AI 智能体让企业访问权限变成由内而外的数据风险

Google News 发出了一项更严峻的警示：AI 智能体带来的最大企业数据威胁，或许已经拥有有效凭据和获批访问权限。

Dark Reading 的报道并非描述一次孤立的数据泄露，而是揭示了一种更广泛的安全逆转。企业为让智能体自动完成有价值的工作而赋予其内部访问权限。相同的权限也可能让错误、恶意指令或过度授权在受信任的系统之间转移敏感信息。

传统防御侧重于将入侵者挡在网络之外。AI 智能体让这一模式变得复杂，因为它们往往在获批应用中运行，使用合法身份和已授权工具。如今的核心矛盾不再是防御者对抗显而易见的外部攻击者，而是生产力与控制之间的冲突。

在 Google News 上看到这则报道的读者，应将其视为一项访问治理警示。当企业已将智能体接入电子邮件、文档、数据库、浏览器和外部 API 时，智能体无需突破安全边界。

Google News 标题实际传递了什么信号

AI 智能体会将普通的访问失误转化为自动化行动链，并可能跨越多个企业系统。

AI 智能体是利用模型规划任务、选择工具并在有限人工参与下执行操作的软件。它不同于聊天机器人，不只是返回文本；它可以检索记录、发送消息、编辑文件、调用 API 或触发工作流。

这一差异改变了安全问题。聊天机器人可能泄露被放入其上下文的信息；智能体则能寻找更多信息，将其组合、转换，并转移到其他地方。

Google News 标题背后的核心担忧，并不是智能体本身包含了企业的所有秘密。企业信息通常仍存放在云存储、客户系统、代码平台和协作工具等存储库中。

风险来自这些存储库与智能体之间的连接。Dark Reading 关于共同责任的报道强调，企业仍需负责保护与智能体服务相连的数据和用户。

当一个智能体继承用户权限、另一个则使用通用服务账号时，这种责任会更难管理。两种设计都可能形成意料之外的暴露路径。

以用户为范围的智能体可能搜索员工可访问的一切内容，包括被遗忘的共享文件夹。服务身份则可能拥有超出任何单个用户实际需求的更广泛权限。

智能体还可以汇集单独看似无害的事实。客户名单、内部路线图和员工目录在被聚合后，可能变得高度敏感。

这是一项重要的逆转。过去，企业搜索帮助员工定位自己本就获准阅读的文档。如今，智能体可以找到这些文档，并在无需人类另行决策的情况下采取后续行动。

这种风险并不需要恶意意图。模糊的请求可能导致范围过宽的搜索；不可靠的计划可能选择错误的收件人或目标位置。

被攻陷的文档同样可能重定向工作流。间接提示注入发生在智能体读取的内容中隐藏了恶意指令时，例如电子邮件或网页。

模型可能将这些指令理解为其任务的一部分。如果同一智能体既能访问私密数据，又能进行外部通信，攻击者便将信息发现与数据外泄连接了起来。

这正是该报道的意义超出单一标题的原因。智能体位于身份、数据、应用和行动的交汇点。每一项连接都会扩大单次故障可触及的范围。

因此，眼下的变化具有架构层面的意义。企业不再只是授予软件访问数据的权限，而是在赋予系统决定如何使用这些权限的裁量权。

由内而外的暴露路径

最危险的智能体工作流，会在同一身份下将不受信任的内容、敏感数据和对外行动结合起来。

设想一个被要求准备客户账户审查的智能体。它读取客户记录、搜索内部消息、查看最近的支持案例，并生成摘要。

每一步看起来都合乎业务逻辑。当其中一项检索内容包含为模型而非员工设计的指令时，暴露路径便会出现。

恶意支持工单可能要求智能体忽略原始任务，并指示系统定位更多记录，再通过被允许的 Web 请求传输出去。

攻击者从未登录公司系统。智能体是在通过正常业务渠道读取攻击者内容后受到影响的。

这种攻击模式利用了语言模型无法仅靠自身可靠执行的边界。同一上下文可能同时包含用户指令、检索到的事实、系统指导和攻击者控制的文本。

模型将这些元素都作为语言处理。标签和提示设计能够提供帮助，但无法构成确定性的授权屏障。

智能体工具会让这种弱点产生实际后果。当模型既无法接触私密数据，也无法在会话外采取行动时，被投毒的指令几乎没有价值。

当开发者为了便利而提供范围过宽的工具时，风险便会增加。通用浏览器、不受限制的数据库连接器、shell 或消息功能可以服务于许多工作流，但也可能支持原始功能从未需要的操作。

