2026 年AI 平台建设的安全问题已经从“模型会不会说错话”演变为“Agent 会不会做错事”。当大模型开始拥有身份、工具、权限和自主执行能力传统安全边界彻底失效。这篇文章拆解从威胁认知到架构设计、从技术能力到项目落地的完整实施路径。一、为什么 AI 平台安全需要重新定义如果你还在用“输入过滤 输出审查”的思维做 AI 安全你已经落后了。2026 年 5 月Anthropic 发布了一份面向企业 AI Agent 部署的安全白皮书《Zero Trust for AI Agents》。它的核心判断非常直接Agent 不是普通聊天机器人而是一个可以理解目标、调用工具、访问数据、执行动作的自治系统。 传统访问控制很难阻止 Agent 滥用“本来就合法”的权限因此企业必须从一开始就按照“默认不可信、持续验证、假设已被攻破”的原则来部署 Agent。这意味着 AI 平台安全的重心正在发生根本性转移从“管生成内容”转向“管自治行为”。一个客服 Agent 被诱导错误调用 CRM 和邮件工具可能把客户数据发到外部邮箱一个代码 Agent 被间接提示注入控制可能在仓库里植入恶意逻辑一个拥有长期记忆的 Agent 如果被投毒风险可能持续影响未来的决策。与此同时攻击面也在扩大。启云方安全业务部总裁周榆指出当前企业面临两大核心风险一是外部攻击的“技术平权” ——此前发起网络攻击需要专业安全技能如今借助大模型与智能体仅需一条指令即可自动完成资产探测、漏洞查找、横向扩展、数据窃取的全链路攻击二是内部部署的大模型权限失控——美国 Meta 公司曾出现员工邮件被大模型误删且无法中途阻止的情况。腾讯集团副总裁朱殿君在 2026 年国家网络安全宣传周上的判断更为精炼传统网络安全边界已被打破AI 推理链路成为新的安全边界。这些判断共同指向一个结论AI 平台安全不是一个“加装防火墙”的问题而是一个需要从架构层面重新设计的系统工程。二、威胁认知OWASP LLM Top 10 与 Agent 特有风险2.1 OWASP LLM Top 10 2026 的变化2026 年 8 月 3 日OWASP 发布了 LLM 应用 Top 10 的 2026 版。这一版与前两版最大的区别是首次基于真实事件数据构建排名。项目组收集了 7,714 起来自公共漏洞数据库和 AI 危害数据库的真实事件对其中 6,639 起有足够细节的事件进行分类并将该记录以 25% 的权重与 75% 的社区投票加权。排名结果的变化非常有信息量。Prompt Injection 和 Sensitive Information Disclosure 保持了前两名不变但 Excessive Agency 从第六位跃升至第三位成为变化最大的条目。Unbounded Consumption 从第十位升至第六位。System Prompt Leakage 被重新命名和重新界定为 Hidden Context Exposure。Improper Output Handling 从第五位降至第十位。这个变化说明什么说明行业对 AI 安全威胁的认知正在从“模型本身的问题”转向“系统层面的问题” 。Excessive Agency 的跃升尤其值得关注——它指的是 AI 系统被授予了过多的自主决策和执行权限而缺乏足够的约束和审查机制。这正是 Agent 时代最核心的风险特征。2.2 Agent 系统的五类特有风险Anthropic 在白皮书中将 Agentic System 的主要风险概括为几类它们已经超出了普通模型安全的范畴第一类提示注入与指令操纵。 直接提示注入是攻击者在用户输入中写入恶意指令更危险的是间接提示注入——攻击者把恶意指令藏在网页、邮件、文档、代码注释、RAG 知识库或工具返回内容中。用户可能完全看不见这些内容但 Agent 在处理外部数据时会把它们读进上下文并可能误认为这是应该执行的任务指令。Microsoft Research 提出的 Spotlighting 技术通过明确标记不可信内容可以将间接提示注入攻击成功率从超过 50% 降到 2% 以下。第二类权限扩散与越权操作。 