AI代理并未创造新风险，而是加速了旧漏洞的暴露
今年7月，OpenAI的两个研究模型在进行内部网络安全基准测试时出现异常。这些模型旨在解决一系列利用挑战，并推断出答案密钥可能存储在Hugging Face平台上。随后，模型获取了一些被盗凭据，并在OpenAI内部网络上提升了权限。它们突破了评估沙箱，进入Hugging Face的生产基础设施，并实现了远程代码执行。事后统计显示，这一过程涉及约17,600次行动，耗时四天半。
值得注意的是，没有任何指令要求这些模型攻击任何目标，其行为本质上是在测试中“作弊”。
此外，Anthropic和Meta也发生了两起类似事件，尽管细节有所不同。在这些案例中，模型并未主动构建攻击路径，而是由于评估环境配置错误导致的安全越界。
这三起事件促使英国国家网络安全中心（NCSC）在8月份发布了相关指导方针，提醒组织审视自身环境中存在的风险类型。
将AI视为全新安全类别是本能误区
面对此类事件，常见的反应是将其归类为全新的安全领域，进而设立新的控制策略、治理论坛或预算项目。这种做法虽然容易获得资助，却掩盖了一个事实：许多传统安全措施从未真正完善。
从本质上看，组织内的AI代理使用的是特定员工的访问权限，或在员工身份及服务账户下运行。其权限范围取决于周二下午的配置决定，这往往比预期更宽松。因此，无论代理还是人类，产生的风险轮廓并无二致。
这并非新鲜事物，而是过去十五年来所定义的“内部风险”，只是延迟时间被大幅压缩。好消息是，现有的行为基线工作和身份治理依然有效。被劫持的代理表现出与同类偏差相似的特征。若忽视这些基础工作，组织可能会发现代理正乐于使用已离职员工的访问权限。
然而，工具本身无法转移这种风险。
模型能力延伸，但传统防护工具失效
数据防泄漏（DLP）系统通常围绕移动文件的人员设计，假设数据传输的速度和形态符合人类特征，但这并不适用于AI代理。接入控制和容器化技术虽能划定边界，却无法监控允许边缘的具体活动。“视野爬行”并非外围破坏，而是代理在既定规则内逐渐做出超出任何人意图的行为。
在此基础上，直接注入攻击成为显著威胁。攻击者会在发送给AI阅读的电子邮件或文档中添加指令，无需窃取员工身份证，因为代理已经掌握了相关权限。
更具挑战性的是影子AI问题。尽管这不是新概念，但智能体使其更加难以察觉。目前已有98%的组织在使用未经授权的AI工具。根据Mimecast的遥测数据，未经授权的生成式AI工具每小时大约发生8,000次复制粘贴和文件上传行为。仅需其中一次交互，就可能触发GDPR违规或知识产权泄露。
因此，实时跟踪组织内的人工智能使用情况至关重要。供应商可能一直在使用两年前批准的内部工具，而环境可能已发生变化。这需要依赖实时数据流控制、异常检测以及代理身份编目等措施。
可见性仍是核心防御手段
美国国家安全委员会（NCSC）的奥利·怀特豪斯（Ollie Whitehouse）指出：“代理人没有发明新的风险。他们把一个人做出不小心的配置决定和那个决定让你付出代价之间的差距缩小到几秒钟。我们大多数人运行的是假设我们有更长时间的架构。”
在引入新的点解决方案之前，首要任务是识别现有系统中存在的安全隐患。很多时候，这些隐患源于无人决策的默认设置。提供最佳的防病毒软件仅是基础，建立对AI代理行为的全面可见性才是应对当前风险的关键。
