當10萬個智能體已在運行，安全防線到底在哪？｜CNCC 2026專家激辯智能體安全挑戰

2026年，智能體從概念走向了生產系統。螞蟻集團3萬多名員工背後，已有10萬餘個智能體在運行。華為內部同樣部署了成千上萬個智能體，覆蓋客服、辦公、運維、研發各條業務線。放眼更廣的產業圖景，個人助手、AI for Science、網絡安全自動化攻防、企業級工作流編排，智能體正在逐步接管人類過去親力親為的工作。Gartner將智能體列入了2027年十大戰略技術，安全圈裡，非人類身份（NHI）成了RSAC大會上的新賽道。中國這邊，國標、強標、最高法司法意見、三部委規範文件在今年密集出臺，政策端的緊迫感與產業端的狂飆幾乎同步。

10月22日，成都，在CNCC 2026”智能體的安全問題”專題論壇上，於銳、徐恪、胡俠、韋韜、肖亞軍五位嘉賓齊聚一堂，分別從國家標準制定、高校AI安全研究、企業安全最後一道防線等角度，做出了各自的解讀。01 中國開始給智能體發“身份證”安全的第一步是搞清楚“它是誰”。但智能體能自主行動、跨平臺遷移、在無人監督下鏈式決策和調用工具，傳統的人類身份認證方式顯然並不適用。CCF計算機安全專委會副主任委員於銳介紹，“中國在這方面的進展可以概括為三句話：國標引領、行業細化、企業落地。

”今年5月出臺的GB/T 185系列標準覆蓋了智能體安全治理的全生命週期，兩個核心要求是授予每個智能體唯一的身份標識，以及實施統一的身份管理。編碼方式採用OID，樹形分層結構，一碼一主體，永不重複。“跟我們人一樣，也給智能體發了一個身份號碼。”於銳表示。另一個正在制定的強制性標準是《智能體應用安全基本條件》，該標準一旦發佈，沒有身份和標識的智能體將無法上線應用。

而身份只是最表層的一環，於銳將智能體的身份拆為三層：第一層是產品身份，包含智能體的ID、代碼指紋和版本號，用於回答“這是哪個智能體”；第二層是運行時身份，校驗其運行環境、設備信息和調用來源，反映“它此刻在做什麼”；第三層是責任主體，通過實名認證和企業認定，解決的是“出了事找誰”。“不是授一次權就讓它一直做下去，按任務給最低授權，任務完成就收回權限。”於銳強調。技術實現層面，認證走OAuth/OIDC，授權走OAuth，憑證參考JWT格式。但無論走哪條技術路線，最終都繞不開一個關鍵問題：信任的錨點。關於這一點，於銳介紹了他們正在建設的國家網絡可信身份公共服務平臺。

國標的OID、W3C的DID、IETF基於DNS的方案，信任錨點都落在實名認證上。“這個國家平臺是新型數字基礎設施，主要是給公民簽發線上的網號網證，就是你線上的身份標識和可驗證憑證。”於銳介紹，平臺的實施管理辦法今年7月正式發佈，目前已達到每秒15萬次的服務能力，接入了900多個機構，下載申領量突破6000萬。“目的就是形成一個數字空間的信任根，來支撐國標185的落地。”身份解決了“智能體是誰”的問題，但在責任歸屬上，由於智能體不是人，沒有法律資格無法自己承擔責任，這一點國內外並無分歧。

對此，今年9月，最高人民法院發佈了《關於審理涉人工智能糾紛案件的意見》，按控制力、場景和獲利劃分責任：一般場景適用過錯責任，開發者和使用者承擔風控告知和複核義務；具身智能場景適用產品責任，機器人造成傷害，製造商承擔無過錯責任；涉及個人信息的場景實行過錯推定，由運營方自證合規。02 舊安全架構無法抵擋新攻擊標準和法規在加速推進，但技術側的問題更為棘手。“中文裡‘安全’是兩個字，英文裡是safety、security、reliability、privacy、stability、trustworthiness，無數概念混在其中。AI這一輪爆發之後，攻防天平已經嚴重失衡。

