近期Gartner发布2026中国网络安全技术成熟度曲线，将“代理型AI网络安全”列为新增技术。赛迪顾问也指出，随着人工智能从内容生成走向任务执行，AI智能体安全将成为AI规模化应用的重要基础能力。从美创的观察看，这种转变给数据安全带来了哪些新挑战？
薛恺：AI智能体从“对话生成”演进到“任务执行”最核心的变化，是AI从“信息处理者”变成了“行动主体”。过去我们讨论生成式AI安全，更多关注输入了什么、模型回答了什么；进入AI智能体时代以后，真正需要被约束的是AI智能体能代表谁、能访问什么、能调用什么工具，以及最终能执行什么动作。
这会直接带来几类变化。首先，访问主体变了。企业里不再只有自然人和应用账号，还会大量出现AI智能体、模型服务、MCP服务、插件等新主体。其次，访问路径变了。传统访问往往是相对固定的“用户—终端—应用—数据”，而AI智能体会根据任务动态选择模型、知识库、API、数据库和工具，路径临时生成，甚至会连续多跳调用。同时，权限的含义也变了。过去给一个账号授权，边界相对明确；现在同一个AI智能体可能在不同任务中代表不同的人、调用不同工具，静态授权很难覆盖这种上下文变化。如此一来，风险判断必须从单点事件走向全过程。单看一次SQL、一次API调用或者一次模型输出，都可能没有问题，但把“谁发起—AI智能体如何理解—调用了什么—访问了哪些数据—最后输出或执行了什么”串起来，风险才真正显现。
所以AI智能体数据安全不能只做模型输入输出过滤，也不能简单复制传统IAM或DLP。安全体系需要开始管理AI的身份、权限、工具、数据访问和行为链路。这也是我们提出“AI资产看得清、AI身份分得清、AI访问管得住、AI风险识得准、AI行为可追溯”的原因。
传统数据安全主要关注“人”和“系统”两类身份。美创今年提出了一个很有意思的新框架——将“智能体身份（AI Identity）”作为独立的风险主体，构建“人机智”三位一体的防护体系。为什么要做这样的划分？从技术底层看，AI身份的访问行为与传统身份有哪些本质不同？为什么传统IAM和DLP的防护逻辑无法直接套用？
薛恺：美创把身份拆成人类身份（HI）、非人类身份（NHI）、智能体身份（AII），并不是为了增加一个新名词，而是因为这三类主体的行为逻辑确实不同。
人类身份（HI），核心特征是“人直接做决定”。开发人员、管理员、外包人员等员工都有相对明确的组织归属、岗位职责和责任主体，很多安全控制都可以围绕人、角色和岗位展开。
非人类身份（NHI），包括服务账号、API Key、Token、脚本和应用账号。它们不是自然人，但行为通常由程序规则驱动，调用频率更高、持续时间更长，主要问题是凭证泄露、权限过大、长期无人治理。
智能体身份（AII）则不同，AI智能体具备感知、推理、规划、工具调用和任务执行能力，它不是简单按照固定脚本逐条执行，而是可能根据上下文重新选择路径、拆分任务、组合工具。这种“任务驱动的动态链路”，是传统身份体系最难处理的部分。
传统IAM擅长回答“谁可以访问什么”，但面对AI智能体，还必须继续回答几个问题：是谁在驱动这个AI智能体，AI智能体此刻代表谁行动，它以什么运行身份执行，调用了哪些工具，最终访问了哪些数据。也就是说，AI身份实际上是主体身份、运行身份、授权身份、工具身份和责任身份叠加形成的复合身份。
DLP也类似。传统DLP更擅长识别敏感内容是否被复制、上传或外发，但AI的数据流动可能发生在知识检索、上下文拼接、模型推理、工具调用和结果生成等多个环节。如果只盯最终输出，很容易错过前面的越权访问和中间链路。因此，对AI的防护不能停在“账号是否合规”或“内容是否敏感”，还要把身份、上下文、工具、数据和行为关联起来。
从您的观察看，企业在实际落地AI应用时，哪几个风险场景最容易“踩雷”？从实际行业案例看，哪些风险场景在政企客户中已经真实发生，且传统安全工具无法覆盖？请分享具体的案例。
