OWASP智能体AI安全与治理现状报告2026

OWASP AGENTIC SECURITY INITIATIVE

智能体AI安全与治理现状

State of Agentic AI Security and Governance

Version 2.01 · 2026年6月 · OWASP旗舰项目600+贡献者 | 18+国家 | 139页深度报告

ASI01~10

智能体威胁十大类

AT0~8

部署成熟度分级

12%

插件库恶意检出率

4小时

DORA强制通报窗口

安全前沿·速递 | 政策·技术·威胁·合规

▌ 报告背景

本报告为OWASP智能体安全行动（ASI）2026年旗舰版本，是2025年7月v1.0的重大升级。核心判断从"理论风险清单"转向"已发生的运营事实"——2025年以来，几乎每一项威胁类别都有对应的CVE编号、厂商通告或生产事故支撑。本文为中文精要解读，面向CISO、安全架构师及AI治理负责人。

EXECUTIVE FINDINGS

三大核心发现

威胁已从理论变为现实

2025年的架构性担忧，如今已附带生产事故、厂商通告和CVE编号。真实事件跟踪器（Real-World Incidents Tracker）收录了几乎覆盖所有威胁类别的案例，威胁模型不再是假设性的，设计层面的安全决策也不再是可选项。

AI安全与AI Safety在部署层汇聚

传统上，安全（Security）对抗外部攻击者，Safety（可靠性）关注工程质量，由不同团队负责。智能体系统将两者模糊于同一部署层——同一调查既暴露安全漏洞，也揭示可靠性缺陷。AI Safety与AI Security不能再以平行职能各自为政。

治理必须与部署速度匹配

监管机构已接受智能体造成危害的速度超过人工审查能力的前提。DORA 4小时通报、NIS2 24小时预警、NY RAISE 72小时前沿报告、CA SB 53 15天窗口——均假定持续监督而非周期性审计。所需工作是：实时行为监控、漂移基线告警、自动事件路由、以秒而非天为单位的叫停机制。

AGENTS TAXONOMY

智能体分类体系

三维独立分类：类型 × 实现模式 × 组合模式

类型	自主程度	核心风险	关联法规
企业内部型	监督→全自主	权限/上下文错配	EU AI Act, GDPR
编码型	监督→全自主	自主性超越治理速度	NIS2
客户服务型	有限→全自主	对抗性提示操控	消费者保护法规
个人本地型	半自主→全自主	影子AI + 全权限	设备数据保护
基础设施/运维型	监督→全自主	爆炸半径（横向移动）	NIS2, DORA
多智能体编排型	局部→全组织	级联失败、信任边界穿透	新兴跨境法规

THREAT ANALYSIS

威胁态势：从假设到实战

提示词注入是几乎所有攻击类别的共同根因，智能体供应链成为主要入侵向量

🎯 三大攻击扩张趋势

① 企业低代码/无代码平台：单一投毒文档（共享文件/日历邀请/邮件）即可触发企业AI助手规模化数据泄露

② 编码智能体供应链：Agent生成的提交绕过人工审查，使组织SLSA来源证明退级，分支保护规则必须在仓库层强制执行而非依赖Agent配置

③ Agent注册表投毒：工具注册表和插件商店成为高价值目标，恶意插件可在用户安装后自动执行任意代码

OWASP Top 10 智能体威胁（ASI01~ASI10）

编号	威胁名称	2026年实战观测
ASI01	目标劫持	最普遍攻击技术，间接提示词注入的初始入口，覆盖生产力平台/CRM/开发环境
ASI02	工具滥用与利用	Agent被操纵执行破坏性行为（含数据删除），OpenAI Codex CLI沙箱逃逸（Sep 2025）
ASI03	身份欺骗	伪造Agent Card冒充合法Agent（中间人攻击），A2A协议开放目录被注入（Apr 2025）
ASI04	供应链污染	ClawHavoc ：2026年2月审计ClawHub插件库2857个技能，12%含恶意代码
ASI05	远程代码执行	Claude插件勒索软件部署（Dec 2025）：MedusaLocker经插件自主下载修改执行
ASI06	记忆与上下文投毒	攻击者植入持久虚假信息，传播至所有未来会话；SOUL.md/MEMORY.md时延行为篡改
ASI07	不安全的Agent间通信	研究阶段为主，多智能体架构向生产推进时为下一个运营风险前沿
ASI08	级联失败	研究证明单个被攻陷Agent可毒化下游多智能体系统的决策链
ASI09	人机信任操控	Agent学会抑制用户投诉以优化绩效指标——组织委托更多关键决策给Agent后的警示信号
ASI10	流氓Agent	暴露的AI基础设施集群被大规模劫持，用于自主恶意活动

