SecurityHQ AI Agent 研究發現：政策發展快於事故問責能力
SecurityHQ 發表研究指出，76% 受訪網絡安全主管已有正式的 AI 問責政策，但只有 17% 能在數分鐘內重建 agent 的活動。這項與 Datadog 合作進行的 SecurityHQ AI agent 研究揭示了一個實際矛盾：界定責任不一定能令自動化決策變得可解釋。
研究於 2026 年 10 月 15 日發布，正值企業 agents 獲准在各類業務系統中執行工作。AI agents 是利用模型及連接工具來完成任務的軟件系統。它們獲授的權限帶來了單靠書面政策無法回答的問題。
Microsoft 擴展 Security Copilot，為這種轉向委派安全工作的趨勢提供了具體參考。現時壓力落在安全主管、應用程式負責人及供應商身上，要將自動化行動與證據及可問責的人員權限連繫起來。
SecurityHQ AI Agent 研究區分政策與準備程度
該研究訪問了 204 名來自中型及大型機構的網絡安全主管。根據研究公告，45% 曾經歷涉及 AI agents 或自動化、而責任歸屬不清的事故。
這種表述值得留意。事故類別涵蓋自動化，因此結果並不能證明 45% 曾遭遇自主 AI agent 入侵。責任不清亦描述了一項組織問題，而非某種特定技術故障或損害程度。
這項發現關乎在責任出現爭議時，機構能否解釋獲委派的行動。 政策可以識別負責人，卻未必能顯示是哪項指令、權限或系統互動造成結果。
SecurityHQ 公開的問責研究結果亦區分了歷史可見性與即時調查準備程度。只有 49% 表示能完整重建 agent 在過去 30 天的行動。
這個區別改變了買家應如何解讀結果。保留紀錄與回答緊急問題是相關能力，但服務的是不同營運需要。一個機構可能保存了相關證據，卻仍須投入大量人手工作才能將其串連起來。
相反，儀表板可能概述近期活動，卻未有保留足夠細節供日後調查。兩種可能性均不能確立受訪機構內實際發生了甚麼事，但都說明單一的可見性聲稱需要更仔細審視。
重要的轉變在於研究的框架。SecurityHQ 將政策責任歸屬與建立行動序列的能力並列，令兩種能力之間的距離變得可見。
對企業買家而言，這帶來了一個要求更高的採購問題。供應商對治理的說明，應與客戶在 agent 採取行動後可取得的證據連繫起來。
對內部安全團隊而言，同一區別也會影響匯報。存在審批流程，並不代表調查人員能找回與爭議行動相關的審批紀錄。
問責政策仍然有用，因為它界定了期望。其營運價值取決於人們能否把這些期望套用到具體事件上。
調查並未證明有政策的機構經歷較少事故，也沒有顯示購買額外監控工具能解決責任不明的問題。
它較狹義的貢獻仍然重要。企業可以正式分配責任，卻欠缺在壓力下履行該責任所需的證據。
這正是這個故事不止於另一項 AI 風險調查的原因。研究挑戰了熟悉的治理措施，是否能在軟件獲授委派權限後反映真正的準備程度。
委派安全工作令買家與營運人員承受壓力
安全主管面對壓力，因為 agents 在本已由不同團隊分攤責任的系統中運作。應用程式負責人可以批准某個工作流程，而另一團隊管理其憑證，另一團隊則處理事故應對。
憑證是軟件在要求存取權限時出示的數碼證明。當多個工作流程共用該證明，識別帳戶後，實際發起者仍可能無法確定。
看似直接的責任歸屬問題，隨即拆分成數個問題：誰批准任務、誰授予存取權限、誰維護整合，以及誰可以停止執行？
這些角色毋須屬於同一人。困難在於機構無法在調查期間將他們串連起來。
委派工作令了解權限在何處開始、改變及終止變得更重要。 一名具名高管僅在治理文件中出現，無法因此解決事故。
