胖头鱼的技术专栏-455 AI Agent安全治理：平台管得住的，和管不住的（20260805）

作者：胖头鱼的鱼缸（尹海文）
Oracle ACE Pro: Database
PostgreSQL ACE

10年+数据库行业经验
拥有OCM 11g/12c/19c、MySQL 8.0 OCP、Exadata、CDP等认证
墨天轮MVP，ITPUB认证专家
圈内拥有“总监”称号，非著名社恐（社交恐怖分子）

全网同名：胖头鱼的鱼缸
ITPUB：yhw1809
除授权转载并标明出处外，均为“非法”抄袭


最近和不少企业客户聊AI Agent落地，有个感受越来越强烈——

平台做得再好，也防不住人的"创造力"。

这个感受不是凭空来的。我自己的项目"川序"，在安全层面下了很大功夫——零信任、身份治理、审批审计、应急撤销，该做的都做了。但和客户一聊，发现现实中的问题远比平台能覆盖的要"丰富"得多。

今天就聊聊这个话题——AI Agent在企业落地，平台管控之外，还差什么。

一、平台做了什么：先把"门"装好

先简单回顾一下川序在安全层面做了哪些事。不是为了自夸，而是为了让后面的讨论有个基准。

川序的安全设计，核心就一句话：

打个比方：川序就像一栋写字楼的物业管理系统——门禁卡、摄像头、访客登记、电梯权限、消防通道，一应俱全。你拿着卡能进该进的楼层，进不了不该进的地方；出事了能查记录，紧急情况能一键锁电梯。

这已经比大多数"裸奔"的Agent部署强太多了。但——注意这个"但"——门装好了，不代表所有人都会走门。

而且川序自己在安全页面上也写了一句很诚实的话：

数据库控制面不能撤回已经离开的数据，也不能自动终止数据库外且未接入Gateway的进程。

这句话是什么意思？翻译成人话就是——

平台管得住门内的，管不住门外的。

和客户沟通中，有两个场景让我印象特别深。这两个场景，平台层面确实很难完全覆盖。

第一记：非受控Agent接入了生产

这是个很典型的场景——企业IT部门搭了Agent管理平台，流程也规范了：注册、认证、分配权限、纳入管理。但业务部门那边，有人自己拿了个开源Agent框架，直接连上了生产数据库。

为什么？因为快。走平台注册要审批、要配权限、要走流程，而自己搭一个Agent，写个连接串，十分钟就跑起来了。业务方觉得：“我不就查个数据嘛，能出什么事？”

。它没有注册身份，没有权限边界，没有审计记录，出了事你都不知道是谁干的。更可怕的是，如果这个Agent被提示词注入了，它可能拿着生产库的连接串，干出一些始料未及的事情。

Agent在聊天框里只回了你一句话，你以为它只做了一件事，实际上背后可能执行了上百次tool calls：read_file、write_file、search_file、browser……你完全不知道。一个连平台都没注册的Agent，这种行为更是一点影子都留不下。

这就好比你给写字楼装了门禁系统，但有人发现后门没锁，天天走后门。门禁系统再先进，也管不了走后门的人。

这个更"高级"一点——Agent确实通过正规流程注册到了平台上，身份、权限都配好了。但运行过程中，它自己（或者背后的人）想办法绕过了平台的受控接口，直接和外部服务通信。

比如，平台要求Agent通过Skill接口访问外部API，但Agent的代码里偷偷写了个直连逻辑——绕过Skill，绕过审计，直接HTTP请求出去。平台看到的是"这个Agent在正常执行任务"，实际上它已经脱管了。

还有一种情况：Agent注册后，开发者后续修改了Agent的代码或配置，加入了一些"不在台账里"的行为。平台管理的只是注册时的那个"快照"，运行时的实际行为早就偏了。

这就像员工入职时签了保密协议，工牌也发了，但入职之后偷偷把公司数据拷到U盘上带走了——HR系统的记录一切正常，但人已经"脱管"了。

企业AI Agent想要真正落地，光有平台管控不够，还得有三条腿。

第一道：传统企业管理，不能丢

这个观点可能不那么"技术"，但我觉得最重要。

上面两个场景，本质上都不是技术问题——

非受控Agent接入生产，是谁干的？是员工。注册后主动脱管，是谁授意的？也是人。平台能做的是提供管控手段，但如果有人铁了心要绕开，纯靠技术是防不住的。

所以传统的企业管理手段必须跟上：

平台是技术防线，制度是管理防线。技术防线可以不断加固，但管理防线一旦松懈，技术防线就是摆设。

就像你给写字楼装了最好的门禁系统，但如果物业不巡查、保安不值守、违规人员不处理——门禁系统也就是个摆设。

第二道：安全扫描，向Agent运行态扩展

传统的安全扫描，主要扫代码漏洞、配置基线、网络边界这些。但在AI Agent的场景下，光扫这些不够了。

的东西——它的行为不是写死在代码里的，而是由模型、提示词、上下文、工具调用共同决定的。同一个Agent，今天的提示词被注入了，行为就可能完全不同。

这些能力，有些可以在平台层面实现（比如川序的审计和审批模块已经覆盖了一部分），有些需要和企业的安全运营体系（SOC、SIEM）打通。但方向是明确的——

安全扫描的边界，必须从"代码和配置"扩展到"Agent运行态"。

第三道：算力管控，不可忽视的新维度

这个可能是三个方向里最"新"的，但我觉得不可回避。

AI Agent和传统应用最大的区别之一，就是

。一个Agent跑一次推理，消耗的GPU/CPU资源可能顶得上传统应用跑一天。如果企业内部有一堆Agent在不受控地消耗算力，会带来什么问题？

所以算力管控应该成为Agent治理的标配：

这块目前行业里做得还比较少，但我判断会很快成为企业级Agent平台的标配能力——就像云成本管理（FinOps）一样，先是"Nice to have"，然后变成"Must have"。

回到开头那个问题：AI Agent在企业落地，平台管控之外，还差什么？

川序在平台层面已经做了很多——身份治理、零信任、审批审计、应急控制——但我也很清楚，平台只是起点，不是终点。而且川序自己在安全页面上就老老实实写了：

平台不能撤回已经离开的数据，也不能终止未接入Gateway的进程。

 这不是推卸责任，是实事求是——技术防线有边界，认清边界才能补齐短板。

技术防线要不断加固，管理防线更不能松。用我项目的那句Slogan收个尾：

Breaking the AI Agent Black Box——打破黑盒，光靠平台不够，还得靠人、靠制度、靠算力管控。

AI Agent安全治理：平台管得住的，和管不住的

AI Agent的安全治理光靠平台不够，还得靠人、靠制度、靠算力管控。

自由职业

人工智能

安全

架构设计

AIAgent企业落地安全治理：平台管控存边界，非受控Agent接入生产、注册后脱管等现实问题频发。破解需构建三道防线：制度约束、运行态安全扫描、算力配额管控，技术与管理双管齐下，方筑牢Agent安全防线。

边界防火墙

提示词注入

数据库

零信任

防火墙

FinOps

Agent

4核4G3M云服务器 新用户低至38元/年！

2026上云采购 | AI焕新·智启新局

tcap

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

AI Agent安全治理：平台管得住的，和管不住的

AI Agent安全治理：平台管得住的，和管不住的

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