近期Gartner发布2026中国网络安全技术成熟度曲线 ，将“代理型AI网络安全”列为新增技术 。赛迪顾问也指出 ，随着人工智能从内容生成走向任务执行 ，AI智能体安全将成为AI规；τ玫闹匾∧芰 。从bifa必发集团的观察看 ，这种转变给数据安全带来了哪些新挑战？
薛恺：AI智能体从“对话生成”演进到“任务执行”最核心的变化 ，是AI从“信息处理者”变成了“行动主体” 。过去我们讨论生成式AI安全 ，更多关注输入了什么、模型回答了什么；进入AI智能体时代以后 ，真正需要被约束的是AI智能体能代表谁、能访问什么、能调用什么工具 ，以及最终能执行什么动作 。
这会直接带来几类变化 。首先 ，访问主体变了 。企业里不再只有自然人和应用账号 ，还会大量出现AI智能体、模型服务、MCP服务、插件等新主体 。其次 ，访问路径变了 。传统访问往往是相对固定的“用户—终端—应用—数据” ，而AI智能体会根据任务动态选择模型、知识库、API、数据库和工具 ，路径临时生成 ，甚至会连续多跳调用 。同时 ，权限的含义也变了 。过去给一个账号授权 ，边界相对明确；现在同一个AI智能体可能在不同任务中代表不同的人、调用不同工具 ，静态授权很难覆盖这种上下文变化 。如此一来 ，风险判断必须从单点事件走向全过程 。单看一次SQL、一次API调用或者一次模型输出 ，都可能没有问题 ，但把“谁发起—AI智能体如何理解—调用了什么—访问了哪些数据—最后输出或执行了什么”串起来 ，风险才真正显现 。
所以AI智能体数据安全不能只做模型输入输出过滤 ，也不能简单复制传统IAM或DLP 。安全体系需要开始管理AI的身份、权限、工具、数据访问和行为链路 。这也是我们提出“AI资产看得清、AI身份分得清、AI访问管得住、AI风险识得准、AI行为可追溯”的原因 。
传统数据安全主要关注“人”和“系统”两类身份 。bifa必发集团今年提出了一个很有意思的新框架——将“智能体身份（AI Identity）”作为独立的风险主体 ，构建“人机智”三位一体的防护体系 。为什么要做这样的划分？从技术底层看 ，AI身份的访问行为与传统身份有哪些本质不同？为什么传统IAM和DLP的防护逻辑无法直接套用？
薛恺：bifa必发集团把身份拆成人类身份（HI）、非人类身份（NHI）、智能体身份（AII） ，并不是为了增加一个新名词 ，而是因为这三类主体的行为逻辑确实不同 。
人类身份（HI） ，核心特征是“人直接做决定” ？⑷嗽薄⒐芾碓薄⑼獍嗽钡仍惫ざ加邢喽悦魅返淖橹槭簟⒏谖恢霸鸷驮鹑沃魈 ，很多安全控制都可以围绕人、角色和岗位展开 。
非人类身份（NHI） ，包括服务账号、API Key、Token、脚本和应用账号 。它们不是自然人 ，但行为通常由程序规则驱动 ，调用频率更高、持续时间更长 ，主要问题是凭证泄露、权限过大、长期无人治理 。
智能体身份（AII）则不同 ，AI智能体具备感知、推理、规划、工具调用和任务执行能力 ，它不是简单按照固定脚本逐条执行 ，而是可能根据上下文重新选择路径、拆分任务、组合工具 。这种“任务驱动的动态链路” ，是传统身份体系最难处理的部分 。
传统IAM擅长回答“谁可以访问什么” ，但面对AI智能体 ，还必须继续回答几个问题：是谁在驱动这个AI智能体 ，AI智能体此刻代表谁行动 ，它以什么运行身份执行 ，调用了哪些工具 ，最终访问了哪些数据 。也就是说 ，AI身份实际上是主体身份、运行身份、授权身份、工具身份和责任身份叠加形成的复合身份 。
DLP也类似 。传统DLP更擅长识别敏感内容是否被复制、上传或外发 ，但AI的数据流动可能发生在知识检索、上下文拼接、模型推理、工具调用和结果生成等多个环节 。如果只盯最终输出 ，很容易错过前面的越权访问和中间链路 。因此 ，对AI的防护不能停在“账号是否合规”或“内容是否敏感” ，还要把身份、上下文、工具、数据和行为关联起来 。
从您的观察看 ，企业在实际落地AI应用时 ，哪几个风险场景最容易“踩雷”？从实际行业案例看 ，哪些风险场景在政企客户中已经真实发生 ，且传统安全工具无法覆盖？请分享具体的案例 。
