▌ 故事要从一个周一说起

周一早上，某大型制造企业 CIO 老周打开企业终端管理后台，屏幕上跳出一组让他坐不住的数字：过去两周，全公司有 47% 的员工在办公电脑上至少装过一款 AI 工具——从代码助手到桌面 Agent，从浏览器插件到知识库问答——其中 80% 以上是员工自行下载安装的，IT 部门完全不知情。

老周把安全主管叫到办公室："这些工具能读文件、能联网、能调用 API，我们看得见吗？管得住吗？"安全主管沉默了十秒，回了一句："要不……先全部禁用？"

老周不是个例。最近半年，我们在咨询中接触了数十家企业的 IT 和安全负责人，几乎每一位都在纠结同一个问题：AI Agent 进办公室了，一刀切禁用不甘心，全面放开不放心。这篇文章，就是试着把这个问题讲清楚。

AI Agent 进入办公室以后，企业真正要回答的问题，不是简单地"全部禁用"或"全面放开"，而是能不能看得见、管得住、用得明白。更应关注的不是"用不用"，而是"怎么用、谁在用、处理什么数据、数据去了哪里、能不能被审计"。本文基于公开资料和企业办公场景，梳理通用安全关注点，给出个人与企业可参考的纳管建议。

▌ 为什么要现在关注？不是因为某一款产品"危险"，而是因为 AI Agent 的使用方式变了：• 它不只是回答问题，还可能读取文件、调用插件、访问网页或连接内部系统• 它不只处理公开信息，也可能接触客户资料、代码、合同、会议纪要和经营数据• 它不只产生文本，还可能触发发邮件、改文件、提交代码、调用接口等动作• 因此，讨论 AI Agent 安全，重点不是制造恐慌，而是建立数据分级、工具准入、权限边界、日志审计、人工复核这套基本秩序依据：NIST AI Risk Management Framework、NIST Generative AI Profile、OWASP Top 10 for LLM Applications 2025 对数据治理、过度代理、提示词注入、敏感信息泄露和供应链风险的分类。

“AI安全的敌人不是工具，而是看不见、管不住、说不清的灰色地带。”

▌ 关于遥测与网络请求：企业评估时应重点核查什么？

很多 AI 工具需要联网、更新、鉴权、调用模型或同步配置，因此出现网络请求本身并不等于存在安全问题。企业真正需要关注的是：哪些数据会被发送、为什么发送、能否关闭、谁能审计、策略变化是否可追踪。建议把以下问题列入正式评估：

① 遥测边界：关闭遥测后，哪些数据仍会因产品功能、更新、鉴权或模型调用被发送？② 上传内容：是否可能包含文件路径、代码片段、项目名、设备信息、插件信息或使用行为？③ 关闭机制：企业管理员能否统一关闭、统一审计，而不是依赖员工个人设置？④ 日志可见性：企业能否看到谁在什么时间调用了什么模型、上传了什么类型的数据？⑤ 版本变更：产品更新后，数据收集策略是否会变化，是否有提前通知和变更记录？

这里不对任何产品作判断。建议企业用户要求供应商明确说明数据收集范围、训练用途、留存周期、关闭方式、审计能力和数据地域，并在试点阶段做最小范围验证。

本地 Agent 的三类治理重点

① 可访问私有数据：本地文件、数据库、内部系统② 可与外部通信：联网搜索、调用 API、发送消息③ 可摄取外部内容：读取邮件、网页、文档——这里埋着提示词注入的入口

这不是某一款产品独有的问题——任何能读文件、读邮件、调用插件或连接内部系统的 AI Agent，都有类似结构。区别在于：本地 Agent 更依赖企业自己的配置和治理能力，企业如果不主动纳管，就真的"看不见"。

▌ 连接器和插件治理不能缺位AI Agent 往往依赖插件、MCP连接器、浏览器扩展、模型API和第三方包。即便核心产品本身没有问题，一个未经审查的连接器、依赖包或配置项，也可能扩大数据访问范围。因此，企业不应把插件生态当成"默认可信"，而应建立白名单、版本锁定、来源校验和变更审计机制。

第一步：数据分级（Data Classification）

先把企业数据分成三类，不同类别对应不同的 AI 使用策略：

第二步：产品选型检查清单

采购或批准任何 AI 工具之前，IT 部门应逐项确认：

第三步：本地 Agent 专项治理（如果决定试点）

“治理框架不落地，再好的安全政策也只是墙上的装饰品。”

▌ 一把手不需要懂每一个工具的技术细节，但必须确保五件事有人兜底。不需要亲自盯日志，但必须在季度安全会上追问这五个维度。当以上五个问题都能得到明确、具体、有数据支撑的答复时，企业才算真正做好了 AI Agent 的安全纳管准备。

“一把手不问工具怎么用，但必须问：边界在哪、谁能兜底、出事怎么办。”

“安全不是 IT 部门一个人的事，而是从一把手到一线员工，每个人肩上都有一份。”

① 建议先区分风险场景，不要简单按产品贴标签。同一类工具在不同版本、配置、账号类型和数据场景下，风险边界可能不同。

② 建议把治理重点放在边界管理上。数据分级、工具准入、权限控制、日志审计、人工复核，可以作为企业制定AI使用规范时的优先检查项。

③ 对本地 Agent 和自动化执行类工具，建议先小范围试点。统一分发、连接器白名单、最小权限和关键动作确认，适合作为试点阶段的基础要求。

“AI 不会淘汰企业，但管不好 AI 的企业，一定会被管好 AI 的企业淘汰。”

问一：贵企业是否已经盘点过员工正在使用的所有 AI 工具（含私自安装的）？

问二：贵企业的数据分级标准是否已经建立？L3 敏感数据是否明确了"禁止 AI 处理"的红线？

问三：如果决定试点本地 Agent，IT 部门是否已经制定统一分发、连接器白名单和权限审计机制？

1. NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0)：用于参考AI治理、风险识别、治理闭环等原则。

2. NIST, Artificial Intelligence Risk Management Framework: Generative AI Profile (NIST AI 600-1)：用于参考生成式AI的数据、内容、治理和风险管理要点。

3. OWASP, Top 10 for Large Language Model Applications 2025：用于参考提示词注入、敏感信息泄露、供应链风险、过度代理等风险分类。

4. 企业数据安全治理通用实践：数据分级、最小权限、日志审计、人工复核、供应商准入和变更管理。本文为公众号科普与管理建议，不构成法律意见、采购建议或对任何产品的安全评价。