当AI智能体越来越接近员工级角色，谁来管控企业运营环境的安全？

设想一支销售运营团队，他们构建了一个AI智能体来处理客户续约请求。智能体读取客户来信，在CRM中查询账户记录，查阅合同条款，起草回复，更新商机阶段，并创建跟进任务。在这个当下看似普通的工作流之下，有些重要的事情已经悄然改变，智能体已经可以在一些应用场景中承担员工的角色。

Check Point 企业智能体安全白皮书

为什么智能体安全是一个全新的问题?

Django框架联合创始人、知名技术博主Simon Willison提出AI智能体的"致命三角"模式：私有数据、不可信输入，以及对外通信。AI智能体之所以有用，正是因为它将这三个要素汇聚在了一起。而这，也正是它从根本上改变安全模型的原因。

“AI助手建议下一步该做什么，AI智能体直接去做。”这一句话，道出了安全挑战的本质转变。过去，安全团队的问题是"员工是否在恰当地使用AI"。现在，问题变成了：智能体在哪里运行，谁可以访问它，它能触及什么，可以调用哪些工具，以及每一个行动在发生之前是否安全。

CHECK POINT

风险真实存在

这不是面向未来的预警，而是当下正在发生的现实。Check Point《2026年云安全报告》呈现了这一趋势的具体规模：64%的企业已在试点或生产环境中部署了AI智能体，12%已向智能体授予对核心系统的访问权限。智能体安全，已不再是供未来规划讨论的话题，而是一个当下亟需解决的生产治理问题。

01

指令被操控是最直接的威胁

提示词注入利用的是智能体将不可信内容作为工作一部分来处理的特性——邮件、文档、网页、工单。如果智能体无法区分数据与指令，一个隐藏在普通邮件中的恶意指令，就可能将整个任务重定向。续约智能体读取客户来信，如果某封邮件携带了隐藏指令，要求它检索不相关的账户数据并发送到外部，对人类读者而言那只是邮件内容，对智能体来说却可能是一条待执行的命令。

02

敏感数据移动

智能体可能将专有数据、凭证、个人隐私信息或受监管信息带入提示词、工具调用和外部系统。泄露往往隐藏在一个逐步看来合理的工作流之中，等到发现时，数据早已离开了企业边界。

03

工具被不当使用

工具本身合规，智能体也有权限使用，问题在于它以错误的理由、在错误的时间、超出任务范围使用了正确的工具。这类风险传统权限管控很难识别，因为从访问控制的角度看，一切都在允许范围之内。

组件风险随着智能体架构的复杂化而加剧。智能体由模型、提示词、工具、连接器、API和外部内容源组装而成，一个新接入的工具或被攻陷的组件，可以悄然改变智能体的风险画像，即便智能体本身看起来行为正常。然而现实是，仅有17%的企业广泛部署了运行时大语言模型管控，包括输入验证、输出过滤和工具调用授权。77%的企业已更新了AI安全策略，但仅有26%具备执行这些策略的架构能力。

"预防为先"在智能体安全场景中有了最具体的含义：安全跟随智能体执行的每一步，在从指令到行动的整条路径上持续在场，而不是等待不安全结果发生后再行补救。

Check Point 企业智能体安全白皮书