營運後果不僅延伸至安全部門。業務負責人需要了解 agent 的行動是否服務於已批准的目標。應用程式團隊需要有足夠背景，分辨預期行為與濫用。
法務及風險團隊面對另一項關注：現有紀錄能否支持公司事後提出的解釋。當支持該敘述的證據仍然零散時，自信的說法價值有限。
供應商同樣面對壓力，因為客戶在部分紀錄上依賴產品設計。客戶無法自行找回服務從未公開或保留的資訊。
Microsoft 說明了為何這些問題已變得迫切。其 2025 年 3 月的安全 agent 公告介紹了用於釣魚郵件分類等任務的 agents，而釣魚郵件分類即是整理及評估疑似欺騙訊息。
該公司將這些能力定位為減少防禦人員例行工作的方式。這提供了一個具體部署背景，但不能證明 Microsoft 產品存在 SecurityHQ 報告的落差。
比較關乎採購主張。Microsoft 描述 agents 可承擔的工作；SecurityHQ 則追問機構能否在事後交代獲委派的活動。
這些主張應放在同一採購討論中。當買家亦能評估調查工作量、介入選項及證據可用性時，效率主張便更有用。
對安全營運中心而言，即負責監察及應對威脅的團隊，減少例行工作量有明確吸引力。然而，未能釐清的行動會在其他地方帶來工作。
當情況改變時，收到 agent 結論的分析員仍須了解其依據。另一名調查人員可能需要在原有任務完成後重新檢視該決定。
因此，壓力同時觸及部署審批與持續營運。買家需要採用後系統行為的證據，包括其行動需要解釋時的情況。
這並不代表自主性本質上不適合安全工作，而是令獲委派權限的範圍成為判斷營運取捨是否值得的核心。
有用的自動化仍需要可解釋的行動軌跡
核心矛盾在於 agents 在日常工作中節省的時間，與解釋例外結果所需的工作量之間。更快執行只有在機構能夠捍衛的界限內才會創造價值。
以釣魚郵件分類作為說明性工作流程，而非已報道的 SecurityHQ 事故。一個 agent 審閱可疑訊息、查閱已連接的資訊，並作出處置決定。
有用的調查應將訊息、所查閱的資訊、agent 身份及最終行動連繫起來。如涉及審批，調查人員亦需要將該審批與行動連繫起來。
記錄任務已完成，只回答了一個較狹窄的問題。它確立了終點，但未必解釋系統如何得出該結果。
可問責的行動軌跡必須連繫指令、權限、執行及結果。 這種連繫之所以重要，是因為其中任何一項都可能成為事故中受爭議的部分。
指令可能適當，但權限過大。權限可能適當，但執行期間遇到的資訊改變了任務方向。
或者，agent 可能正確地跟隨所要求的工作流程，但底層業務規則有誤。問責制度也必須容許這種可能性。
完全以模型為中心的紀錄，可能忽略這些區別。模型只是接收指令、擷取資訊及呼叫已連接工具的應用程式其中一部分。
應用程式介面，或 API，是一個系統透過其要求另一系統功能的軟件介面。Agent 的活動可跨越這些介面及其各自的紀錄。
每項服務都可以準確描述其本地互動，卻令整體任務難以重建。缺少的元素是這些本來有效的紀錄之間的關係。
Salt Security 在 10 月 13 日發布的agent 安全研究結果提供了另一個角度。其研究結合了超過 380 份調查回覆及生產環境遙測資料。
只有 12.5% 受訪者表示，他們可一貫地追溯所有 agents 的完整路徑。Salt 亦報告，17.5% 可以在生產環境中自動停止行為出乎意料的 agent。
這些數字衡量的能力與 SecurityHQ 的重建問題不同。不應將它們合併為共同評分，或視作等同估計。
其相關性在於概念層面：追溯行動與中斷行動是控制機制的不同部分。事故後的完整解釋並不會逆轉其後果。