薛恺：现在企业真正容易出问题的 ，不一定是模型本身 ，而是 AI智能体接入业务和数据之后产生的新链路 。在项目交流和方案落地中 ，我们发现有这几类高频问题 ，这也正是bifa必发集团即将正式发布的“AI数据安全一体化平台”重点致力解决的方向 。
知识库越权 。企业把内部制度、客户信息、业务资料接入AI助手以后 ，AI能检索到的数据范围往往比当前提问人的权限更大 。如果检索阶段没有继承原有数据权限 ，模型回答本身可能没有“违规动作” ，但它已经把用户本不该看到的内容重新组织并输出了 。
自然语言转SQL 。用户只说一句“把最近三个月的客户数据整理出来” ，系统可能自动生成SQL、调用数据库并返回结果 。这里的风险不只是SQL是否正确 ，还包括查询范围是否过大、是否命中敏感字段、是否形成批量导出 ，以及这个操作究竟应该归责给发起人、AI还是背后的服务账号 。传统数据库审计能看到SQL ，却未必知道这条SQL是由哪个AI任务、哪段自然语言意图触发的 。
工具和MCP调用失控 。AI智能体一旦拥有邮件、文件、数据库、API或自动化工具权限 ，一个被污染的上下文或者错误指令 ，可能进一步触发查询、修改、发送等动作 。单独看每次调用都可能是合法接口 ，风险来自调用组合和任务上下文 。
敏感数据进入外部AI 。员工把文件、代码、报表直接交给外部 AI 工具处理 ，传统终端侧可能只看到一次网页访问或文件上传 ，却不知道这些内容进入了什么模型、用于什么任务、是否会继续被加工和传播 。
这也是我们现在特别强调的一点：AI安全已经不能只问“模型说了什么” ，还要追问“AI代表谁做了什么、碰了什么数据、调用了什么工具、结果去了哪里” 。
“AI资产看得清、AI身份分得清、AI访问管得住、AI风险识得准、AI行为可追溯” ，这个链条中 ，最大的挑战是什么？
薛恺：AI智能体安全从“管账号”升级到“管行为” ，最大的挑战不是“识别身份”或者“记录行为”本身 ，而是把身份和行为真正关联起来 ，并且放回业务上下文里判断 。
单独识别一个AI智能体、一个Token、一个服务账号 ，技术上可以解决；记录API、SQL、工具调用和模型输入输出 ，也并不陌生 。难点在于现实中的一条AI任务链往往跨越多个对象：一个自然人发起请求 ，AI应用调用模型 ，模型再调用MCP工具 ，工具通过服务账号访问API或数据库 ，最后结果又经过模型加工后返回 。如果这些日志仍然分散在不同系统里 ，安全人员看到的只是一堆彼此孤立的事件 。
所以我们更关注“上下文关联” 。平台需要把用户身份、AI身份、运行账号、工具、API、数据库、敏感数据、访问时间、调用路径和最终输出关联到同一条任务链上 。在这个基础上 ，再判断它是否符合当前人的权限、当前 AI 的业务用途、当前任务的合理范围 ，以及历史行为基线 。只有这样 ，才能识别出“每一步都合法 ，但组合起来越界”的风险 。
这也是从“管账号”到“管行为”的真正变化 。传统IAM更偏向访问前的静态授权；AI身份治理要覆盖访问前、访问中和访问后：访问前确认身份和信任状态 ，访问中根据上下文做动态授权、脱敏、限频和阻断 ，访问后把输入、输出、数据访问和工具调用形成完整证据链 。最终目标不是多收集日志 ，而是让一次AI行为能够被解释、被追溯 ，也能够被处置 。
据“AI 数据安全一体化平台”材料介绍 ，该平台提到身份准入层、访问控制层、内容安全层、行为审计层、风险运营层等五层防护模型 。这五层是像“洋葱”一样层层包裹 ，还是更像一个联动的“神经网络”？在实际部署中 ，企业最常从哪一层开始切入？
薛恺：这五层防护模型 ，可以理解成一个安全体系 ，因为AI智能体的风险不会按层发生 ，真正有效地控制一定是跨层联动的 。
身份准入层解决的是“这个访问主体到底是谁、当前环境是否可信”；访问控制层继续判断“它现在可以访问什么数据、什么API、什么工具”；内容安全层关注输入和输出里有没有敏感信息、恶意指令或不合规内容；行为审计层把整个过程记录下来 ，并识别异常路径和行为；风险运营层则把前面产生的身份、权限、内容和行为信息重新关联 ，形成告警、工单、审批、阻断、复盘和策略优化 。