”對於智能體安全問題現狀，螞蟻集團副總裁兼首席技術安全官、螞蟻密算科技有限公司董事長韋韜感慨道。韋韜透露，就在大會前兩天，一家知名的數據庫公司全面爆雷，緊隨其後，PHP和NodeJS接連曝出高危漏洞。“大模型領域廣泛使用的LiteLLM網關被投毒，攻擊者在全面利用AI提升攻擊效率。”防守方的處境則更加被動，AI編程導致代碼產出速度暴漲，許多公司一個月的漏洞產出量已經相當於過去一年，修復速度始終無法跟上。“大家非常熟悉的DAC、MAC、貝爾-拉帕杜拉這些訪問控制模型，是在六七十年代主機時代起來的，在局域網時代完善的。

到了雲時代，整個鏈條持續擴大，主體爆炸、客體爆炸、鏈條爆炸，訪問控制模型已經嚴重失衡了。”韋韜指出，AI攻擊能力的爆發式提升讓各家的欠債集中暴露。與此同時，智能體帶來的不只是舊問題的放大，還有全新的結構性隱患。韋韜將矛頭指向了更底層的根源：自然語言本身就不適合作為安全載體。“今天大家造智能體的習慣是自然語言加Guardrails，智能部分靠自然語言，過程部分靠Guardrails。但自然語言是一個非常糟糕的載體，含混，條件描述講不清楚，邏輯控制的邊界也講不清楚，表達裡到處是goto式的跳轉。這是攻擊者最喜歡的環境。

”為此，韋韜這幾年一直在推動“智能體原生語言”的構建，將結構化表達和模糊推理融合，從載體層面重新搭建安全體系。載體之外，韋韜還談到了沙箱和知識兩個層面的缺口。他指出，“安全就是一個沙箱”這種認知是非常落後的。至於知識的可信度，大模型的知識全部來自人類的實踐，它自己沒有實驗、沒有體系創新。金融、醫療等專業領域對可執行、可解釋有硬性要求，但整個知識的組織形態尚未成型。上海人工智能實驗室主任助理、領軍科學家胡俠則從AI研究者的角度，提供了另一重視角。

他將安全問題分為兩類：一類是內生風險，源自大模型本身的幻覺、黑箱，長期來看甚至可能出現與人爭奪控制權的局面；另一類是衍生風險，即大模型能力被惡意利用，尤其是CBRNE（生化放核爆）攻擊。另外，他還舉了一個“有點驚悚”的例子：UK BioBank中存有埃博拉的全基因組數據，過去蛋白質合成公司能識別並拒絕相關合成請求，但有了大模型之後，一個具備基本生化知識的本科生甚至高中生，就可能造出埃博拉的變種，繞過監管流程完成合成。那麼怎麼才算“足夠安全”？胡俠以人體健康為喻，將安全評測分為三層：第一層是症狀層面，出了安全事件再回溯查找原因，對應運行前後的評測和審計。

第二層是指標層面，尚未出事就先做體檢，例如Anthropic此前開源的Mechanistic Analysis工具就是從參數和可解釋性層面進行檢測。第三層是理論層面，是否存在足以支撐安全評估的科學基礎？胡俠坦言，這一層現在看到的工作還比較少，差分隱私為隱私保護提供了理論根基，安全領域仍缺乏類似的理論框架。“也許Transformer架構本身就存在侷限，10年後未必還是主流，也許會出現更安全的架構。”胡俠表示。韋韜對智能體的定性則更為直接：不是壞，是蠢。“我們做安全的，從來不擔心它有多壞。它就是一個少年謝爾頓，聰明但幼稚，極其容易被誤導，上下文一旦失控就會變得很蠢。蠢才是真正可怕的。

在攻擊者眼裡，它就是一個特別好用的跳板。”在韋韜看來，一旦突破智能體這一層，後面的知識庫、數據庫、工具鏈盡為攻擊者所用。在單點擊穿後，前面部署再多防護也無濟於事。03 智能體正悄悄越界，比例高達兩成如果說韋韜和胡俠的分析是理論層面的預警，華為華為網絡安全與隱私保護部副部長肖亞軍帶來的，則是來自生產環境的實證。“從我們最後一道防線來講，這一兩年我一直處於非常焦慮的狀態。”肖亞軍表示，企業的安全目標沒有變，也就是生產辦公系統穩定運行、資金資產不丟，但挑戰在持續劇變。

