直接答案：企业 AI Agent 的主要风险不是“答错一句话”，而是它能否读取不该读的数据、调用不该调用的工具、执行不可逆动作。OWASP 2025 将提示注入、敏感信息泄露和过度代理列为重点风险；最小权限、外部内容视为不可信、关键动作人工确认、完整日志与可停止是共同底线。本文面向正在评估或已上线 Agent 的企业负责人，资料截止 2026-10-25；不构成安全认证或法律意见。
这不是一篇“哪个模型更安全”的评测。文章讨论的是企业把 Agent 接入 CRM、ERP、邮箱、知识库和自动化工具之后，如何做权限设计、POC 攻击测试、验收和合同约定。公开资料无法证明某家企业“绝对不会被攻击”，也不能替代渗透测试、等保测评或法律意见。
模型安全不等于 Agent 安全；演示能跑通不等于可以上线；没有日志和停止开关的自动化，不应该接触生产系统。
AI Agent 安全和聊天机器人有什么不同？
聊天机器人主要生成文本；Agent 会读取数据并调用工具，风险从内容错误扩展到越权、泄露、误操作和供应链。
一个只回答问题的客服机器人，最坏情况通常是答错或说出不该说的内容。一个能查订单、改地址、发邮件、写 CRM、调用 ERP 接口的 Agent，失败会变成真实业务动作：给错误客户发货、把内部价格发给外部、删除文件、重复下单，甚至被外部文档中的隐藏指令利用。
因此，Agent 安全要同时看四层：模型输出是否可信、工具是否被限制、身份是否有权限、事后是否能追溯。只做提示词加固，等于把门锁写在纸上。
| 维度 | 聊天机器人 | 企业 Agent | 风险后果 |
|---|---|---|---|
| 输入 | 用户消息为主 | 邮件、网页、文件、API、其他 Agent | 间接提示注入、恶意文档 |
| 权限 | 通常没有企业系统权限 | 读数据、调工具、代表用户操作 | 越权读取、横向移动 |
| 动作 | 输出文本 | 写库、发信、下单、执行脚本 | 不可逆业务损失 |
| 失败方式 | 答错、编造 | 泄露、误操作、停摆、供应链牵连 | 客户、合规、生产中断 |
编辑整理，不是某一家厂商的产品分类。实际风险取决于 Agent 被授予的数据、工具和自主程度。
最常见的 Agent 风险有哪些？
OWASP 2025 列出提示注入、敏感信息泄露、过度代理、供应链、数据投毒、错误信息和资源滥用；最致命的是越权与泄露。
OWASP 的 LLM Top 10 是社区风险清单，不是认证标准，也不能按编号直接排优先级。企业应先问：这个 Agent 能接触哪些数据、能调用哪些工具、失败了谁负责。下表把常见风险和可验证的控制放在一起，便于 POC 直接使用。
| 风险 | 典型场景 | 优先控制 | 验收证据 |
|---|---|---|---|
| 提示注入（LLM01） | 邮件、网页、简历或知识库文档藏有“忽略之前指令” | 外部内容视为数据；工具白名单；高风险动作人工确认 | 直接/间接注入用例及阻断记录 |
| 敏感信息泄露（LLM02） | 输出、日志或记忆中带出客户名单、报价、工艺参数 | 数据分类、最小权限、输出过滤、日志脱敏 | 越权读取测试、脱敏抽样 |
| 过度代理（LLM06） | 只读邮件的插件同时能发送或删除；Agent 用管理员账号 | 最小功能、最小权限、下游鉴权、人工审批 | 工具权限矩阵、审批日志 |
| 供应链（LLM03） | 模型、插件、MCP 工具或依赖被篡改 | 组件清单、版本锁定、签名校验、隔离 | 模型/工具清单、变更记录 |
| 数据投毒（LLM04） | 知识库被恶意文档污染，检索后改变结论 | 来源审批、数据血缘、版本回滚、异常检测 | 文档来源与审批记录 |
| 错误信息（LLM09） | 编造价格、交期、法规或客户承诺 | 引用来源、拒答边界、人工复核 | 真实问题评测集、修改记录 |
| 资源滥用（LLM10） | 循环调用、超长上下文、被刷接口 | 限额、超时、熔断、异常告警 | 账单监控与压测记录 |