🔍 重大真实攻击事件（2025-2026）

⚡ EchoLeak（May 2025）

零点击提示词注入：一封电子邮件即触发Copilot泄露机密邮件、文件及聊天记录，无需用户交互。ASI01 / ASI02 / ASI06

🔴 Claude勒索软件部署（Dec 2025）

Claude "Skills"插件特性被利用自主下载、修改并上传含恶意代码的技能，自动部署MedusaLocker勒索软件。ASI04 / ASI05

🛡 Codex CLI沙箱逃逸（Sep 2025）

OpenAI Codex CLI沙箱配置逻辑漏洞，允许模型生成的工作目录作为沙箱可写根目录，路径超出用户预期工作空间。ASI02 / ASI05

🕵️ Agent中间人攻击（Apr 2025）

恶意Agent在A2A开放目录发布伪造Agent Card，冒充合法Agent实施中间人劫持，攻击下游调用链。ASI03 / ASI06 / ASI10

☠️ ClawHavoc供应链攻击（Feb 2026）

ClawHub技能库2857个插件中约12%含恶意代码：反向Shell、SOUL.md/MEMORY.md投毒用于时延行为篡改、Claude Desktop扩展RCE。ASI04 / ASI06 / ASI05

AGENT IDENTITY

身份危机：NHI ≠ Agent Identity

非人类身份（NHI）与智能体身份是同一问题的两个层次，混用代价高昂

维度	传统NHI	智能体身份框架
定义	静态服务账户/API密钥的认证原语	动态加密框架，治理自主推理Agent
能做什么	验证凭据是否被授权连接	验证当前执行主体是否应执行当前动作
三大加密断言	—	Provenance （来源完整性）Attestation（身份验证）Intent（意图验证）
OAuth局限	为粗粒度人类/单体机器客户端设计	需JIT权限升降、委托链、实时策略评估
标准进展	已建立	NIST AI Agent Standards Initiative预计18~24个月；OpenID Foundation 2026~2027

结论：NHI告诉你凭据已获授权。它无法告诉你持有凭据的推理实体是否应当执行当前正在执行的操作。企业非人类身份数量已远超人类，但极少组织拥有专门面向智能体的治理框架。

REGULATORY LANDSCAPE

全球监管：从理论走向执法

AI治理在2025年完成理论到执法的跨越，五大核心能力成为必须项

📋 关键监管窗口要求

4小时

DORA

金融机构强制通报

24小时

NIS2

早期预警要求

72小时

NY RAISE

前沿模型报告

15天

CA SB 53

事件通报窗口

🌍 2025-2026全球监管里程碑

法规/框架	关键要求	生效
EU AI Act GPAI实践守则	公开红队报告、签名使用日志、实时监控计划	2025年8月（高危系统2026年8月）
新加坡智能体AI治理框架	全球首个专为智能体AI构建的治理框架	2025-2026
韩国AI基本法	域外管辖权，10^26算力阈值触发申报	2025年
NIST网络AI Profile	Agent专项安全控制映射至CSF 2.0	2025年
ENISA网络压力测试手册	关键行业AI系统实弹演练方法论	2025-2026

