智能体安全：凭证、隔离与数据边界

企业把财务、人事和客户资料交给智能体之前，第一个问题是：别的智能体、别的公司会不会看到？

智能体是一种新的攻击面：它读的邮件、网页和文件里可能藏着指令，它手里的工具能执行命令。传统的权限模型不是为它设计的。

1. 开源的智能体运行时大多不做隔离，安全的边界只有操作系统。所以边界要由平台来建。
2. 现在的边界有三层：每个智能体一个系统用户、强制访问控制的围栏、出站凭证代理（模型密钥不交给智能体）。凭证代理还在推广，没有覆盖全部智能体。
3. 私有的智能体（例如财务、人事）现在靠单独的机器隔离：成本高，也没法共享计算。
4. 围栏和业务在拉扯：第一次给一批智能体下发围栏时，有几个服务的日常脚本在跨智能体读数据，只能先撤回，再逐条清理依赖。
5. 提示注入还没有系统的防护和测试集。

1. 安全和可用要同时成立：太紧，员工每天用的脚本会断；太松，财务数据就可能被别的智能体读到。每一条规则都要在几百个真实的智能体上验证，并且能回退。
2. 攻击面是新的：工具调用、长期记忆、智能体之间的消息。没有成熟的标准，你要自己建威胁模型，想到别人没想到的攻击路径。
3. 证明比实现更难：「这个智能体读不到那份数据」要有可以重复的验证，不是一句承诺。
4. AI 可以帮你读源码、写测试。但像攻击者一样思考、判断哪个风险可以接受，要靠人。

1. 威胁模型：智能体、工具、数据、凭证、模型通道和消息入口，每一项写清攻击面和防护。
2. 隔离方案：每个智能体的文件、进程、网络和凭证的边界，在共享运行池上可以验证；私有的智能体不再需要单独的机器。
3. 凭证代理覆盖全部智能体：智能体手里没有长期密钥，凭证可以随时轮换。
4. 提示注入的防护与红队测试集：每次发布自动跑。
5. 安全事件的响应手册与回退流程。

1. 已知、未修复的越界路径：0 条。
2. 智能体能读到的长期凭证：0 个。
3. 下发安全规则后造成的业务中断次数。
4. 红队测试集的通过率，以及覆盖的攻击类型。

1. 4 年以上系统安全、云安全或沙箱方向的经验。
2. 发现并修复过真实的漏洞（CVE、漏洞赏金、审计报告），或设计过上线运行的多租户隔离。
3. 熟悉 Linux 的隔离机制，能读懂并审查别人的系统代码。
4. 加分：做过大模型应用的红队，或在 USENIX Security、CCS、S&P、NDSS 发表过论文。

1. 你发现或修复过的漏洞：CVE、赏金记录或脱敏的审计报告。
2. 你设计过的沙箱或多租户隔离方案。
3. 一份红队或渗透测试报告（脱敏）。