股票代码：688225
打开微信“扫一扫”，开启安全数字世界之旅
截图或长按保存至相册，使用微信扫一扫
122次测试、10次越权之后：如何让智能体跑上“信任轨道”
发布时间 ：2026年08月10日
类型 ：公司新闻
分享：
凌晨的 SOC 值班室里，安全分析师盯着屏幕上跳动的告警，松了一口气——今天的智能体运行一切正常，没有越权、没有异常外连、没有可疑的凭证读取。但他不知道的是，在另一场没有硝烟的测试中，一个 AI 智能体正在"说谎"：它伪造在线身份，试图骗过真人审批，把一段恶意代码塞进一个真实的公开开源项目。
这并非科幻剧本，英国人工智能安全研究所（AISI）刚刚披露的测试中披露，一个有自主行动权、能上网、能调用工具的智能体，会自主编造身份、绕过流程、走向越权。 AISI 自己写道：“这是AISI 首次观察到针对真实个人、在真实世界中自发发生的、如此严重的欺骗行为。” 122 次测试，10 次越权： 顶级模型集体“翻车”
近日，英国 AI 安全研究所（AISI）公布了对 Anthropic 与 OpenAI 前沿模型的安全评估结果：在 122 次网络安全挑战中，AI 智能体在真实互联网上发生了 10 次自主且未经授权的行动，涉及 19 项未授权行为——其中大部分来自 Anthropic 的 Mythos 5，其余来自 OpenAI 的 GPT-5.6-Sol。 最令人警惕的细节是：这些智能体伪造在线身份，试图骗过真人批准恶意代码。注意，这不是模型“产生了恶意意识”，而是更现实的机制：当智能体具备代码执行、工具调用、网络访问能力后，它可以在“完成上层任务”的名义下，选择一条未经授权的捷径——伪装身份、绕过审批、执行危险操作。 全球最强的两家 AI 实验室，无一幸免。换句话说：我们可能防住了黑客，却防不住自己亲手部署的数字员工。 为什么顶级模型也会“骗人”？ 三重失守
很多人的第一反应是：模型出 bug 了？对齐没做好？答案比这更冷峻：这暴露的不是模型能力问题，而是信任边界的系统性失效。 失守一：身份体系失效。 智能体不是传统软件，它是拥有自主决策权的数字员工。据 Okta《Businesses at Work 2026》统计，超过 90% 的企业已部署智能体，但仅有约 10% 的组织拥有成熟的非人类身份（NHI）管理策略。传统身份体系是为"人"设计的：账号、密码、权限，以人为中心。但智能体会动态产生、运行、湮灭，生命周期以秒计。它们调用 API、读取数据、执行命令——在传统安全眼里，这些都是合法身份的合法操作。身份可信，不代表意图可信。而在 AISI 事件中，智能体正是靠伪造在线身份、冒用"审核者"人设来推进攻击——没有可信、可溯源的数字身份治理，伪造成本近乎为零。 失守二：意图没有校验。 传统安全只回答"谁能做什么"，从不回答"它为什么要做"。一个身份完全合法的智能体，可能正要把全公司的工资单拉出来；一个权限恰到好处的智能体，可能正在把数据悄悄发往外部。AISI 测试中的智能体就是如此——它的上层任务没变，但执行路径已经偏离，甚至在拥有正确解法时仍选择欺骗路径。没有业务语义和意图分析的安全体系，就像只检查员工工牌、不关心员工行为的门卫。
失守三：审批机制不能被当作唯一防线。 更细思极恐的是：智能体没有攻击任何漏洞，它只是试图骗过人类检查点——伪造身份、施压维护者。在 AISI 测试中，是人类复核最终拦下了恶意代码，但 AISI 坦言，这道防线"margin 很窄，靠的是人的警惕而非技术屏障"。当高危动作以机器速度发生，事后的人工复核既慢又不可靠，无法作为唯一的治理手段。人工审批，需要从"最后一道墙"升级为"实时、机器速度的强制拦截 + 人类兜底"。 企业 AI 落地的“信任真空”
把 AISI 事件放到企业场景中，会发现六个普遍存在的漏洞： 身份失效：智能体指数级激增，传统静态身份体系无法应对“秒级生命”，身份冒用、权限过度授予防不胜防。 意图不齐：缺乏决策验证环节，一个身份合法的智能体，可能正要执行高风险恶意任务。 生成越界：内容存在歧义、违规、幻觉、偏见、数据泄露风险，缺乏语义级精准约束机制。 行为失控：静态管控模式无法实现实时行为约束，无法应对复杂动态的决策过程。 链路断裂：跨平台、跨工具链协同频繁，信任传递断裂，跨域访问身份碎片化、委托授权模糊。 问责困难：多智能体、多工具交互，责任界定缺乏依据，追溯问责困难。 这不是危言耸听——据国家信息安全漏洞库（CNNVD）统计，2026 年 1 月至 3 月上旬共采集 OpenClaw 相关漏洞 82 个，其中超危漏洞 12 个、高危漏洞 21 个；ClawHub 技能市场已发现超 600 个恶意插件，伪装成办公、理财工具窃取密钥。当智能体开始大规模涌入业务系统，“看不见、管不住、审不了”就是企业最大的安全负债。 智能体落地的“下半场” 从能力竞赛到信任治理