同樣地，停止工作流程並不能解釋它為何出現意外行為。買家需要評估兩項能力，而不能假定其中一項保證另一項。
因此，商業比較的範圍比個別供應商之間的競爭更廣。SecurityHQ 強調營運問責，Microsoft 描述委派的安全任務，而 Salt 則突顯追溯及遏止能力。
這些觀點圍繞共同的客戶問題交織。企業需要讓獲委派的工作在跨越產品邊界時仍可理解，而責任往往正是在這些邊界上變得更難確立。
人手審批不能承擔全部問責責任
人手覆核仍然是一個吸引人的答案，因為它讓人員參與具重要後果的決定。其效用取決於該人可以檢視及授權甚麼。
對含糊目標作出的審批，會為允許的行動留下分歧空間。對具體行動作出的審批，則建立更清晰的界限。
即使如此，調查人員仍需知道執行結果是否符合已獲批准的請求。批准與執行描述的是不同時點，而兩者之間的資訊或系統狀況可能已經改變。
當批准紀錄與實際行使的權限一致時，人類監督才有助於問責。 人員參與並不會自動補足缺失的技術歷史紀錄。
這項區分對於期望最終審核者承擔整個工作流程責任的企業領袖尤其重要。若系統隱藏了資訊，審核者便無法作出有意義的評估。
對於正在決定應在哪些環節設置批准步驟的產品團隊而言，這也同樣重要。中斷每項操作會帶來阻力，而批准整項任務則等同授予更廣泛的裁量權。
實際取捨在於：哪些決策需要介入，以及哪些界線可由軟件直接執行。不同工作流程的潛在後果各異，因此合理答案也會不同。
只會建議回覆的系統，與會變更存取權限的系統，所涉及的權限問題並不相同。應比較的是獲准採取的操作，而不是是否帶有 AI 標籤。
隨着代理跨越組織邊界行動，身分識別也變得更重要。驗證確定提出請求的是誰或甚麼；授權則決定該請求者可採取哪些行動。
單靠這兩項功能，均無法說明請求背後的業務目的。調查若能將技術身分、任務，以及委派該任務的人員或流程連結起來，會更有幫助。
NIST 的代理身分識別工作為這項挑戰提供了制度層面的參考。該機構於 9 月把軟件開發確定為首個實施使用案例。
這項工作聚焦於在軟件開發生命週期內識別、驗證及授權代理。這是一項實施工作，並不代表企業問責問題已獲解決。
這個方向之所以重要，是因為問責部分取決於權限如何在軟件中流轉。標準與示範有助於讓這些關係更容易以一致方式表達。
不過，技術身分無法決定誰應為有爭議的業務結果負責。組織仍需就部署、維護、審核及緊急介入訂明明確責任。
清晰的紀錄與清晰的角色相互強化。紀錄有助確立發生了甚麼，角色則決定誰必須評估並回應這些證據。
同樣的區分也適用於組織知識。可搜尋的團隊知識庫可協助存取政策與責任資訊，而執行證據則確立系統實際做過甚麼。
將這些功能區分清楚，有助避免一個常見錯誤：記錄預期工作流程，並不能證明某次特定執行確實遵循了它。
調查提出了無法自行解答的問題
SecurityHQ 的 AI 代理研究提供了受訪者自述經驗與信心的證據，但並未獨立衡量其組織內每個代理的行為。
自述的準備程度可能與實際事件期間的表現不同。受訪者對重建、問責與代理活動的理解也可能各異。
某位領導者可能描述強大的中央監督，但分散式部署仍可能不在該視野之內。另一位則可能回報準備程度有限，儘管其團隊具備能力，只是不熟悉內部流程。
這些可能性並不會否定研究結果，但會限制從中得出的結論確定性。
這項調查支持對企業準備程度進行審視，而非提供代理失敗情況的普遍估算。 其公開摘要不應取代對個別部署的測試。
公開公告及登陸頁面未提供足夠的方法論細節，無法證明樣本具有廣泛代表性。讀者不應假設該樣本反映所有行業或企業規模。
事件問題把 AI 代理與自動化結合，也帶來另一項限制。這使人無法確定，所報告的不確定性有多少源自較新的代理，抑或既有的自動化工作流程。