薛恺：现在企业真正容易出问题的，不一定是模型本身，而是 AI智能体接入业务和数据之后产生的新链路。在项目交流和方案落地中，我们发现有这几类高频问题，这也正是美创即将正式发布的“AI数据安全一体化平台”重点致力解决的方向。
知识库越权。企业把内部制度、客户信息、业务资料接入AI助手以后，AI能检索到的数据范围往往比当前提问人的权限更大。如果检索阶段没有继承原有数据权限，模型回答本身可能没有“违规动作”，但它已经把用户本不该看到的内容重新组织并输出了。
自然语言转SQL。用户只说一句“把最近三个月的客户数据整理出来”，系统可能自动生成SQL、调用数据库并返回结果。这里的风险不只是SQL是否正确，还包括查询范围是否过大、是否命中敏感字段、是否形成批量导出，以及这个操作究竟应该归责给发起人、AI还是背后的服务账号。传统数据库审计能看到SQL，却未必知道这条SQL是由哪个AI任务、哪段自然语言意图触发的。
工具和MCP调用失控。AI智能体一旦拥有邮件、文件、数据库、API或自动化工具权限，一个被污染的上下文或者错误指令，可能进一步触发查询、修改、发送等动作。单独看每次调用都可能是合法接口，风险来自调用组合和任务上下文。
敏感数据进入外部AI。员工把文件、代码、报表直接交给外部 AI 工具处理，传统终端侧可能只看到一次网页访问或文件上传，却不知道这些内容进入了什么模型、用于什么任务、是否会继续被加工和传播。
这也是我们现在特别强调的一点：AI安全已经不能只问“模型说了什么”，还要追问“AI代表谁做了什么、碰了什么数据、调用了什么工具、结果去了哪里”。
“AI资产看得清、AI身份分得清、AI访问管得住、AI风险识得准、AI行为可追溯”，这个链条中，最大的挑战是什么？
薛恺：AI智能体安全从“管账号”升级到“管行为”，最大的挑战不是“识别身份”或者“记录行为”本身，而是把身份和行为真正关联起来，并且放回业务上下文里判断。
单独识别一个AI智能体、一个Token、一个服务账号，技术上可以解决；记录API、SQL、工具调用和模型输入输出，也并不陌生。难点在于现实中的一条AI任务链往往跨越多个对象：一个自然人发起请求，AI应用调用模型，模型再调用MCP工具，工具通过服务账号访问API或数据库，最后结果又经过模型加工后返回。如果这些日志仍然分散在不同系统里，安全人员看到的只是一堆彼此孤立的事件。
所以我们更关注“上下文关联”。平台需要把用户身份、AI身份、运行账号、工具、API、数据库、敏感数据、访问时间、调用路径和最终输出关联到同一条任务链上。在这个基础上，再判断它是否符合当前人的权限、当前 AI 的业务用途、当前任务的合理范围，以及历史行为基线。只有这样，才能识别出“每一步都合法，但组合起来越界”的风险。
这也是从“管账号”到“管行为”的真正变化。传统IAM更偏向访问前的静态授权；AI身份治理要覆盖访问前、访问中和访问后：访问前确认身份和信任状态，访问中根据上下文做动态授权、脱敏、限频和阻断，访问后把输入、输出、数据访问和工具调用形成完整证据链。最终目标不是多收集日志，而是让一次AI行为能够被解释、被追溯，也能够被处置。
据“AI 数据安全一体化平台”材料介绍，该平台提到身份准入层、访问控制层、内容安全层、行为审计层、风险运营层等五层防护模型。这五层是像“洋葱”一样层层包裹，还是更像一个联动的“神经网络”？在实际部署中，企业最常从哪一层开始切入？
薛恺：这五层防护模型，可以理解成一个安全体系，因为AI智能体的风险不会按层发生，真正有效地控制一定是跨层联动的。
身份准入层解决的是“这个访问主体到底是谁、当前环境是否可信”；访问控制层继续判断“它现在可以访问什么数据、什么API、什么工具”；内容安全层关注输入和输出里有没有敏感信息、恶意指令或不合规内容；行为审计层把整个过程记录下来，并识别异常路径和行为；风险运营层则把前面产生的身份、权限、内容和行为信息重新关联，形成告警、工单、审批、阻断、复盘和策略优化。