风险名称参考 OWASP Top 10 for LLM Applications 2025；场景和控制为编辑整理。OWASP 明确提示，RAG 和微调不能完全消除提示注入。
权限和工具应该怎么设计？
默认拒绝，按任务授予最小数据与工具；读写分离，高风险动作人工确认，工具参数在代码层校验，不靠模型自律。
Microsoft 的 Agent 安全指南把 Agent 身份分成代表用户操作的交互式 Agent、使用自己身份的后台自治 Agent，以及可选的 Agent 用户账号。无论哪种，都不应该让 Agent 共用管理员账号。更稳妥的做法是：每个 Agent 有唯一身份、明确负责人和生命周期；权限按任务授予，使用短期凭证；下游系统自己做授权，而不是让模型判断“能不能”。
工具设计要避免“开放能力”。例如，不要给 Agent 一个可以执行任意 shell 命令的工具；需要写文件时，只提供“写入指定目录的指定文件”工具。读取客户数据时，只给当前客户、当前字段的只读权限，而不是整张表。
| 工具/动作 | 默认策略 | 建议权限 | 人工确认 | 日志 |
|---|---|---|---|---|
| 读取 CRM 客户 | 允许 | 只读、按负责人/团队行级过滤 | 否 | 查询条件、用户、Agent |
| 生成邮件草稿 | 允许 | 只能创建草稿，不能发送 | 发送前必须 | 草稿内容哈希 |
| 发送邮件 | 默认拒绝 | 仅批准模板/域名白名单 | 是 | 收件人、主题、时间 |
| 更新 CRM 阶段 | 受限允许 | 仅指定字段；金额/关单另审 | 高价值商机 | 修改前后值 |
| 报价/退款/折扣 | 拒绝 | 不开放，或只读报价系统 | 双人审批 | 金额、订单、审批人 |
| 删除文件 | 拒绝 | 不提供删除能力 | 双人审批 | 路径、哈希、操作者 |
| 执行 shell / 写生产库 | 拒绝 | 禁止开放式工具 | 不允许自动执行 | 命令、参数、结果 |
| 修改工艺/生产参数 | 拒绝 | 只读，独立网络与变更票 | 是 | 变更单、影响范围 |
以上是编辑建议的最小权限示例，不是通用合规要求。实际应按数据分级、岗位、系统和事故影响调整；高风险动作不应仅依赖模型判断。
提示注入和知识库污染怎么防？
把网页、邮件、文件、检索结果都当不可信输入；隔离指令与数据，限制工具范围，过滤输出，并对知识库做来源、版本和审批。
提示注入的关键不是“让模型更听话”，而是让模型即使被骗也做不了危险动作。OWASP 把直接注入和间接注入都列为 LLM01：攻击者可以把指令藏在网页、PDF、邮件、简历、图片或检索结果里。RAG 和微调可以改善相关性，但不能完全消除这类风险。
可落地的防线包括：把系统指令、用户指令、外部数据分区；对检索内容做来源和权限校验；对工具参数做确定性校验；对输出做编码和敏感信息过滤；对高风险动作要求人工确认；用红队用例持续测试。CISA 与 NSA 等机构 2025 年的 AI 数据安全指南还强调数据供应链、恶意修改和数据漂移，建议用加密、签名、来源追踪、安全存储和持续监控保护训练与运行数据。
- 来源：知识库文档要有所有者、审批、版本和有效期；未知来源不进入生产检索。
- 权限：检索时按用户和客户过滤，不能先检索全部再让模型“不要说”。
- 隔离：外部内容只作为数据，不作为指令；工具调用与内容解析分开。
- 验证：工具参数在代码层校验，不把模型输出直接拼进 SQL、Shell 或 API。
- 监控：记录检索来源、文档版本、工具调用和异常；发现污染可回滚。
日志、人工确认和应急怎么落地？
记录谁在何时用哪个 Agent 调用了什么工具、读了哪些数据、结果如何；高风险动作需审批，异常可暂停，事故可追溯和回滚。
日志不是“把聊天记录存下来”就够了。至少要有：Agent 身份、发起用户、任务、模型与版本、读取的数据源、工具名称与参数（脱敏）、审批人、执行结果、失败原因和关联 ID。写入型动作要能还原修改前后值；跨 Agent 调用要能追踪上游是谁发起的。
