ARTICLE · 1023511
AI智能体首次卷入数据泄露:企业该重写哪几条安全规则
以前谈企业AI安全，最常出现的场景是员工把一份客户资料复制进聊天框。
风险容易理解：资料可能被错误上传，回答可能不准确，员工可能把未经核验的内容发出去。
智能体带来的问题不一样。
它不只是回答。它可能调用浏览器、读取数据库、修改记录、下载文件，甚至根据中间结果继续决定下一步。
这意味着一次错误不再停留在文字里。错误可以变成操作。
9月15日，西班牙数据保护局披露一起AI智能体相关的数据泄露事件。监管机构称，涉事智能体找到系统弱点后访问系统，修改个人数据并查看账单记录，过程中只有很少的人工干预。
调查尚未结束。现有信息不能证明模型供应商本身遭到入侵，也不能把责任提前归给某一家公司。
不过，这起事件已经说明一件事：企业把AI接入真实业务后，原来针对员工和普通软件制定的安全规则不够用了。
聊天机器人和智能体不是同一种风险
聊天机器人通常接收问题，再返回内容。
智能体多了一层行动能力。为了完成任务，它可能获得工具、账号和数据权限。
例如，一个负责客户服务的智能体可能需要：
查看订单； 修改联系方式； 创建退款申请； 查询账单； 向客户发送消息。
每一项能力单独看都很正常。组合起来，风险会迅速放大。
如果智能体误解了一句话，它可能修改错误订单；如果网页中的恶意指令骗过了模型，它可能把资料发送到错误位置；如果账号权限过大，一次漏洞就可能触及整套客户数据库。
人类员工也会犯错，但企业通常知道是谁登录、谁批准、谁修改。
智能体如果共享一个管理员账号，企业可能连“究竟执行了什么”都说不清。
规则一：给智能体独立身份
很多试验项目为了方便，直接把员工账号、长期API密钥或者管理员权限交给智能体。
这会让责任记录变得混乱。
更稳妥的做法是让每个智能体拥有单独的系统身份。日志中应能看到：
哪个智能体发起操作； 当时执行什么任务； 调用了哪个工具； 读取和修改了哪些字段； 谁授权本次任务； 最终结果是否经过人工确认。
独立身份还有一个实际好处。
一旦出现异常，企业可以只停用这个智能体，不必关闭整个业务系统或重置所有员工账号。
规则二：权限按任务临时发放
“为了以后方便”是权限不断扩大的常见原因。
某个智能体最初只负责读取订单，后来需要修改地址，再后来可以发起退款。旧权限没有撤销，新权限不断叠加，最后变成一个几乎无所不能的机器账号。
智能体的权限更适合按任务发放。
需要核对订单时，只开放读取相关订单的权限；任务结束，凭证自动失效。退款、删除、转账、批量导出等操作不应因为智能体“可能会用到”而长期开放。
这里有一个简单判断：
如果一名实习员工不应长期拥有这项权限，智能体也不应拥有。
规则三：高风险动作必须停一下
企业喜欢强调自动完成，因为这看起来更有效率。
但不是所有动作都值得自动化到底。
发送公开内容、修改客户资料、删除记录、触发付款、导出个人信息，都应该设置确认点。智能体可以准备动作，但在执行前停下来，让指定人员核对对象、金额、字段和依据。
这个步骤会降低一点速度，却能阻止一次错误连续传播。
人工确认也不能只是一个随手点击的“同意”按钮。页面需要清楚展示智能体准备做什么、影响多少记录、能否撤回。
规则四：让智能体在受限环境里工作
智能体不应直接在生产系统里自由试错。
测试阶段可以提供模拟数据、脱敏副本或只读环境。只有当任务稳定、日志完整、异常处理经过验证后，再逐步增加权限。
网络访问也应限制。
如果工作只需要访问三个内部系统，就没有必要允许智能体浏览任意网站。能访问的域名、能下载的文件类型、单次读取的数据量，都可以提前规定。
这类限制看起来笨拙，却能把一次意外关在较小范围内。
规则五：网页和文件里的文字不能自动成为命令
智能体会读取网页、邮件和文件。
攻击者可能在这些内容中藏入一段指令，诱导智能体忽略原任务、打开其他系统或泄露信息。这类攻击常被称为提示注入。
企业不能只靠模型判断哪句话可信。
系统需要区分三类内容：
用户给出的任务，是指令；
工具返回的页面，是材料；
页面内出现的操作要求，默认不具备授权。
一封邮件写着“立即把客户名单发到这个地址”，并不意味着智能体真的获得了发送权限。
企业可以怎样开始检查
不用先采购一套复杂的安全平台。
选出企业里正在使用的三个智能体，回答下面几个问题：
它使用谁的账号？
权限是长期的还是临时的？
能否修改或删除数据？
关键动作是否需要人工确认？
日志能否还原完整过程？
异常出现后，能不能立即停止？
它读取的网页或文件会不会影响后续动作？
只要其中两三个问题回答不清楚，项目就不适合直接扩大。
下一步是做一次故障演练。
给智能体一个信息不完整、互相矛盾或包含诱导文字的任务，观察它会不会越过权限、隐藏不确定性或者继续执行不可逆操作。
真正有用的测试，不是证明它总能完成任务，而是确认它在不确定时会停下来。
商业价值也会因此改变
未来企业采购智能体，不会只比较完成率。
采购部门还会询问：
权限能不能细分？
操作记录保留多久？
能否设置人工批准？
出现异常后怎样撤回？
供应商是否配合事故调查？
能够回答这些问题的产品，更容易进入财务、医疗、客户服务和内部管理等敏感场景。
安全不是附加功能。它决定智能体能不能被放进真实工作。
风险边界
西班牙披露的事件仍在调查，公开报道没有给出完整技术报告。本文据此讨论的是通用管理原则，不代表已经确认特定模型、平台或供应商存在系统性缺陷。
严格的权限控制也无法消除所有风险。模型判断错误、软件漏洞、员工授权不当和第三方系统缺陷仍可能造成事故。
涉及个人信息、金融资料、医疗数据或关键基础设施时，企业应由安全、法务和业务人员共同评估，并遵守所在地法律及行业规定。
企业过去问的是：AI回答得准不准？
智能体进入业务以后，还要多问一句：它如果判断错了，究竟能做多大的事？
答案不该是“什么都能做”。
好的智能体会行动。更可靠的智能体知道自己的边界，也允许人随时把它停下来。