OWASP最新AI报告:自主AI打破安全边界,企业需紧急统一治理

近日，OWASP 发布了《代理式人工智能安全与治理现状 v2.01》报告。该报告是一份技术蓝图，旨在帮助安全团队应对生产环境中迅速增多的自主人工智能代理所带来的安全挑战。

报告隶属于 OWASP 生成式人工智能安全项目下的代理安全倡议，通过实际安全事件、通用漏洞披露 (CVE) 以及围绕代理框架和编码代理的蓬勃发展的开源生态系统，将人工智能安全重新定义为一种运营现实，而非理论上的担忧。

Part01

安全与安全的边界消融

报告从战略层面指出，当系统获得自主性和工具访问权限后，AI安全（系统自主产生危害行为）与AI安全（对抗性利用）不能再被视为独立领域。传统环境中，这两类问题可能由不同团队负责，而自主AI在部署层打破了这种界限。

当Agent能自主调用API、修改代码并接触生产数据时，同一个过度宽松的设计选择既会成为安全隐患，也会形成安全漏洞。

Part02

新型治理框架与分类体系

报告提出需建立覆盖两种故障模式的统一治理、监控和事件响应机制，而非通过割裂的风险分类和升级路径处理。其创新性地构建了自主系统的详细分类体系：按运营角色分为企业级、编程类、客户对接型、个人级及基础设施/运维类；按实现模式分为编排框架、低代码平台、单Agent系统、多Agent系统、分布式链和Agent衍生架构。

Part03

自主性分级与风险管控

报告将自主性作为横切维度：受监督Agent、半自主Agent与全自主Agent具有截然不同的影响半径，尤其在结合持久化内存和宽泛工具权限时。OWASP建议企业明确划分Agent自主等级，对高自主性部署实施断路器、急停开关和确定性执行钩子等防护措施。

Part04

高活跃度项目安全观察

报告通过对高速发展的自主项目生态调研，指出安全团队应重点监控的领域：

• Gravitas（18.3万星标）：全自主框架/平台，首创自主Agent循环，现拥有430余名贡献者

• n8n（18.3万星标）：半自主企业编排平台，6年生产级演进历程，570余次版本发布

• Dify（13.7万星标）：PR提交量最高项目之一，462名贡献者，攻击面迭代风险突出

• Claude Code（11万星标）：半自主编程Agent，日均发布版本，已关联22个CVE漏洞

• Gemini CLI（10万星标）：90天内新增676个issue，开发者采用与漏洞发现压力同步攀升

Part05

基础设施Agent的特殊风险

浏览器自动化工具browser-use（8万星标，全自主模式，提交密度极高）和Skyvern（1.8万星标，PR合并率77%）等直接对接浏览器、云环境和CI/CD管道的基础设施Agent，被列为高风险类别。报告同时警示通过用户设备渗入企业的"影子AI"风险，如Fosowl开发的AgentSeek（1.5万星标，90天内提交量增长67%）。

OWASP强调应将自主AI视为一级安全领域，建议安全团队：全面清点生态中的Agent，跟踪高速迭代项目的安全通告和CVE漏洞，使部署方案符合《自主安全十大风险》及新版治理成熟度模型。随着自主Agent开始触及生产基础设施，安全方案必须从单次模型评估转向持续运行时监督，并建立AI组件的供应链溯源机制——在攻击者和异常Agent定义风险面之前，实施严格非人类身份控制。