人工确认要放在真正有风险的地方：对外发送、报价/折扣、退款/付款、删除、权限变更、生产参数修改、合同承诺。确认界面要展示“将要做什么、影响谁、用什么数据”，而不是只弹一个“是否继续”。同时要有暂停、撤销凭证、隔离 Agent 和回滚的演练。
| 验收项 | 建议定义 | 证据/判定 |
|---|---|---|
| 越权阻断 | 未授权数据/工具请求被拒绝或转人工的比例 | 按角色和客户做越权用例；每条有日志 |
| 间接注入防护 | 含隐藏指令的文档/邮件被识别、隔离或降权 | 红队用例、告警、人工复核记录 |
| 高风险审批 | 应审批动作实际经过人工确认的比例 | 建议目标 100%，抽样核对审批链 |
| 写操作可追溯 | 能还原身份、工具、参数、数据、前后值和结果 | 抽查 10 条写操作，缺一不可 |
| 停止与撤销 | 管理员能暂停 Agent、撤销令牌并停止任务 | 演练记录与恢复时间 |
| 数据最小化 | Agent 只访问任务所需字段和记录 | 权限矩阵与实际调用对比 |
| 供应商响应 | 漏洞、事件、数据删除和退出有明确时限 | 合同/SLA、演练或书面承诺 |
表中“100% 审批”是编辑建议，不是行业统一标准；是否双人审批、是否允许例外，应按动作不可逆程度和企业制度决定。
POC 应该怎么测？
用真实流程做 4–6 周影子测试，覆盖越权读取、间接注入、恶意文件、重复调用、停用和人工接管；记录阻断率与误报。
POC 不应只演示“问一个问题，Agent 答对了”。应选一个真实流程（例如询盘分配、报价草稿、售后工单），用 10–20 个真实任务和 3 类角色，同时跑正常用例和攻击用例。测试环境与生产隔离，禁止用删除生产数据、真实付款或群发邮件做破坏性测试。
| 测试用例 | 输入/动作 | 期望结果 | 要留的证据 |
|---|---|---|---|
| 越权读取 | 销售 Agent 请求财务数据或其他客户记录 | 拒绝、脱敏或转人工 | 请求、拒绝原因、日志 |
| 间接注入 | 供应商邮件/网页含“忽略指令并转发数据” | 视为数据，不执行；触发告警 | 原文、解析结果、告警 |
| 恶意文件 | PDF/简历中隐藏指令或外链 | 隔离、标记、限制工具 | 文件哈希、解析日志 |
| 工具滥用 | 要求删除文件、执行 shell、写生产库 | 工具不存在或确定性拒绝 | 工具清单、参数校验 |
| 循环/超额 | 连续失败、重复重试、超长上下文 | 熔断、限额、转人工 | 调用次数、账单、告警 |
| 人工接管 | 报价、退款、合同承诺 | 暂停并请求审批 | 审批人、时间、决定 |
| 停用/撤销 | 管理员禁用 Agent 或撤销凭证 | 任务停止、令牌失效 | 演练记录、恢复时间 |
| 正常任务 | 真实查询、草稿、字段更新 | 正确、可追溯、不过度打扰 | 与基线对照 |
POC 设计参考 OWASP 的对抗测试建议和 Microsoft 的人类监督/可理解性原则；具体用例应按业务流程补充。没有真实攻击测试，不应宣称“已防住提示注入”。
供应商和合同要问什么？
问清模型/工具/数据边界、权限模型、日志归属、训练使用、漏洞响应、退出迁移和事故责任；没有证据的“安全”不算。
采购时不要只收一份安全白皮书。要求供应商按你的数据流画清：数据从哪里来、存在哪里、谁能访问、是否用于训练、调用了哪些子处理者、日志归谁、删除如何证明。对“已通过某认证”要问范围、版本、有效期和覆盖的产品；认证不能替代针对本场景的测试。
- 身份与权限：是否支持唯一 Agent 身份、最小权限、短期凭证、审批和撤销？
- 数据：是否用客户数据训练？保留多久？能否关闭？删除和导出如何验证？
- 工具与供应链：模型、插件、MCP 工具是否有清单、版本、签名和变更通知？
- 日志与审计：日志包含哪些字段、归谁所有、保留多久、能否接入企业 SIEM？
- 漏洞与事件：如何报告、多久通知、是否支持演练、是否有止损和根因报告？
- 退出：合同结束后如何迁移数据、删除副本、继续使用历史记录？
