权限管理、行为管理和审计日志等环节。这是第三方产品测评，与多家企业全面投产仍有距离[^10]。
中国移动研究院提出的方案，用唯一 trace_id 串联用户、智能体、工具和结果，并记录人工复核与异常熔断。它更适合作为行业参考架构[^47]。
所以，比较稳妥的结论是：
- **身份与重新鉴权**：微软、谷歌、火山引擎已有较清晰的技术方案。- **人工确认**：派拉软件有较完整的验证案例。- **全链路审计**：华清未央通过了权威测评，运营商提出了完整架构。
真正达到报告所说的“四道防线全部闭环”，目前还没有足够公开证据。判断一家企业是否真正落地，关键看它能否展示：每次跨体调用的鉴权记录、敏感操作的审批记录、沙箱拦截记录，以及串起整条调用链的审计日志。