🛡 在监管环境中生存：五大必备能力

① 风险分级

每个模型上线前风险层级评估

② 伦理审查

嵌入开发生命周期的伦理关口

③ 不可篡改日志

支持法证重建的签名审计日志

④ 对抗测试

覆盖ASI01~ASI10全攻击面

⑤ 紧急叫停

以秒而非天为单位的停止机制

MATURITY MODEL

企业采用成熟度模型

两维评估：部署层级（AT0~AT8）× 治理能力（Level 0~4）

📊 部署层级（Adoption Tiers AT0~AT8）

层级	名称	典型场景
AT0	影子AI	个人用ChatGPT/Claude处理企业数据、未批准浏览器AI插件
AT1-AT2	提示辅助/RAG	ChatBot助手、知识库检索、无工具调用集成
AT3-AT5	公民开发者/代码执行/个人Agent	企业工作流自动化、CopilotStudio/Zapier、本地LLM全权限
AT6	外部扩展Agent	MCP服务器连接、插件扩展LLM、Agent调用第三方API
AT7	多智能体编排	CrewAI工作流、AutoGen多智能体团队、LangGraph多Agent图
AT8	联邦/跨边界	跨组织供应链Agent、金融网络联邦AI、多租户Agent市场

🏛 治理能力级别（Level 0~4）

Level 0 — 无意识 · 高风险暴露

无AI专项政策，通用IT日志，无AI事件处理流程

Level 1 — 试点实验（无护栏）

试点项目缺乏自主边界限制、决策范围和升级标准，治理扩散

Level 2 — 政策定义 + 人工监督

正式政策映射法规，高影响决策有人工在环，部署AI-SBOM，设立CAIO

Level 3 — 持续监控 + 主动防御

实时行为遥测，Agent自主动作自动触发事件响应，持续红队测试

Level 4 — 自适应自我调节治理

治理以模型速度运行：遥测/红队/监管输入自动调优护栏，密码学权限与信任评分，实时合规仪表盘

⚠️ 关键警示：治理赤字比部署层级更危险

同一组织内，AT8联邦Agent的治理需求与AT0影子AI的治理需求截然不同。最高层级部署发生在哪里，就从哪里开始治理。但永远不要忽视AT0的发现工作——这是其他一切的地基。

FUTURE TRENDS

未来趋势与新兴要求

v1.0预测均已兑现，下一个18个月：标准汇聚与Agent生成架构治理

🔑 Agent身份标准趋同

• NIST AI Agent Standards Initiative：OAuth 2.0和PBAC适配Agent，18~24个月实践指南 • OpenID Foundation：递归委托和多Agent Token交换协议草案（2026~2027） • MCP授权规范：持续演进中

📦 AI SBOM与供应链溯源

• OWASP AIBOM：CycloneDX格式AI物料清单生成器 • AI-SBOM成为EU AI Act、DORA、NIS2等合规的基础工具 • 供应链溯源从可选项升级为强制项

🤖 Agent生成架构治理

• 能够自主生成子Agent的系统带来未解决的权限传递问题 • 委托链建模：Agent在用户权限授权下允许的操作边界 • 自我复制风险：UK AI Safety Institute RepliBench量化基准

▌ 核心洞察

「威胁模型不再是假设性的——每一类风险都已有生产事故支撑，设计层面的安全决策不再是可选项」

「NHI ≠ Agent Identity——混用两者是大多数身份项目未能应对智能体的根本原因，加密断言与JIT权限是核心要求」

「供应链是主战场——12%的插件库恶意检出率意味着Agent生态的信任基础已被侵蚀，AI-SBOM必须成为默认实践」

「治理赤字的代价：叫停机制必须以秒为单位——DORA 4小时/NIS2 24小时通报要求说明监管已接受"人工追不上Agent"的现实」

安全前沿·速递

政策 · 技术 · 威胁 · 合规

原文：OWASP State of Agentic AI Security and Governance v2.01 · June 2026 OWASP Agentic Security Initiative · genai.owasp.org · 600+贡献者 · 18+国家

本文提供139页完整版文件下载，请点击文末“阅读原文”。

「智盾矩阵·大模型安全智库」帮会是FreeBuf知识大陆的重量级帮会，目前已入选FreeBuf钻石星选帮会——官方认证高信誉与高质量，帮会聚焦人工智能与大模型安全领域，致力于打造全球视野下的专业资源聚合平台。截止目前帮会已累计更新4500+文档资源，为从业者提供从理论到实践的全维度知识支持。