五层之间不是串行结束，而是持续反馈。比如行为审计发现某个AI智能体在短时间内连续扩大查询范围，这个风险可以反向影响它的信任评分，访问控制层随即收紧权限或降低访问频率；如果内容安全识别到高敏数据，策略又可以触发动态脱敏或审批。这里真正重要的是策略能够随着上下文变化，而不是预先写死一套规则。
从实际建设看，企业通常不会一开始就追求五层全部到位，更现实的做法是先从“看清楚”开始：盘点AI应用、Agent、模型、MCP、知识库、API和工具，把身份与访问关系建立起来，再优先治理越权访问、敏感数据调用、工具滥用等高风险场景。基础数据一旦建立，后面的动态控制和风险运营才有可靠依据。
您认为AI的普及对数据安全市场带来了哪些结构性的变化？
薛恺：AI对数据安全市场的影响，可以理解为“安全边界被重新画了一遍”，而不只是增加一个新的产品品类。
首先，身份治理会发生明显变化。以前企业最关心的是员工账号、管理员账号和应用账号；接下来AI智能体、模型服务、MCP服务、插件和自动化任务会快速增加。企业必须建立AI身份的登记、授权、运行、变更、停用和责任归属机制，而且授权方式会从静态角色逐步转向基于任务、上下文和风险的动态控制。
其次，数据访问控制会从“系统到系统”进一步细化到“AI智能体到工具、工具到数据”。API、MCP和各种工具调用会成为新的高频访问路径。以后企业不仅要知道某个接口有没有被调用，还要知道由哪个 AI智能体、代表谁、为了什么任务、在什么上下文下调用，以及调用结果是否超出了最初的任务边界。
与此同时，数据安全运营本身也会被AI重构。现在很多安全运营仍然依赖人员在不同系统之间查日志、找资产、核身份、判断风险、写报告。以美创数据安全多智体为代表的安全智能体的价值，不是简单替代几个操作步骤，而是把资产、身份、风险、处置、审核和报告这些原本割裂的工作串成一个可持续协同的过程，把专家经验逐渐沉淀成可以被调用、复用和验证的能力。
因此，我认为AI会给数据安全带来新的增长空间，但真正的变化不是“多卖一个AI安全产品”，而是企业原有的数据安全能力必须重新适配AI成为访问主体和执行主体之后的新环境。
据美创数据安全多智体的资料介绍，该资料提出了七大智能体协同的架构。从产品设计角度看，为什么要从“单一风险监测智能体”走向“多智体协同”？这个“AI数据安全一体化平台”具体是怎么应用的？
薛恺：我们最早思考AI在数据安全的应用时，是从“风险监测智能体”开始的，因为这是最直观的价值：把大量日志交给AI，帮助安全人员发现异常、解释原因。但真正做下去以后发现，单一风险智能体很快会遇到天花板。它要判断一次访问是不是风险，必须知道资产敏感度、身份归属、已有权限、历史行为；判断完以后，还涉及审核、处置、复盘和报告。也就是说，风险研判天然依赖一整套上下文，不可能长期靠一个“大而全”的 Agent 独立完成。
因此我们把数据安全运营拆成七类相对明确的专业角色：资产智能体负责资产发现、目录和画像；身份智能体负责身份识别、关联、动态鉴权和异常身份发现；风险监测智能体负责上下文关联、行为分析和风险识别；响应智能体负责风险汇聚、处置建议和反馈闭环；审核智能体负责SQL、API等高风险操作的语义审查与策略建议；报告智能体负责运营、监管和专项报告生成；安全专家智能体则连接产品、合规、行业经验和处置知识，为其他智能体和安全人员提供专业判断依据。
在AI数据安全一体化平台里，这些智能体不是七个聊天窗口，而是建立在同一套安全数据底座和知识库之上的协同角色。比如风险智能体发现某个 AI 身份异常访问敏感字段，可以调用身份上下文确认责任主体和权限边界，再由安全专家智能体补充风险解释，审核智能体判断相关操作是否满足策略，响应智能体给出处置路径，最后由报告智能体沉淀为事件报告和运营结果。
信息来源：信息安全与通信保密杂志社
浙公网安备 33010502006954号 
