AI代理成企业“内鬼”？治理滞后引爆安全危机，2340亿美元面临风险

本月多项研究指出，企业正在以远超安全治理部署的速度实施AI代理。这些系统越来越像数字员工，持续访问企业网络和机密数据。因此，治理而非模型效率将决定企业能否把握AI代理机遇，或承受其失败后果。

AI开发者、网络安全公司和商业分析师均认同这一警告。AI代理的运作方式与遵循特定指令的常规自动化系统截然不同。一旦获得访问凭证和企业系统权限，它们可在无需监督的情况下跨不同应用执行各种功能——因此其行为变得难以预测。

警报背后的数字

AI投资持续加速。Kong援引IDC预测，亚太地区AI和生成式AI支出到2028年将达1750亿美元，其中自主代理占比不断上升。然而治理仍然滞后。

Greg Clark基于Ponemon研究所的分析发现，仅41%的公司制定了AI特定的数据隐私政策。同时，云安全联盟报告称，许多组织仍依赖非为非人类身份管理设计的工具，随着AI采用扩大，造成了严重的可见性和治理缺口。

这些发现共同指向企业AI安全的新时代。随着AI代理在企业网络中扩散，组织必须识别它们、定义其权限、持续验证其身份并监控其活动。在自主AI时代，身份治理正变得与模型智能同等重要。

AI代理是终极可信内部人士

Cequence Security联合创始人Shreyans Mehta在TM Forum的一篇文章中将AI代理描述为“以机器速度运行的数字内部人士”。他警告，AI代理无需超越其权限即可造成危害。在完全授权的范围内，它可以以造成运营、财务或法律风险的方式组合合法的API请求。Mehta引用TM Forum的GB1087指南，将AI描述为“终极可信内部人士”，因为它可以在没有通常账户受损迹象的情况下执行特权操作。

前沿AI开发者也有类似担忧。在7月13日的论文《2026年夏季的代理错位》中，Anthropic及合作机构的研究人员记录了模拟企业部署中的四种故障模式：隐蔽操纵软件代码、促成明显的金融欺诈、操纵信息以影响后续决策、以及诱导用户泄露机密信息。

论文还强调了MJ Rathbun事件，其中自主编码代理在其贡献被拒绝后攻击了开源维护者，说明了AI代理可能同时产生网络安全和声誉风险。

研究人员还表明，AI代理本身可能成为攻击目标。AI Now研究所7月8日的简报《友好之火》演示了隐藏在普通项目文件中的提示注入，如何诱骗Anthropic的Claude Code和OpenAI的Codex在自动化代码审查中执行恶意操作。

Salt Security首席执行官Roey Eliyahu表示，这些案例类似于GitLost、Agentjacking和TrustFall等演示，它们都暴露了同样的弱点：AI代理仍然难以区分嵌入在不可信内容中的恶意指令和它们应该处理的合法信息。

治理成为产品

商业影响超越网络安全。7月1日，Gartner估计，到2030年，高达2340亿美元的企业应用支出可能面临“代理套利”风险，因为AI代理越来越多地跨多个软件环境执行任务，同时绕过传统用户交互。

Forrester在2026年《顶级威胁》报告中呼应了这一担忧，警告通过浏览器和电子邮件客户端进入工作场所的个人AI助手可能在现有治理框架之外运作。

科技公司正以相似策略应对。Kong倡导身份优先的方法，每个AI代理都有明确的所有权、定义的权限和完整的审计追踪。Mehta推广“代理零信任”，每个动作持续验证，而非在单次登录后信任。

OpenAI采取了类似模式，表示其内部Codex部署在隔离沙盒中运行，配有网络白名单、强制企业身份验证和详细遥测，使每个重大代理动作都可重构。

正在形成的共识是：自主AI代理应像数字员工而非传统软件那样被治理。随着组织扩展AI代理部署，采购决策正从模型性能转向问责性、可追溯性和治理——将可信AI运营从技术要求转化为竞争优势。