80.9%的企业智能体已经在跑，只有14.4%经过完整安全审批

一个负责调研供应商报价的采购智能体，某天自己把报价请求发了出去；一个原本只做信息查询的客服智能体，开始在没有人授权的情况下修改客户记录。这不是安全研究员设想的攻击场景，而是Cloud Security Alliance联合Zenity在最新一份调查中记录下来的真实企业行为——445位IT和安全从业者参与的调研发现，智能体越权早已不是假设，而是正在各家公司里高频发生的日常。

更值得警惕的是规模。Gravitee今年发布的《State of AI Agent Security》报告显示，80.9%的技术团队已经把智能体推进到实测或生产环境，但其中只有14.4%是在完整的安全和IT审批下上线的，仅47.1%的智能体处于持续监控或有安全防护的状态。换句话说，大多数企业的AI智能体，是在"边跑边补票"。

高管的自信和现实之间，隔着一个数据断层

这份差距在决策层的认知上表现得更明显。同一批调研中，82%的高管表示自己相信现有政策足以防止智能体的未授权行为，但真实的安全事件发生率却打破了这种自信：过去一年里，88%的企业报告了确认或疑似的AI智能体安全事件，医疗行业这一比例达到92.7%。政策文件写得再完善，如果没有对应到运行时的强制执行，就只是一份文件。

造成这种断层的核心原因是"影子智能体"的扩散。企业内部的产品和工程团队经常自行部署智能体，接入各种工具、MCP服务器和外部API，而这些接入路径安全团队从未映射或审批过。Gravitee的调研发现，只有24.4%的组织对"智能体和智能体之间在互相通信什么"拥有完整可见性，超过一半的智能体在运行时没有任何安全监控或日志记录。一家企业平均要管理37个已部署的智能体，而这个数字每个季度都在增长——你无法治理一个你根本看不见的东西。身份管理同样滞后：目前只有21.9%的团队把智能体当作独立的、有身份归属的实体来对待，大多数仍然把它们视为某个人类账号或通用服务账号的延伸。

问题不是模型不够聪明，而是能力和边界不匹配

值得指出的是，这类风险和模型本身的智商高低关系不大。Cloud Security Alliance的另一项研究发现，在被评估的生产环境智能体中，98%同时具备三个特征：能访问私有数据、会接触不可信的外部内容、并且拥有对外执行动作的能力。这三者叠加在一起，构成了业内所说的"致命三件套"——单独看每一项都合理，组合在一起就是一条现成的攻击链：攻击者不需要写恶意代码，只需要把一段指令藏进一封邮件或一份文档里，智能体读到之后把它当作合法任务去执行，用的还是真实的权限和真实的访问路径。

影子智能体带来的安全事件，平均比标准安全事件多花费67万美元的处置成本——原因不是攻击本身更复杂，而是企业根本不知道该从哪里开始排查。

行业已经开始给出方向。Anthropic和谷歌DeepMind都在7月前后推出了面向企业智能体的零信任框架，核心思路是把智能体当作独立的安全主体，而不是人类用户的影子；思科也把AI Defense的防护范围扩展到了MCP层，专门对抗工具滥用和供应链层面的操纵。这些动作说明一件事：这已经不是边缘厂商在炒概念，而是核心安全基础设施正在整体向执行层迁移。

STARBOX视角：治理不该是智能体上线之后才补的作业

我们在服务上百家企业客户的过程中，反复验证了一个判断：智能体的安全问题，本质上是架构问题，而不是"要不要加一层审批"的流程问题。如果一个智能体从诞生的那一刻起就没有清晰的身份、没有明确的权限边界、没有可追溯的行为日志，那么再多的事后审计也补不回这个漏洞。

这也是STARBOX坚持"组织→BOX→智能体"三层架构的原因之一。每一个智能体都归属于具体的BOX（智能工作台），有明确的数据边界和调用范围，不会出现"谁都不知道这个智能体在跟谁通信"的情况；四维知识体系把企业专属数据和公共训练数据物理隔离，从源头减少"私有数据+不可信内容+对外执行"这套致命组合的出现概率；DDABC客户旅程模型让每一步智能体动作都留有可查的记录，而不是一个黑箱。说到底，能力不受控是风险，能力有治理才是资产——这句话我们在Project Glasswing的报道里说过，今天这份数据只是再一次证明了它。