五层之间不是串行结束 ，而是持续反馈 。比如行为审计发现某个AI智能体在短时间内连续扩大查询范围 ，这个风险可以反向影响它的信任评分 ，访问控制层随即收紧权限或降低访问频率；如果内容安全识别到高敏数据 ，策略又可以触发动态脱敏或审批 。这里真正重要的是策略能够随着上下文变化 ，而不是预先写死一套规则 。
从实际建设看 ，企业通常不会一开始就追求五层全部到位 ，更现实的做法是先从“看清楚”开始：盘点AI应用、Agent、模型、MCP、知识库、API和工具 ，把身份与访问关系建立起来 ，再优先治理越权访问、敏感数据调用、工具滥用等高风险场景 ；∈菀坏┙ ，后面的动态控制和风险运营才有可靠依据 。
您认为AI的普及对数据安全市场带来了哪些结构性的变化？
薛恺：AI对数据安全市场的影响 ，可以理解为“安全边界被重新画了一遍” ，而不只是增加一个新的产品品类 。
首先 ，身份治理会发生明显变化 。以前企业最关心的是员工账号、管理员账号和应用账号；接下来AI智能体、模型服务、MCP服务、插件和自动化任务会快速增加 。企业必须建立AI身份的登记、授权、运行、变更、停用和责任归属机制 ，而且授权方式会从静态角色逐步转向基于任务、上下文和风险的动态控制 。
其次 ，数据访问控制会从“系统到系统”进一步细化到“AI智能体到工具、工具到数据” 。API、MCP和各种工具调用会成为新的高频访问路径 。以后企业不仅要知道某个接口有没有被调用 ，还要知道由哪个 AI智能体、代表谁、为了什么任务、在什么上下文下调用 ，以及调用结果是否超出了最初的任务边界 。
与此同时 ，数据安全运营本身也会被AI重构 。现在很多安全运营仍然依赖人员在不同系统之间查日志、找资产、核身份、判断风险、写报告 。以bifa必发集团数据安全多智体为代表的安全智能体的价值 ，不是简单替代几个操作步骤 ，而是把资产、身份、风险、处置、审核和报告这些原本割裂的工作串成一个可持续协同的过程 ，把专家经验逐渐沉淀成可以被调用、复用和验证的能力 。
因此 ，我认为AI会给数据安全带来新的增长空间 ，但真正的变化不是“多卖一个AI安全产品” ，而是企业原有的数据安全能力必须重新适配AI成为访问主体和执行主体之后的新环境 。
据bifa必发集团数据安全多智体的资料介绍 ，该资料提出了七大智能体协同的架构 。从产品设计角度看 ，为什么要从“单一风险监测智能体”走向“多智体协同”？这个“AI数据安全一体化平台”具体是怎么应用的？
薛恺：我们最早思考AI在数据安全的应用时 ，是从“风险监测智能体”开始的 ，因为这是最直观的价值：把大量日志交给AI ，帮助安全人员发现异常、解释原因 。但真正做下去以后发现 ，单一风险智能体很快会遇到天花板 。它要判断一次访问是不是风险 ，必须知道资产敏感度、身份归属、已有权限、历史行为；判断完以后 ，还涉及审核、处置、复盘和报告 。也就是说 ，风险研判天然依赖一整套上下文 ，不可能长期靠一个“大而全”的 Agent 独立完成 。
因此我们把数据安全运营拆成七类相对明确的专业角色：资产智能体负责资产发现、目录和画像；身份智能体负责身份识别、关联、动态鉴权和异常身份发现；风险监测智能体负责上下文关联、行为分析和风险识别；响应智能体负责风险汇聚、处置建议和反馈闭环；审核智能体负责SQL、API等高风险操作的语义审查与策略建议；报告智能体负责运营、监管和专项报告生成；安全专家智能体则连接产品、合规、行业经验和处置知识 ，为其他智能体和安全人员提供专业判断依据 。
在AI数据安全一体化平台里 ，这些智能体不是七个聊天窗口 ，而是建立在同一套安全数据底座和知识库之上的协同角色 。比如风险智能体发现某个 AI 身份异常访问敏感字段 ，可以调用身份上下文确认责任主体和权限边界 ，再由安全专家智能体补充风险解释 ，审核智能体判断相关操作是否满足策略 ，响应智能体给出处置路径 ，最后由报告智能体沉淀为事件报告和运营结果 。
信息来源：信息安全与通信保密杂志社
浙公网安备 33010502006954号
浙ICP备12021012号-1