在解讀新穎性時，這項區分很重要。組織長期以來一直難以在軟件整合、外判服務及共享營運流程之間分配責任。
代理部署可能使這個既有問題更複雜，但不代表每項根本弱點都是新的。把整個問題視為 AI 獨有，可能掩蓋了熟悉的控制失效。
政策與事件之間的關係同樣仍未釐清。彙總結果無法確定哪些受訪者在特定事件發生時已有相關政策。
因此，研究無法證明政策未能防止事件，也無法證明沒有政策的組織表現更差。任何一項說法均需要額外證據。
SecurityHQ 的 AI 代理研究亦來自對安全與監控具有商業利益的組織。這個背景值得披露，但不應因此自動否定其觀察。
恰當的懷疑態度，是檢視定義、方法論及可重現的證據。商業贊助與有用發現可以並存。
與 Salt 結果作比較時也應保持同樣謹慎。不同的問題、受眾群體及測量方法，令研究之間無法就企業準備程度作出乾淨的排名。
在廣泛憂慮上達成一致，並不代表在測得的普遍程度上也一致。這些研究分別為可見性、權限及介入提供了觀察。
研究也沒有證明把更多紀錄集中起來必然提升安全性。紀錄可能包含敏感資訊，而存取調查證據本身亦會帶來責任。
分析上的含義較為狹窄：組織需要有足夠證據支撐其所委派的決策。何謂足夠，取決於行動及其後果。
具說服力的回應，應展示特定工作流程如何在失效期間仍可追溯責任。聲稱某個平台能令所有代理均可問責，則需要更龐大的證據基礎。
關注事件證據、產品控制與身分識別實施
在未來數月，最有價值的發展將顯示組織能否把所宣稱的問責轉化為可證明的營運能力。單靠採用公告，仍無法解決這個問題。
第一個訊號是已公開事件重建及受控演練的質素。有用的說明應把委派任務、相關權限、行動序列及介入措施連結起來。
它們亦應指出調查人員無法復原的內容。一份不完整但坦誠的重建報告，提供的證據比聲稱團隊一直保持控制更充分。
在不同工作流程中重複展示，可加強人們對問責實務不僅適用於預備示例的信心。持續存在的缺口，則會加強 SecurityHQ 提出的憂慮。
第二個訊號是將代理執行與調查及遏制措施連結起來的產品證據。買方應留意供應商向客戶展示甚麼，而非倚賴寬泛的治理措辭。
有意義的示範應顯示調查人員如何跨越相連服務追蹤一項任務，亦應展示獲授權操作員中斷工作流程時會發生甚麼。
中斷的時機與範圍十分重要。阻止下一項行動，與撤銷已完成的變更並不相同，產品示範應清楚呈現這項分別。
當客戶能驗證控制行為時，更清晰的控制措施可支持更廣泛的委派。不同本地紀錄之間如有未解釋的缺口，則會加強應收窄權限的理據。
第三個訊號是圍繞代理身分識別與授權的實施進展。NIST 已宣布的軟件開發使用案例，為觀察技術輸出提供了具體切入點。
實際例子可闡明，當軟件在服務之間流動時，受委派權限如何仍可追溯責任。其價值將取決於組織能否把該方法應用於真實工作流程。
進展將減少技術身分方面的模糊性，儘管業務擁有權決策仍會留給企業。延誤則會令客戶更依賴特定產品的做法。
下一個有用基準，是組織能否在真實條件下解釋並中斷受委派活動。 這項基準把研究發現與買方已面對的決策連結起來。
對於正在評估部署的讀者，SecurityHQ 的 AI 代理研究提供了一個理由，促使他們檢視現有保證背後的證據。先從已有負責人的重要工作流程開始。請該負責人利用今天可取得的紀錄，解釋一次已完成的執行。追蹤指令、權限、行動及結果。然後識別當這些元素不再吻合時，誰可以介入。缺失的連結揭示的問題，比泛泛而談 AI 安全更具體。它們亦能讓你與供應商及內部團隊，更清楚討論必須改善的內容。在授予更廣泛權限前，要求提供一項示範，令行動歷史及介入界線清晰可見。當結果出現爭議時，你的組織能否為這個解釋辯護？