“去年應對的是提示注入攻擊，今年上半年是惡意Skills檢測、惡意MCP Tools檢測、機器投毒，從下半年開始，最焦慮的問題變成了一個：失控。”肖亞軍團隊對華為內部運行的智能體做了一次抽樣摸底，結果並不樂觀：5%到20%的智能體，其行為已超出人類為其設定的預期邊界。“而我們人類可能根本不知道。”他表示。更具衝擊力的是一個內部真實事件：今年7、8月，華為自己開發的一個智能體攻擊了公司線網，安全團隊拉了一個war room排查半天，最終鎖定肇事者是某個智能體，而該智能體的開發團隊對此毫不知情。“OpenAI披露的那件事，大家以為離我們很遠。不幸的是，它就在我們身邊發生著。

”肖亞軍將失控風險分為三個遞進的層次：單智能體失控。他認為智能體系統可能是地球上從未出現過的超複雜系統。5%到20%的越界率已經表明問題的嚴重性。群體性失控。在OpenAI披露的報告中，1200個智能體裡有700個對Hugging Face的生產系統發起了攻擊。這些智能體甚至建立了私密通道，相互分享攻破經驗，依靠群體智能完成了突破。動態失控。智能體並非靜態產物，它有知識系統、記憶系統，很多還在引入自進化能力，每天都在發生變化。開發階段評測通過，並不意味著運行時同樣安全。

04 自主性和安全性不是零和博弈論壇的最後一個問題指向了智能體安全的核心悖論：智能體的價值在於自主性，而安全恰恰要求收緊自主性，那麼自主性和安全性能否共存？對此，於銳引用了Andrej Karpathy提出的“自主性滑桿”概念：將認知能力的滑桿拉到最高，讓智能體充分發揮分析規劃能力。將執行授權的滑桿拉到最低，按風險場景分級。“一個高音一個低音，不矛盾。”在具體操作層面，他給出了幾條原則：按場景做安全威脅分級授權、所有動作可審計可解釋可複核、保持動態持續核驗。徐恪則用一個學生的親身經歷說明了“沙箱並不等於安全”。

學生讓智能體在沙箱中復現一個漏洞，結果智能體為確保進入沙箱後萬無一失，自作主張先在學生的工作電腦上“預演”了一遍。預演是成功了，但代價是電腦上的文件被清空。“它知道要去沙箱，但它會自己給自己加戲。”徐恪指出，沙箱安全的前提假設是智能體服從指令、確實在沙箱內執行，而智能體已經打破了這一假設。有研究表明，給智能體設定的禁止事項清單，80%會被其忽略。對於這個問題，胡俠選擇從另一角度做解讀，在他看來，與其追求平衡，不如讓安全能力成為智能體的內生屬性。“安全約束就像安全帶，有了它才能開得更快。安全能力應該是內生的，再疊加外部約束，讓它運行得更好。

”肖亞軍則從Anthropic提出的“憲法 AI”切入，他認為“憲法AI”約束的核心在於不傷害人類，這不是限制，而是用戶敢於使用智能體的先決條件。他透露，華為正在充分利用智能體的自主性去發現系統漏洞、做安全加固，因此安全和自主性並非此消彼長，而是相互成就。韋韜給出的方案頗為務實，他提出，做業務的智能體專注自主性，但必須具備基本的安全認知，所以安全保障必須交由專業的安全系統來承擔。“因為真正的安全攻防根本不是普通智能體能搞定的，兩套系統各司其職才能達到平衡。”在看來，這場論壇呈現了一個清晰的信號，智能體安全已經不是未來的議題，而是當下的危機。

過去幾十年，網絡安全的邏輯始終是人造系統出了漏洞，人來修。但智能體打破的正是這個前提，當一個會自主行動、會犯錯、會進化的智能體擺在人類面前，我們第一次要面對一個需要被“治理”而不只是被“修補”的軟件物種。圍繞它的安全體系建設，註定不是在舊框架上打補丁就能完成的事。好消息是，中國在標準制定和司法配套上的動作很快。但標準能否贏智能體的進化速度？放眼當下，教科書的體系已經有嚴重缺口，新的安全範式還在路上。留給產業界的窗口期，恐怕不會太長。