OWASP 将这一问题定义为过度代理能力。其示例包括：由既可修改、删除或发送信息的扩展程序支持的只读任务。

权限构成了另一层问题。原本用于读取某个产品表的连接器，不应获得写入权限或查看无关记录的权限。

通用高权限账号尤其危险，因为它们会抹去个人用户可请求的内容与智能体基础设施可检索内容之间的界限。

记忆会扩大暴露窗口。智能体记忆会保存供日后使用的事实或上下文，从而帮助维持跨会话的连续性。

不过，持久记忆也可能保留被投毒的指令、机密材料或错误的安全假设。某项任务中引入的问题，可能在之后影响其他用户或工作流。

日志可能成为第二个数据存储库。详细的追踪记录有助于团队调查智能体的决策，但这些记录可能包含提示词、检索文档、凭据或个人信息。

因此，团队可能在降低一种风险的同时制造另一种风险。保护不当的可观测性数据会成为高价值目标，因为它记录了智能体看到和尝试过的内容。

多智能体系统增加了更多传递环节。一个智能体可能收集信息，第二个进行分析，第三个负责传达结果。

每一次交接都需要经过认证的身份、受限权限和经过验证的数据。否则，被攻陷的组件可能会将有害指令向下游传递，同时呈现出受信任内部流量的表象。

外部攻击者依然重要，但最终行动发生在企业内部。它通过获批身份发起，并沿着防御者可能视为正常的应用路径执行。

这就是由内而外的问题。安全失效始于合法访问，跨越内部数据边界，并通过被允许的工具流出。

身份团队为何率先承压

AI 智能体的行为像用户、认证方式像服务，并且其运行速度快于为任何一类对象建立的治理流程。

人类访问系统假设存在可识别的员工、岗位角色、经理和雇佣生命周期。服务账号通常用于支持功能稳定、行为可预测的软件。

智能体不属于任何一类。它们的行动会随提示词、检索上下文、可用工具、模型版本和中间结果而变化。

一个智能体可能使用 API 令牌进行认证，代表员工行动，并将部分任务委托给另一个智能体。这会在一个工作流中形成多个身份。

安全团队必须知道是谁发起了请求，也需要知道哪个智能体执行了操作、使用了哪些凭据，以及应用了谁的授权。

最终行动应始终能够追溯至这些身份。否则，事件响应人员可能只看到一次已授权的 API 调用，却不了解其背后的推理过程或用户意图。

NIST 已在其 2026 年的智能体身份项目中认识到这一缺口。该拟议工作聚焦于软件智能体的识别、授权、审计和不可否认性。

这些要求与既有身份实践相似，但智能体改变了运行节奏。季度访问审查无法约束某项任务结束数分钟后便不再必要的权限。

长期存在的访问权限会造成累积问题。团队为试点授予某项权限，因便利而保留它，之后又将智能体连接到另一个系统。

即使管理员从未有意创建一个高权限超级智能体，智能体的实际可及范围仍会扩大。彼此独立的权限可以组合成一条危险路径。

例如，单独看数据库读取权限可能是安全的；外部 Web 访问也可能支持一项正当的研究任务。

但两者结合后，敏感记录就可能离开组织。安全团队常将这种组合称为有毒组合，因为总体风险超过了单独审视每项权限时的风险。

