演讲主题

Agent 安全：是 Infra 问题，不是模型问题

过去两年的 AI 安全本质是内容安全——这类风险可以靠模型自身优化解决，因为内容就是模型的产物。但 Agent 从"生成内容"转向"采取行动"：调用工具、变更数据、使用凭证。行动发生在模型之外，模型只能请求、无法保证某个操作不会发生。 我们的判断是：工具调用就是 Agent 的系统调用，今天的 Agent 正处在"DOS 时刻"——可直接调用任意工具、凭证长期宽泛、指令与数据同处一条信道、缺少隔离与审计。而这类问题计算机行业解决过一次，答案不是让程序更自觉，是造一个操作系统。本次分享将围绕Agent安全的核心流程及风险，分享行业及企业落地实践，帮助企业了解风险的同时获取风险收敛方案。 大纲： 一、Agent 时代，模型管不住的那部分 风险形态：凭证越权、工具参数被篡改、间接注入夺取控制权 根因：内容是模型的产物，行动不是 三个盲区：只审内容不查行为、让模型看守模型、执行链路无边界 二、工具调用就是系统调用：Agent 需要一个操作系统 Agent 的 DOS 时刻：直连任意工具，凭证近似 root 五道门：唯一出口、特权分离、进程隔离、最小特权、审计留痕 Infra 重构：老时代复用 vs 新时代重建 端云分工：端侧强约束，云侧强智能 三、实践案例：价值与成本的平衡 工具网关：拦在 SDK、代理还是网关，怎么防绕过 权限收敛：从"你是谁"到"你这次要干什么" 审计粒度：记多细才够定责，又不至于存不起 返工复盘：几个当时以为对、后来推翻重做的决策 四、未来展望：Model vs Agent vs Infra 三层分工：判断可以是概率的，执行必须是确定的 成熟先例：SELinux 的打标与强制分离，强制必须在内核 标准化方向：能力分级、身份互认、行为审计接口 听众收益： 系统理解企业级 Agent 的核心风险与根因。 掌握从身份、行为、数据、工具到合规治理的 Agent 安全体系建设思路。 获得企业从“想用 Agent ”到“敢用 Agent、好用 Agent ”的落地参考