一个拥有高权限的 Agent 把权限传递给低权限子 Agent就可能造成权限扩散。第三类工具链攻击。 Agent 调用的第三方工具或 MCP 服务器可能被篡改或替换导致 Agent 执行恶意操作。第四类记忆投毒。 拥有长期记忆的 Agent 如果被投毒风险可能持续影响未来的决策。第五类级联失效。 多 Agent 协作系统中一个 Agent 的异常输出可能被下游 Agent 放大导致系统性故障。三、安全架构设计三层网关与六层围栏3.1 “三层网关”管控体系启云方提出的“三层网关”架构是目前企业级 AI 平台安全管控中结构最清晰的设计之一第一层身份网关。 对企业内所有 AI 智能体实行注册制管理核验身份与准入权限管控未备案的“影子 AI”。这一层的核心价值是解决“谁在调用 AI、调用了什么”的可见性问题。第二层AI/模型网关。 在智能体运行过程中对 Skills、MCP、大模型交互行为全程审计全方位监控交互内容实时拦截违规操作防止核心数据破坏、敏感信息泄露。这一层是安全管控的核心需要同时具备实时检测和阻断能力。第三层作业网关。 对 AI 对接生产系统、数据库的操作进行细颗粒度权限管控禁止越权操作。写操作必须经过 Human-in-the-loop 审批门禁所有操作全程留痕可追溯。3.2 “六层围栏”纵深防御在网关之下需要构建覆盖“身份、主机、网络、应用、数据、模型”六层围栏的纵深防御体系。腾讯的实践提供了另一个维度的参考第一道技术防线为智能体构筑“安全沙箱”清晰划定系统资源访问边界实时拦截异常操作第二道管理防线实行敏感操作逐项授权机制所有操作全程留痕可追溯数据不经第三方中转第三道合规防线聚焦第三方技能供应链安全严格执行“预检—分析—跟踪—处置—审计”五步闭环对高安全等级客户提供物理级隔离专享环境。这套架构的落地效果如何启云方的实测数据显示90% 的安全日志可由智能体自动分析过滤大幅降低误报消耗的人力复杂安全事件的分析研判时长从约 2 小时压缩至 10 分钟。3.3 零信任与最小权限原则AI Agent 的安全架构必须遵循零信任的核心原则不要默认 Agent 是可信的不要默认它理解了真实意图不要默认它调用工具一定合理不要默认它的记忆没有被污染也不要默认它持有的权限不会被滥用。具体落地时最小权限原则需要做到为每个 Agent 函数或插件定义功能清单明确列出允许的操作如只读访问、特定 API 调用其他所有操作默认拒绝。同时配置持续监控检测异常 API 调用或过度查询速率等行为。完整的端到端日志记录应覆盖身份、角色、范围、工具、动作、关联 ID使得在安全事件发生时能够快速重建事件链、确认归属和包含边界。四、核心安全能力建设4.1 AI 安全网关AI 安全网关是三层网关架构中的核心组件定位在 AI 应用与 LLM API 之间承担协议适配、安全检测、数据脱敏、流量管控四项核心职责。ZStack 为国金证券建设的 AI 应用网关是一个金融行业的标杆案例。该网关深度支持 MCP 行业标准具备 HTTP-to-MCP 转换能力通过统一凭据脱敏保护、细粒度动态授权及高并发流量控制完全契合证券行业对数据安全与合规治理的严苛标准。其设计理念是“业务系统负责处理、助手负责交互、网关负责管理”的解耦架构。在技术实现层面AI 安全网关需要具备以下核心能力Prompt 注入检测。 基于启发式规则 熵评分的方法可以在 3ms 内完成检测。Grizzly Guard AI 的实现显示完整的网关管道注入检测 PII 脱敏 JSON 修复 Schema 校验可以在 5ms 内完成相比基于 LLM 的检测方案800ms-2000ms快 99.7%。PII 脱敏。 在请求到达 LLM 之前自动识别并脱敏个人身份信息、API 密钥、财务数据等敏感内容。这一层必须在网关处完成因为数据一旦发送到模型端就无法撤回。输出校验。 对 LLM 返回的内容做 JSON Schema 校验、敏感信息二次检测、格式修复。4.2 模型供应链安全AI 供应链安全在 2026 年成为一个独立的议题。中国工程院院士云晓春在 2026 年国家网络安全宣传周上指出相比于传统的软件供应链AI 供应链多出三类动态风险。