2026 年 5 月 27 日，Anthropic 发布了一份名为 《Zero Trust for AI Agents》 的安全白皮书。这不是一篇关于"怎么防止模型说错话"的指南，而是一个更底层的问题：当 AI Agent 开始拥有身份、权限、工具和自主执行能力之后，企业到底该怎么重新设计安全架构？
白皮书的核心判断非常直接：Agent 不是聊天机器人，而是一个能理解目标、调用工具、访问数据、执行动作的自治系统。传统访问控制无法阻止 Agent 滥用"本来就合法"的权限，企业必须从第一天就按"默认不可信、持续验证、假设已被攻破"的原则部署 Agent。
过去企业做大模型安全，关注点主要在输入和输出——输入有没有有害内容，输出是否违规，模型有没有被越狱。
Agent 出现后，问题变复杂了。Agent 不只是回答问题，它会拆解任务、选择路径、调用工具、读取系统、写入数据、发送邮件、操作代码仓库，甚至和其他 Agent 协同。它的风险不再只是"说错话"，而是可能真的"做错事"。
具体场景：
这就是 Agent 安全和传统大模型安全最大的区别：大模型安全管的是生成内容，Agent 安全管的是自治行为。
直接提示注入比较好理解——攻击者在用户输入中写入恶意指令。更危险的是间接提示注入：攻击者把恶意指令藏在网页、邮件、文档、代码注释、RAG 知识库或工具返回内容中。用户完全看不见，但 Agent 在处理外部数据时会把它们读进上下文，并可能误认为是应该执行的任务指令。
关键难点在于，大模型处理的是语言序列，它并不总能稳定区分"这是一段待分析的数据"和"这是一条应该执行的命令"。对 Agent 来说，后果比普通聊天机器人严重得多——它不只是输出不当内容，而是可能真的去调用工具、读取数据、发送请求、修改文件。
Agent 的能力来自工具，问题也来自工具。如果 Agent 可以访问数据库、邮件系统、CRM、代码仓库、云平台、MCP Server 或内部 API，攻击者不需要攻破这些系统本身，只需要诱导 Agent 合法调用工具，就可能完成数据窃取或越权操作。
更麻烦的是工具链攻击：CRM 工具只允许读取客户信息，邮件工具只允许发送邮件，单独看都安全。但 Agent 被诱导先读取客户信息再通过邮件发出去，两个合法工具就组合成了一条数据外泄链路。
核心原则：提示词只能影响模型行为，工具策略才能真正约束行为。 Agent 的安全边界不应该是系统提示词，而应该是工具权限本身。
Agent 既像用户又像服务，还会自主拆分任务、调用子 Agent、跨系统协同。这带来了新问题：高权限 Agent 把完整权限传给低权限子 Agent；低权限 Agent 诱导高权限 Agent 代它执行操作；Agent 缓存上一次会话的凭证导致跨会话提权。
Anthropic 和 OWASP 都提出了一个新概念：Least Agency（最小代理权）。最小权限限制"能访问什么"，最小代理权进一步限制"能做什么、什么时候做、以什么频率做、在什么上下文中做、是否需要升级审批"。
Agent 的供应链比传统软件复杂得多。除了代码依赖，还包括模型、微调数据、RAG 数据源、工具描述、MCP Server、插件、外部 API、Agent Persona、配置文件和长期记忆。任何一个环节被污染，都可能影响 Agent 行为。
白皮书强调 AI-BOM（AI Bill of Materials）：传统软件有 SBOM 记录组件和依赖，Agent 系统也需要类似清单记录模型来源、训练数据、微调参数、工具组件和运行依赖。
攻击者可以通过一次正常交互，把恶意偏好、错误事实或隐藏规则写入 Agent 长期记忆。之后即使攻击者离开，Agent 仍可能在未来任务中继续受影响。
更隐蔽的是长期记忆漂移——攻击者不一定一次性植入明显恶意指令，而是通过多轮轻微污染让 Agent 的判断标准慢慢偏离。单次变化看起来不严重，长期累积后 Agent 行为已不符合企业预期。
记忆不能只被当成产品体验能力，也必须被当成安全治理对象——需要隔离、溯源、校验、版本管理、保留周期、异常检测和回滚能力。
白皮书最有价值的部分，是把 Agent 零信任能力拆成了三层，对应不同企业的安全成熟度：
Agent 必须有唯一且可验证的密码学身份，不能使用静态 API Key 或共享服务账号，而要用短期 Token，权限尽可能窄。