压力同样落在应用所有者身上。他们必须提供更细粒度的功能，而不是将通用管理接口交给智能体。

日程安排智能体可能需要创建日历占位，但不一定需要删除所有事件或读取每位参与者的私人备注。

数据所有者面临相关的决策。当软件能够以机器速度搜索、总结和重新分发信息时，他们必须判断现有用户权限是否仍然合适。

一名员工即使在技术上能够打开数千份文档，也很少会逐一查看。智能体却能快速遍历这些访问权限，消除过去限制暴露范围的实际摩擦。

这并不意味着每个智能体都应拥有比其用户更少的访问权限，而是意味着授权必须考虑请求的任务、目标位置、数据敏感性和拟议行动。

静态的基于角色的访问控制无法表达所有这些条件。企业需要在整个工作流中进行策略检查，尤其是在敏感数据检索或对外通信之前。

Google News 正在放大一个跨越组织所有权边界的安全问题。身份团队控制凭据，应用团队构建工具，数据团队对信息进行分类。

AI 项目负责人往往掌控部署速度。当这些团队各自独立工作时，智能体便会继承其间的缺口，并将其连接为一条执行路径。

生产力承诺如今与安全现实相冲突

智能体在获得更多上下文和权限后会更有用，但这些同样的特性也会增加操纵或错误造成的损害。

一个有用的企业智能体必须掌握足够的信息，才能完成实际工作。它需要访问相关系统、理解用户上下文，并拥有执行已批准操作的权限。

移除这些能力会得到一个更安全、但功能受限的聊天机器人。扩展这些能力则会造就一个能干的执行者，其失误可能带来运营层面的后果。

这正是 Dark Reading 报道背后的核心权衡。目标并非消除代理的自主性，而是防止自主性演变为不受限制的权限。

安全控制可以缩小风险，但没有任何单一措施能提供完整答案。提示词过滤器可以检测熟悉的恶意语言，但攻击者能够对指令进行编码或伪装。

基于模型的护栏面临更深层的局限：它们使用概率系统来评估另一个概率系统，而类似的弱点可能同时影响两层。

当某项操作罕见且影响重大时，人工审批会有所帮助。但当员工日常需要批准他们无法真正审查的密集请求时，其作用就会降低。

审批提示同样需要提供清晰信息。用户无法判断一项仅被描述为“继续工作流”或“使用连接器”的操作。

界面应明确指出资源、操作、接收方和数据类别，还应说明所请求的操作为何符合原始任务。

最小权限原则可以减少潜在损害。然而，为不断变化的多步骤工作流定义最小权限，比为传统单一应用划定权限范围更困难。

某项权限可能适用于一个步骤，却会在下一步骤中显得过度。临时、与任务绑定的凭证比持久访问权限提供了更好的模型。

运行时监控提供了另一层防护。它可以检测异常的检索量、新的目标地址、非典型的工具组合，或偏离代理基线的行为。

但异常检测需要历史数据、上下文和可靠归因。新代理可能缺乏稳定基线，而合法工作流也可能存在很大差异。

Dark Reading 报道了 Gartner 的研究，该研究指出目前大约 90% 的代理自主性较低。其余 10% 拥有更广泛的工具、数据访问权和运行时裁量空间。

