企业 AI Agent 安全缺口显现：权限跑在防护前面

导语

AI Agent 正从演示环境走进企业生产系统。它们不再只是回答问题，而是被授权访问数据库、调用内部工具、执行流程任务，甚至在一定范围内自主决策。VentureBeat 基于 107 家企业的 Pulse Research 调研显示，一个新的风险正在形成：企业给 Agent 的权限扩张速度，已经超过了身份、隔离和执行控制的建设速度。

核心要点

• 事件已经发生，而非未来假设：调研显示，54% 的企业已经经历过 AI Agent 相关安全事件或近失事件。其中 18% 为已确认事件，36% 是在造成实际损害前被发现的近失情况。
• 身份管理是最大薄弱环节：只有约 32% 的企业会为每个 Agent 配置独立、范围受限的身份。多数 Agent 仍在共享凭证，这意味着一旦凭证泄露或权限被滥用，追踪、隔离和问责都会变得困难。
• 高风险 Agent 隔离不足：只有约三成企业会隔离风险最高的 Agent。对于能访问敏感数据、关键业务系统或执行写操作的 Agent 来说，这种不足会放大错误指令、提示注入和权限误用的影响。
• 安全工具仍以借用为主：目前企业更多依赖模型提供商和云厂商的既有安全能力，而不是专门面向 Agent 行为、权限链路和任务执行过程设计的安全栈。
• 预算与威胁不匹配：Agent 安全投入仍只是安全预算中的较小部分，企业对于自身防御能否跟上 AI 驱动攻击者也呈现明显分歧。

意义与影响

这份调研的关键不在于某个单点漏洞，而在于揭示了“Agent 安全缺口”：企业正在把更多自主性、系统访问权和数据权限交给 Agent，却没有同步建立最小权限、独立身份、运行隔离、行为审计和实时策略执行等基础控制。

传统安全体系主要围绕人类用户、应用和网络边界设计，但 Agent 的风险形态不同。它可能连续调用多个工具，组合不同权限，按照模型推理结果执行操作；一次提示注入、错误上下文或被污染的任务指令，都可能沿着工具链扩散。若多个 Agent 共用凭证，企业甚至难以判断究竟是哪一个 Agent 执行了异常操作。

对企业而言，下一阶段的重点不是简单“禁用 Agent”，而是把 Agent 当作新的机器身份和行动主体来治理。每个 Agent 都应有独立身份、明确作用域、可撤销权限和完整日志；高风险任务需要沙箱、审批或分级隔离；安全团队也需要能观察 Agent 的工具调用、数据访问和策略偏离。AI Agent 的价值取决于它能否安全地连接业务系统，而不是仅仅能否自动完成任务。

来源：VentureBeat AI