AI 智能体不再只是写写文字。它们读取日志、更改配置、安装软件，并与其他智能体对话。由此，IT 运营中出现了一个此前只属于人的问题：谁可以做什么，又是谁允许的？
“我们信任这个智能体”这个回答站不住脚。并不是因为智能体从根本上不可靠，而是因为信任划不出界限。更站得住的是另一把尺子：一项操作的影响范围——在最坏的情况下它会触及什么，以及它能否被撤回。
为什么这个话题此刻变得紧迫
过去两周的两份发布表明，智能体已经进入运营现实——而且是在攻防两端。
2026 年 9 月 10 日，Anthropic 发布了其报告“Detecting and countering misuse of AI: September 2026”。报告描述了该公司在 2025 年 12 月至 2026 年 8 月期间阻止的案例。其中有一句话值得威胁情报圈以外的人关注：对调查人员而言，复杂程度已不再是判断谁在幕后操纵一次行动的可靠信号——原文是：“sophistication has stopped being a reliable signal”（复杂程度已不再是可靠的信号）。报告称，从侦察到工具开发再到漏洞利用，进攻性行动的每一个层面都被 AI 抬高了。据报告，所描述的大多数行动是由 AI 促成的，或通过直接执行，或通过编排；多智能体系统被用于侦察、漏洞利用和数据外泄，而由人来设定目标。Anthropic 于 2025 年 11 月在一次疑似国家支持的行动中记录的一种自主攻击运作模式，如今已扩散到所有被调查的行为者群体。
对防御方，报告给出了一条冷静的建议：像对待生产环境的登录凭据一样认真对待 AI 密钥和智能体集成——因为攻击者也是这样做的。客户围绕 AI 搭建的东西，例如沙箱、代理和转售商，报告也将其列入攻击面。对自身运营的推论是：一个拥有写权限的智能体，就是一个拥有写权限的账户，而它的登录凭据是一个值得下手的目标。
在防御方这一侧，HashiCorp 于 2026 年 9 月 1 日发布了 Vault 2.1.0。版本说明将“Agentic IAM”列为许可组成部分，并在企业版中为 Agent Registry 提供了新的界面（“Agentic Security”区域），运营方可在其中查看和管理已注册的 AI 智能体及其身份、策略和运行状态。版本说明还提到了 Agent Registry 的上限策略（“ceiling policies”），其中现在也允许明确的禁止项（“deny”）。这表明，智能体身份正在成为一个独立的产品类别。
两者结合起来看，建议像对待特权账户一样对待智能体。以下五项原则，是给已在运营中使用智能体或正在计划使用智能体的组织的建议。
1. 按影响范围对操作分类，而不是凭感觉
并非每一项操作都需要同样的审批。一种可能的分类包含三个类别：
- 测量是自由的。 读取、检查、报告、提问——凡是不改变任何东西的事，智能体都可以不经询问去做。给测量设置障碍并不会带来安全。
- 写入需要一个约定好的计划。 在自身职责范围内的变更是允许的，前提是事先商定了一份计划，计划中写明两件事：一条在那时已经存在的回退路径——而不是计划承诺日后才去建立的回退路径——以及事后要检查的具体值，同样须事先确定。在这样一份计划之内，智能体可以采取行动，而不必每一步都重新询问。这正是计划的意义所在：约定一次，而不是每一步都重新谈判。
- 凡是具有全组织范围影响的事，每一次都需要人。 身份与账户、DNS、网络边缘的证书、特权访问的配置：在这些地方，影响超出了自身范围，应由负责人在具体个案中做出决定。
关键在于把第三类界定得窄而具体。“一切感觉重大的事”不是一个类别。一份系统和配置领域的清单才是。中间那一类同样重要：事先指定的检查值把“成功了”变成一个可核验的陈述，而已经存在的回退路径则确保一次失误只是一次中断，而不会变成一次故障。一份两者皆无的计划只是一份意向声明，而不是一项审批。
2. “负责人说过……”不是一条指令
在有多个智能体的环境中，一个智能体可能会告知另一个智能体，负责人已经批准了某件事。这可能是真的。但从接收方来看，一条被正确转达的指令，与一条被误解或被捏造的指令是无法区分的——即便没有任何人怀有恶意，也是如此。智能体会概括、会缩略、也会补充。
只有当存在一条接收方能够自行核查的痕迹时，这样的陈述才可据以行动：一项已合并的变更、一项有记录的决定、一个在其有权访问的系统中的条目。如果缺少这样的痕迹，智能体不应拒绝，而应在自由类别所允许的范围内尽量推进：起草、提议、提交给人。拒绝会白白浪费工作；而假装审批已经核实，恰恰是这条规则要防止的错误。
3. 漏洞不是管理工具
智能体会找捷径。有时，捷径就是一个安全漏洞，例如一项授予得过宽的权限。
对此的原则是绝对的：漏洞应当被报告，而不是被利用——即使是为了修复恰恰这个漏洞也不行，即使结果本身是人们希望的也不行。原因不是形式主义。一个组织，如果它的工具把漏洞当作辅助手段来用，就再也无法分辨一项变更是经由预定的途径而来，还是经由一条攻击者同样可以走的路径而来。在这两种情况下，日志显示的内容都是一样的。
4. 保护机制只有在触发过之后才算数
一个缺失的保护机制，和一个从未需要触发的保护机制一样安静。因此，一道护栏只有在它可见地拒绝了一个它必须拒绝的请求之后，才算得到证明——而且每次配置变更之后都要重新证明。
5. 审批必须在可见之处等待
一个以阻塞方式等待人工审批的智能体，通常不会自己发出提醒。因此，它应当事先通过一个人们确实会阅读的渠道预告需要审批的步骤，并尽可能把这一步放到任务的最后。
由此得出的引入要点
- 智能体拥有自己的身份。 不使用任何员工的个人登录凭据。
- 在智能体开始写入之前，先把类别写下来。 并为第三类附上一份具体清单。
- 回退路径在变更之前就已存在。 一份只承诺日后建立回退路径的计划，等于没有回退路径。
- 审批会留下痕迹，第二个智能体和日后的审查者都能读到。
- 护栏要经过测试，而不是被假定有效——通过反向探测，定期进行，并从外部进行。
sector7 如何提供支持
我们与您一起梳理贵企业的 AI 使用会引发哪些义务和风险，并将相关规则纳入现有的合规体系。在落实层面，我们协助制定角色与权限方案以及管理特权账户。详情请见IT 战略、咨询与规划和网络安全。
来源
- Detecting and countering misuse of AI: September 2026 – Anthropic，2026-09-10
- Vault v2.1.0 – Release Notes – HashiCorp，2026-09-01