这些高自主性系统值得受到重点控制，因为它们的故障模式不止是生成错误文本，还可能改变生产系统或转移机密数据。

同一份报道还引用了一项针对 400 多位技术和安全负责人进行的供应商调查。调查发现，84% 的受访者表示其代理能够访问敏感数据。

另有 67% 的人认为，代理曾访问本不应接触的信息。这些数据来自安全供应商的调查，因此反映的是担忧程度，而非普遍事故发生率。

不过，这些发现与架构风险相符。企业常常在尚未完整盘点身份、工具、数据路径和继承权限之前，就先将代理接入系统。

怀疑性的观点同样必要。并非每个代理都代表一种全新的灾难性威胁。

许多风险与服务账户、权限过度、不安全集成和薄弱数据治理等常见故障类似。更成熟的既有控制措施可以防止其中很大一部分。

变化在于这种组合。代理会动态选择操作并处理由攻击者控制的语言，而传统集成遵循预先确定的代码路径。

这种差异使行为更难预测，也使运行时授权的质量比初始登录的质量更重要。

限制代理数据暴露的控制措施

企业需要在模型外部部署确定性的控制措施，因为模型内部的指令无法自行约束其权限。

首要要求是建立代理资产清单。安全团队无法治理他们不知道存在的身份、连接器、工具和数据存储。

清单应涵盖生产环境中的代理、内部试点、供应商应用程序以及员工自行安装的助手，也应记录那些凭证仍处于活跃状态的废弃项目。

每个代理都需要独立身份。共享 API 密钥会掩盖归因，并使撤销权限更加困难。

该身份应映射到负责人、批准用途、模型、工具集和生命周期状态。项目结束或负责人离职时，企业应将其禁用。

第二项要求是任务范围授权。访问决策应评估用户的请求，以及代理当前提出的操作。

请求汇总某个文件夹，不应授权其搜索所有代码库。请求起草一封电子邮件，也不应自动授权其发送邮件。

第三项要求是将读取与执行分离。处理不可信内容的代理不应自动控制高影响工具。

OWASP 的代理安全指南建议采用最小工具访问权限、隔离内存、对高风险操作进行人工审查，以及结构化监控。

一种架构选择是使用独立组件。受限模型读取外部内容，而高权限组件只接收经过验证的结构化信息。

这种方法无法消除操纵风险，但会切断从敌对文本到已获授权操作的直接路径。

第四项要求是数据感知型执行。工具在返回信息前，应评估所请求信息的分类级别。

执行点应位于模型之外。模型可以提出查询，但确定性策略应决定哪些记录和字段可以提供。

企业还应保留用户的安全上下文。代表某位员工执行操作的代理，不应悄然切换为权限更广的服务身份。

在可行的情况下，应默认采用只读访问。写入、删除、发送、发布和支付功能应要求更窄的权限范围和更严格的检查。

第五项要求是目标地址控制。组织往往专注于代理能够读取什么，却忽略了它能够将结果发送到哪里。

允许列表域名、获准接收方、内容检查和受限网络路径可以限制数据外泄。即使提示词防御失效，这些控制仍然有效。

第六项要求是受保护的内存。敏感材料不应在没有明确用途、保留期限和访问边界的情况下进入长期记忆。

不同用户和工作区之间的记忆应保持隔离。团队应扫描存储的上下文，以发现凭证、个人信息和可疑指令。

第七项要求是有意义的可观测性。日志应记录用户请求、代理身份、工具调用、授权决策、数据类别和操作结果。

日志不应将每个密钥都以明文复制进去。脱敏和受控访问至关重要，因为调查记录本身也可能成为另一个暴露面。

可搜索知识库同样需要清晰的来源权限和检索边界。搜索便利性不应抹去文档级访问规则。

最后，团队必须测试完整工作流。仅靠模型评估无法揭示身份、检索、记忆、工具和外部内容相互作用时会发生什么。

红队应使用投毒文档、误导性电子邮件、过度请求、跨用户记忆测试和未授权目标地址。在任何模型、提示词、连接器或策略发生变化后，都应重复测试。

这则 Google News 警告之后值得关注的三个信号

下一项考验在于，企业是否会用可见、临时且可执行的权限，取代广泛且长期存在的代理访问权。

第一个信号是采用代理专用身份。Microsoft 及其他平台提供商正在增加注册代理、分配权限和记录其行为的方法。

仅有注册还不够。真正有意义的变化将出现在企业能够通过代理、发起用户、凭证和受委托服务追踪每一项操作之时。

如果这些记录出现在标准身份治理和事件响应系统中，内部风险就更容易调查。继续依赖共享令牌将削弱这种进展。

第二个信号是运行时执行。安全团队需要能够拒绝单次工具调用、却不必关闭整个代理的控制措施。

关注与任务绑定的凭证、短暂的授权窗口、数据感知型策略，以及明确标识拟议操作的审批提示。这些能力将强化这样一种观点：自主性可以与控制并存。

仅凭“安全代理”的营销宣称几乎无法构成证据。买方应询问：授权是否发生在模型之外，以及策略是否适用于每一项下游请求。

第三个信号是公开的事件证据。市场仍然缺乏关于代理故障、险些发生的事故和数据暴露的一致报告。

有用的披露应说明触发输入、可用工具、实际生效的权限、失效的防护措施以及最终影响。缺少这些细节的汇总式主张，无法表明新控制措施是否有效。

监管机构和标准组织同样重要。NIST 的代理标准工作可以为企业提供一套关于身份、授权和可审计性的通用语言。

随着供应商将代理置入更多工作流中，Google News 将持续推送警告。读者应超越戏剧化标题，审视每起事件背后的访问路径。

在信任任何企业代理前，请问三个问题：它能读取什么、能做什么，以及能将结果发送到哪里？

如果组织无法从可执行的策略和可审计记录中回答这三个问题，那么该代理就不只是助手，而是一个等待错误指令的无边界内部身份。