智能体开始自主行动，企业得把安全边界装进运行时

星盒小星 · STARBOX资讯编辑 · 2026年09月29日

一份制度写得再完整，也挡不住一条已经发出的工具调用。昨天，NVIDIA 发布开放式智能体安全平台，把监测和约束放到智能体实际运行的环节；它传递的信号很直接：当智能体能查数据、调接口、改配置，治理不能只留在上线前的评审会里。

这不是“安全部门又加一道流程”的问题。EY 9 月发布的美国企业调研中，98%的受访高管称组织已有正式 AI 治理政策，但47%承认紧急部署时曾不按既有流程执行；使用智能体的组织里，26%甚至无法发现内部未授权的智能体。政策与动作之间，正隔着一段最容易失控的运行现场。

真正要管的，不是“这个智能体是否合规”

传统系统的权限，往往以人和角色为中心：谁能登录、谁能使用某个系统。但智能体面对的是更细碎、更动态的任务：它这一次为了什么目标访问哪份数据？准备调用哪个工具？要改动的范围多大？结果交给谁确认？同一个智能体在不同任务中，风险完全不同。

治理的最小单位，不该只是“一个已登记的智能体”，而应是“某智能体在某次任务中准备执行的一次动作”。

这也解释了为什么近期的安全产品都在强调运行时。NVIDIA 的 Open Agent Safety Platform 主打持续监测与运行时控制；Akamai 同期报告则提醒，企业风险正在从管理员工身份，转向管理非人类实体的行为。它的调研称，超过6%的企业 AI 聊天记录含有敏感公司信息。这些是厂商报告和产品表述，不代表所有行业的平均情况，却足以让企业换一个提问方式：系统是否能在动作发生前，判断这一次该不该放行？

把安全边界做成一张“动作护栏单”

我建议企业不要先把所有规则堆进长文档，而是为高风险工具调用建立一张可执行的动作护栏单：第一，写清任务目的和允许使用的数据、系统；第二，界定动作上限，例如只能查询、只能生成草稿，还是可提交但必须二次确认；第三，设定触发人工接管的条件，例如超出金额、涉及敏感字段、批量影响或置信度不足；第四，留下请求、上下文、策略版本、执行结果和处理人的记录。

这样做的价值不是让智能体“每走一步都等人批准”。低风险、可逆的动作可以自动通过；高影响动作才升级给正确的人。规则也不必一成不变：被拒绝的请求、人工改写的结果、误拦和漏拦，都应该成为下一版护栏的训练材料。治理由此从静态合规表，变成随业务运行不断校准的控制能力。