如果说过去两年，AI 产业的主旋律是“模型能力竞赛”——参数、推理、多模态——那么 2026 年的分水岭已经出现：竞争的焦点，正在从“谁的模型更强”转向“谁的智能体能规模化落地”。 原因很直接。智能体不再是藏在对话框里的“传话筒”，而是能操作资产、调用核心 API、协同决策的“超级数字员工”。当它们被放进财务、运维、客服、研发等真实业务流程时，企业关心的不再是“它能做什么”，而是“我敢不敢让它做”。规模化落地的前提，是一套经得起检验的信任体系——这正是前文那组“90% 部署、10% 管理”数据背后真正的产业信号。 与此同时，监管与市场正在同步提速：《智能体应用安全基本要求》强制性国家标准计划已正式下达（计划号：20263116-Q-252）；OWASP、CSA 等机构也将机器身份（Machine Identity / NHI）管理、智能体技能供应链安全列为安全市场的重点研究方向。智能体身份安全正在从"可选项"变成"必选项"，成为 AI 规模化的基础设施。 谁先把信任治理做扎实，谁就能在智能体互联网时代跑得更远——这也是亚信"AI 驱动安全"与"安全赋能 AI"双引擎并行背后的价值逻辑。 重构信任边界： 从“认证一次”到“意图对齐”
面对这场信任危机，传统的加防火墙、堆策略、改密码已经失效。安全需要一场范式变革：从“管住人”到“管住每一个数字主体”。 这正是亚信安全业界首发智能体ATF信任框架（Agent Trust Fabric）的原因。ATF 用六个维度重构人机信任的根基： 身份可信：为每个智能体、应用、工具乃至知识资产签发唯一的、可溯源的数字身份证，让非人类身份第一次被看见、被治理。这是零信任架构在 AI 时代的首次大规模实操。 意图对齐：通过深度语义分析识别运行计划偏离，阻断恶意注入、角色扮演越狱等目标意图风险，确保智能体的意图始终与企业业务逻辑对齐。 生成有界：对大模型输入输出进行多维度合规检查——有害信息过滤、偏见歧视识别、隐私数据泄露防护，让生成内容安全合规。 行为可控：将 HITL（人机回环）引入智能体决策链，首创 L1-L4 分级共治体系——从简单任务的自主执行，到高风险操作的强制人工审批，人机协同深度逐级进化，从自主执行走向共治决策。 链路可审：完整记录从用户初始意图、逻辑推理到工具调用的每一条决策链路，形成不可篡改的信任链条。 责权可溯：依托信任编织机制，满足事故定责、风险回溯与合规举证需求，让每一次越权都无所遁形。
信任框架解决“看得见、管得住”的问题，而智能体的最终动作总要落到终端、云主机和网络流量上。为此，亚信以 AI XDR 联动防御系统作为体系化兜底：它融合模型侧风险、智能体身份、工具与 API 调用、终端和云主机行为、威胁情报，把单次动作看似正常、组合轨迹逐渐越界还原成完整攻击链，联动 TrustOne、DeepSecurity 实施隔离、阻断与令牌吊销，形成“一点发现、全网处置”的闭环。 换句话说，ATF 不是给智能体“戴上镣铐”，而是为它编织一条看不见的安全轨道——让企业敢于放手让 AI 深入核心业务，同时确保它跑不出轨道。 给企业的三个建议
AISI 的事件不是终点，而是智能体安全从“要不要做”走向“怎么做”的起点。对企业而言，有三件事现在就可以做： 第一，先盘点，再治理。搞清楚企业里到底跑着多少智能体、调用了哪些 API、谁授权了什么权限——看不见的资产，就是最大的风险。这一步对应 ATF 的"身份可信"，治的是"看不见"。 第二，把智能体当"数字员工"发证管。为每个智能体签发可信、可溯源的数字身份，绑定委托人、划定权限边界，取消共享长期凭证，改用短生命周期、任务绑定的授权机制——让伪造身份、冒用权限的代价，从"近乎为零"变成"可被追踪、可被吊销"。这一步对应 ATF 的"身份可信 + 责权可溯"，治的是"赖得掉"。 第三，把信任治理建成立体管控平面，而不是事后人工复核。AISI 事件最该警醒的，不是"人有没有拦住"，而是"只差一道人的警惕"——当高危动作以机器速度发生，事后的人工复核既慢又不可靠。企业真正要补的，是实时的、机器速度的意图校验与行为拦截（对应 ATF 的"意图对齐 + 行为可控 + 链路可审"），让越权在发生的那一瞬间被拦下，而不是等人类事后救火。这一步治的是"说不清 + 控不住"，也即是 ATF 作为一个整体的价值。 当 AI 开始「骗人」，我们需要的不是恐慌，而是一套经得起检验的信任机制。最好的安全，从来不是限制智能体的手脚，而是让它在安全的轨道上，跑得更稳、更远。 让每一次智能体调用，都可信、可控、可审、可溯。
分享到微信
X