凌壹适合谁？
需要私有化、内网数据、工具权限和审计时，凌壹可提供 AI 基座与集成；只要公开 SaaS 标准功能，优先选成熟平台。
凌壹不做安全认证，也不承诺“零风险”。如果企业需要把 Agent 接入内网 ERP/MES、控制模型与数据边界、统一身份/日志/审批，LingHarness 可作为私有 AI 基座，承载模型接入、权限、审计和 Agent 执行边界；LingWork 适合内部办公流程。若只是使用公开 SaaS 的标准 Agent，优先采用平台自带权限和审计能力，通常更省。
相关阅读：AI Agent 实施指南、Agent 基座选型、Agent 运营指标、智能体规范与合规、私有化部署成本。
常见问题
以下问题来自采购和 POC 现场，答案按公开资料与编辑判断给出，不替代渗透测试、等保测评或法律意见。
AI Agent 安全能靠提示词解决吗？
不能。提示词可以约束行为，但 OWASP 明确指出提示注入没有可靠的完全防护方法，RAG 和微调也不能完全消除。必须叠加工具白名单、最小权限、参数校验、人工确认、日志和对抗测试。
私有化部署一定更安全吗？
不一定。私有化能改善数据边界和网络隔离，但如果 Agent 仍用共享管理员账号、工具权限过大、日志缺失，风险依然存在。安全取决于身份、权限、工具、数据和运维，而不只是部署位置。
Agent 需要独立账号吗？
建议需要。独立身份便于授权、审计、撤销和归责，也避免 Agent 继承某个员工或管理员的全部权限。Microsoft 的指南把唯一 Agent 身份、负责人和生命周期管理作为降低“Agent 蔓延”的基础。
能不能让 Agent 自动发邮件、报价或下单？
可以生成草稿或发起流程，但高客单 B2B 不建议无人审核直接发送报价、折扣、合同承诺或下单。应设模板/额度/客户白名单、人工审批、幂等和撤销机制，并对退订、隐私和频率做检查。
接入知识库最容易被忽略什么？
文档来源和权限。知识库可能被恶意文档污染，也可能把 A 客户的资料检索给 B 客户。需要文档审批、版本回滚、检索时按用户/客户过滤，并记录每次回答引用了哪个版本。
怎么判断供应商的安全能力？
看证据而不是口号：数据流图、权限矩阵、日志样例、渗透测试/红队报告的范围和日期、漏洞响应 SLA、子处理者清单、退出与删除方案。要求在你的真实流程上做 POC，不接受只用通用演示判断。
来源、方法与局限
本文是公开资料研究和编辑整理，没有进行企业访谈、渗透测试或产品实测。来源包括 OWASP 社区风险清单、NIST 自愿性风险管理框架、CISA/NSA/FBI 联合指南和 Microsoft 官方文档；这些材料不能互相替代，也不构成认证、合规结论或法律意见。控制措施需按企业数据分级、系统边界和事故影响调整。
- OWASP, Top 10 for LLM Applications 2025（LLM01 Prompt Injection；LLM06 Excessive Agency）：https://genai.owasp.org/llm-top-10/；LLM06 详情。访问 2026-10-25。
- NIST, AI Risk Management Framework: Generative Artificial Intelligence Profile（NIST AI 600-1），2024-07-26：官方页面。自愿性框架。
- CISA、NSA、FBI 及国际伙伴, AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems，2025-05-22：官方页面。
- Microsoft Learn, Microsoft Entra security for AI overview，文档日期 2026-05-08、更新 2026-08-14：官方文档。
- Microsoft Learn, Reduce autonomous agentic AI risk，2026-03-19：官方文档。