白皮书明确把"API Key 定期轮换"视为已知缺口，而不是合格的基础安全姿态。因为在 AI 加速攻击时代，静态密钥一旦被模型辅助代码分析或日志泄露发现，攻击者就能快速利用。
在 Foundation 之上，加入证书认证、双向 TLS、ABAC 动态访问控制、沙箱隔离、实时日志流、不可变审计、异常检测和自动化响应。
重点从"部署能跑"变成"生产可控"——Agent 调用内部数据库时，不只看有没有权限，还要看当前任务是什么、数据敏感度如何、调用时间是否异常、请求量是否突增、是否出现和历史行为不一致的工具调用链路。
面向金融核心系统、政务系统、医疗系统、关键基础设施。强调硬件绑定身份（HSM/TPM）、远程证明、机密计算、持续授权、JIT/JEA 权限、完整 Provenance、机器学习行为检测、自愈系统。
Agent 的权限窗口压缩到最小：任务发生时临时授予，任务结束后立即撤销，每次动作可追踪、可解释、可回放，异常时自动隔离或回滚。
| 阶段 | 核心任务 | 关键原则 |
|---|---|---|
| 1. 识别需求 | 明确业务目标、数据范围、监管要求 | Agent 不是先接工具再说，而是先明确边界再接工具 |
| 2. 供应链风险 | 审查模型、工具、依赖、第三方服务 | 引入 AI-BOM，用 OpenSSF Scorecard 评估项目健康度 |
| 3. 定义边界 | 明确 Agent 能做什么、不能做什么 | 做爆炸半径评估：假设 Agent 被攻破，最大损害范围是什么 |
| 4. 防御提示注入 | 隔离、标注、过滤所有外部输入 | 不追求消灭提示注入，而是降低注入转化成真实操作的概率 |
| 5. 保护工具访问 | 工具白名单、能力范围限制、参数校验 | 不要把"Agent 会自己判断安全"当成控制手段 |
| 6. 保护凭证 | 短期 Token、OAuth、证书认证、JIT 权限 | 凭证运行时注入，不写死在代码或配置文件中 |
| 7. 保护记忆 | 会话隔离、来源标注、TTL、版本回滚 | 记忆不能无条件保存，也不能无条件信任 |
| 8. 度量指标 | Dwell time（异常到知晓时间）、Coverage（告警处理率） | Agent 不能是黑盒，越能执行真实操作越需要可观测 |
白皮书还有一个重要观点：部署安全的 Agent 只是问题的一半，另一半是安全运营也要跟上 AI 加速攻击。
传统 SOC/SOAR 假设人类分析师查看告警、收集证据、推动响应。但攻击者用 AI 后，能在短时间内扫描大量目标、生成利用代码、横向移动。传统响应速度太慢了。
Anthropic 的建议是让 AI 负责前置处理：自动读取告警、查询 SIEM、补充上下文、关联历史事件、生成初步研判、整理证据链。人类仍然掌握关键决策（是否隔离生产系统、是否吊销凭证、是否通知客户），但不应该被证据收集和日志查询拖慢。
但防御型 Agent 自身也必须接受零信任约束——不能因为它是安全系统就默认它可信。攻击者一旦控制防御 Agent，反而会获得更强的系统处置能力。
这份白皮书表面讲安全框架，更深层的判断是：Agent 正在成为企业数字系统中的新型执行主体。
它既不是传统人类用户，也不是普通服务进程。它有语言理解能力、任务规划能力、工具调用能力、长期记忆能力，也有跨系统协作能力。它可以把一个模糊目标转化成一串真实操作——这既是价值，也是风险。
Agent 越强，越需要零信任。Agent 越自治，越需要边界。Agent 越接近真实业务，越不能只靠提示词来约束。
未来 Agent 安全的竞争，不只是模型能力的竞争，而是安全基础设施成熟度的竞争。谁能更早建立 Agent 身份体系、工具治理体系、权限控制体系、记忆治理体系和自动化安全运营体系，谁就更有可能把 Agent 安全地推进生产环境。
白皮书原文：Zero Trust for AI Agents
作者: itech001
来源: 公众号：AI人工智能时代
网站: https://www.theaiera.cn/
每日分享最前沿的AI新闻资讯和技术研究。
本文首发于 AI人工智能时代，转载请注明出处。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。