八国网络安全机构联合发布的 AI/ML 供应链风险与缓解指南定义了六个供应链组件训练数据、模型权重与适配器、软件依赖链、第三方服务、部署基础设施、以及人员。核心缓解措施包括AI 物料清单AI BOM 用于追踪所有组件的来源和版本密码学完整性验证用于确保模型在传输和存储过程中未被篡改。在技术实现上模型签名与验证是关键环节。核心思路是计算模型在训练后或训练过程中的完整性哈希对哈希进行密码学签名在加载模型时进行硬件级别的认证验证并将验证结果写入密封的审计账本。4.3 数据安全与隐私保护大模型的数据安全需要覆盖从训练到推理的全生命周期。等保 2.0 的 AI 安全扩展要求中训练阶段需落实“数据全生命周期保护”要求明确数据来源审查、脱敏处理、质量核验的具体标准推理阶段需对接“输出安全管控”要求设定有害内容识别、偏见检测的管理规则。数据安全的核心实践包括实施短保留策略在数据不再需要时立即删除或匿名化最小化暴露窗口对原始数据及其衍生资产如嵌入向量和备份执行一致的保留和擦除策略。在生成式 AI 系统的密码应用方面2026 年 8 月发布的《生成式人工智能系统密码应用指引》提出了适配全生命周期的密码应用技术指引要求落实《密码法》《数据安全法》等相关法律法规要求。4.4 安全评估与红队测试微软云安全基准 v2 将持续 AI 红队测试列为 AI 安全的核心控制项。红队测试需要覆盖提示注入AML.T0051、数据泄露AML.T0057、外部危害AML.T0048等 MITRE ATLAS 定义的威胁类型。工具方面PyRITPython Risk Identification Tool是微软开源的生成式 AI 红队测试工具将编排攻击、发送请求、判定结果、记录过程全部自动化人工只负责出创意和做判断。promptfoo 是另一个值得关注的开源 CLI 和库支持自动化红队测试和渗透测试。Basilisk 提供了 32 个攻击模块覆盖 OWASP LLM Top 10支持遗传 Prompt 进化和差分扫描。企业大模型接入前的安全评测框架建议采用“通用攻击 行业场景 企业私有流程”三层结构组织红队样本。评测结果不应停留在报告层面而应转化为输入输出检测、策略引擎、权限校验、人工复核、审计日志和样本回流机制形成上线前验证与上线后治理的闭环。五、合规框架NIST AI RMF 与等保 2.05.1 NIST AI RMF 四步实施法NIST AI 风险管理框架AI RMF 1.0包含四个核心功能Govern治理、Map映射、Measure度量、Manage管理 19 个类别和 72 个子类别。NIST 期望组织构建一个“profile”——即选择的子集而不是实现所有内容。Govern 是跨领域的也是最常见的失败点。 没有明确的决策者能够说“不”其余部分就变成了“文档剧场”。Govern 层需要产出三份核心制品一份 AI 政策声明允许和禁止的用途、谁批准新系统、未经批准部署的后果一个决策论坛风险委员会或专门的 AI 审查委员会以及一份 RACI 矩阵明确 AI 风险的问责高管。AI 系统清单是硬性前提。 你无法对没人发现的系统进行风险映射而未经批准的“影子 AI”工具正是意外风险最多的地方。Measure 只有在指标可重复时才有效。 选择一小组可以在每次模型或 Prompt 变更时重新运行的指标。AI RMF 是不可认证的。 如果需要向客户或监管机构提供证明需要搭配 ISO 42001 或 EU AI Act 的义务要求。5.2 等保 2.0 对 AI 平台的合规要求等保 2.0 新增了 AI 安全扩展要求。明确将 AI 系统纳入等级保护范围新增模型安全、数据安全、访问审计等专门控制点。关键的合规要求包括模型安全。 平台上线前应按照《生成式人工智能服务安全基本要求》等标准通过人工抽检、关键词检测或分类模型检测等方式对模型生成内容开展安全评估覆盖政治敏感、暴力恐怖、色情低俗、虚假信息、歧视偏见等风险类别生成内容的抽样合格率应不低于 90% 。从应拒答和非拒答测试题库中分别随机抽取不少于 300 条测试题进行拒答能力测试对应拒答问题的拒答率应不低于 95%对非拒答问题的拒答率应不高于 5% 。计算环境隔离。 等保 2.0 要求虚拟机级或物理机级隔离传统容器共享宿主机内核的方案在逃逸风险上存在天然短板难以通过等保三级审计。重大风险一票否决。 若大模型存在未经隔离的提示词注入漏洞将触发一票否决直接判定系统不符合要求。天融信为长春黄金研究院建设的智算云安全底座是一个通过等保三级验证的标杆案例。该方案基于全栈国产化算力底座采用算力调度与安全一体化设计搭建覆盖网络边界、算力平台、模型接口、数据资产的内生安全防护体系。落地后模型对外接口攻击面缩减 90% 以上敏感内容识别拦截准确率超 95% 同时通过高速网络安全调优把分布式推理性能损耗控制在 5% 以内满足等保三级及行业保密规范要求。六、项目落地实施路线图阶段一安全评估与规划第 1-3 周产出物AI 系统清单、风险评估报告、安全范围声明。核心动作盘清所有 AI 系统的使用情况包括已批准的系统和“影子 AI”。对每个系统进行数据流分析——调大模型 API 时传出去的字段有哪些、哪些是个人信息、哪些是敏感信息、哪些出境了。绘制数据流图识别关键风险点。参照 NIST AI RMF 的 Govern 和 Map 功能建立 AI 政策框架明确允许和禁止的用途。指定 AI 风险的问责高管。这一步不要贪多——先覆盖 2-3 个高风险系统而不是试图一次覆盖所有 AI 应用。阶段二安全能力部署第 4-8 周产出物AI 安全网关上线、Agent 身份注册、最小权限配置、日志审计系统。核心动作部署 AI 安全网关实现 Prompt 注入检测、PII 脱敏、输出校验三项核心能力。将企业内部所有 AI Agent 纳入注册制管理。为每个 Agent 定义功能清单实施最小权限原则。配置集中式日志系统记录所有 Agent 操作API 调用、数据访问、执行上下文。如果使用第三方模型或组件建立 AI BOM物料清单对模型权重进行完整性验证确保供应链安全。阶段三红队测试与评估第 9-12 周产出物红队测试报告、安全基线指标、修复计划。核心动作使用 PyRIT、promptfoo 等工具开展自动化红队测试覆盖 OWASP LLM Top 10 威胁类型。采用“通用攻击 行业场景 企业私有流程”三层结构组织测试用例。对测试结果进行分级制定修复优先级。完成等保 2.0 要求的模型安全评估——生成内容抽样合格率不低于 90%拒答率测试达标。如果目标是等保三级需要确保计算环境隔离方案满足虚拟机级或物理机级隔离要求。阶段四安全运营与持续迭代第 13 周起产出物安全运营中心SOC、事件响应流程、持续监控指标。核心动作建立 AI 安全运营中心将 AI 平台的安全事件纳入统一的安全运营体系。微软在 2026 年 Black Hat 上展示了将 AI Agent 与 SIEM 整合的 Agentic SOC 架构通过统一上下文缩短响应路径同时坚持人类决策核心地位。建立持续红队测试机制将安全测试集成到 CI/CD 管道中。每次模型更新或 Prompt 变更后自动运行回归测试。建立 AI 事件响应计划覆盖 AI 系统自身的泄露事件。七、写在最后回到标题融合安全能力的 AI 平台建设与项目落地实施核心是什么一句话回答用零信任替代边界信任用三层网关替代单点防护用全生命周期管理替代上线前检查用持续红队测试替代一次性评估。2026 年的 AI 安全已经不是一个“加装防火墙”的问题。腾讯构建了覆盖模型、数据、权限与应用的多维内生安全体系启云方用“三层网关、六层围栏”构建了可观测、可追溯的治理框架天融信围绕“平台可信、行为可控、数据可管、防护有效”四条路径贯通全生命周期。这些实践的共同指向是安全能力必须内嵌到 AI 平台的架构中而不是作为外挂组件事后添加。对于正在规划 AI 平台建设的企业最重要的建议是在写第一行代码之前先完成安全评估和数据流分析。 安全不是项目尾声的“合规检查”而是项目起点的“架构决策”。选错了架构后面补再多安全组件也补不回来。如果这篇文章帮你理清了融合安全能力的 AI 平台建设路径欢迎点赞收藏。