2026年6月27日，国家标准化管理委员会下达了一份不同寻常的标准计划。《智能体应用安全基本要求》计划号20263116-Q-252，由中央网信办提出，全国网络安全标准化技术委员会归口，中国移动通信集团、中国电子技术标准化研究院、国家计算机网络应急技术处理协调中心牵头起草，项目周期18个月。它被称为全球首部面向智能体安全的强制性国家标准。
标准管的是哪一类产品，公示信息写得很具体。在手机、平板、电脑、可穿戴设备等终端或云端部署，能够调用系统或本地工具执行操作的智能体应用，都在覆盖范围内。判断标准不是名字里有没有智能体，而是它能不能读文件、调接口、改数据、对外发请求。只会问答、不会执行的产品，不在这个清单上。
对正在采购或自建企业级 AI Agent 的团队来说，这是一个明确的信号。过去评估 Agent，常看模型效果、演示流畅度和报价。接下来还要多看一层，它出了错能不能被发现，被发现后能不能被拦住，拦住之后能不能还原现场。
一、强制国标立项，企业先看清三件事
第一件事，治理对象从说错话变成了做错事。聊天机器人主要产生内容，Agent 会获得行动权。它可以改代码、调用支付、控制设备、代表用户联系其他人。风险从一句话不合适，扩展到一件事做错了。
第二件事，软倡导正在变成硬约束。强制性国家标准与行业标准、团体标准、推荐性国标不同。标准目前还在研制阶段，检测认证体系也没有建立，现在谈谁已经通过认证没有依据。但一旦发布实施，它就会成为产品进入市场的法定门槛，过不了检测和准入审核，就不能面向公众提供。
第三件事，单点安全不够用了。Agent 要连接模型、工具、插件、知识库和业务系统，任何一个环节出问题，都可能沿着任务链放大。2026年6月9日，国家互联网应急中心就提醒过，部分智能体技能包以越狱、挖矿赚钱等名义传播，可能诱导模型突破安全限制，或者占用设备资源进行非法挖矿。Skill 来源审查和行为监控，已经是部署前的必答题。
行业里的判断也在趋同。微软 CEO 萨提亚·纳德拉在2026年10月10日发文提出，企业应把强大模型视为潜在的内部风险，假定它可能已经被攻破，并在模型之外建立紧急制动机制。Gartner 则预测，到2027年底，超过40%的智能体 AI 项目可能因为成本上升、商业价值不清晰或风险控制不足而被取消。安全不是项目上线后的补丁，而是项目能不能活下去的前提。
二、8 项安全清单，部署前逐项过一遍
标准公开的主要技术内容有八项，分别是身份标识、系统权限调用、工具调用、数据收集使用、高风险操作人工介入、输入输出安全防护、日志留存与动态监测、异常阻断与紧急关停。前四项管的是 Agent 以什么身份行动、能动什么、数据怎么走，后四项管的是出事前怎么拦、出事后怎么查、怎么停。
每项后面都附一个验收问题。答不上来，就先别急着上线。
1. 身份标识，先回答这个 Agent 是谁
给每个 Agent 一个唯一身份，不要多个实例共用一个账号，也不要用员工个人账号代替 Agent 身份。身份信息至少要能关联到所属租户、业务负责人、版本和当前任务。凭证要有有效期，任务结束或 Agent 停用后立即撤销。
验收问题只有一个，能不能在一分钟内说清某次操作是哪个 Agent 做的、受谁委托、跑的是哪个版本。说不清，后面的权限、审计和追责都无从谈起。
2. 系统权限调用，把最小权限做成默认值
把读、写、执行、支付、删除这几类权限拆开，默认拒绝，按任务临时授权，任务完成就收回。生产环境和测试环境要分开，不要让 Agent 长期拿着管理员权限跑。涉及批量数据、资金和系统配置的权限，尤其要单独审批。
验收时看两张表，一张是权限矩阵，一张是授权回收记录。再做一个动作，任务结束后立刻用旧凭证发起一次调用，确认它已经被拒绝。
3. 工具调用，先盘清 Agent 能碰哪些工具
把 Agent 可调用的 API、MCP 服务、Skills、浏览器、代码执行环境全部登记，形成工具清单。每个工具写清用途、负责人、可访问的数据范围和审批记录。默认只允许白名单内的工具，未知工具直接阻断。代码执行、网页操作这类高风险能力，要放进沙箱或容器里运行。
第三方插件是重点。来源不明、承诺自动赚钱、要求关闭安全限制的 Skill，不要接。工具参数也要校验，不能让 Agent 自己拼接一个超出授权范围的请求。
4. 数据收集使用，敏感数据不能靠提示词自律
先做数据分级，再谈 Agent 能读什么。客户个人信息、支付信息、密钥、合同和未公开的经营数据，要有字段级权限和脱敏规则。密钥、令牌原则上不写入长期记忆。数据流向要画得出来，从哪个系统读、经过哪个模型、存到哪里、什么时候删除，都要有记录。
如果使用外部模型或 SaaS 服务，还要确认数据是否会被用于供应商的模型训练，跨境传输是否符合规定。对于数据不能出域的企业，私有化部署往往是更现实的选择。
验收时看数据流图和字段权限，再看一次删除演练。说得出数据在哪，也删得掉，才算过关。
5. 高风险操作人工介入，哪些动作必须让人按下确认
企业要先列一张高风险操作清单。支付、退款、删除数据、修改权限、变更生产配置、批量导出客户信息、对外发布内容、代表企业作出承诺，这些动作不应该由 Agent 独立完成。中低风险操作可以授权执行，高风险操作必须转交人工接管。
审批系统异常、审批人无响应、找不到对应审批规则时，默认拒绝执行，不要默认放行。审批记录要防篡改、可校验，事后能还原是谁在什么时间批准了什么。
验收时做一次超时测试。让审批请求故意不响应，看 Agent 是停下来，还是绕过去继续执行。
6. 输入输出安全防护，别让外部内容变成指令
Agent 会读网页、邮件、文档、工单和聊天记录，这些内容里可能藏着提示词注入。系统要把指令和数据分开，把外部内容标记为不可信，限制它改变任务目标和工具调用的能力。输入侧做过滤，输出侧做校验，敏感信息、恶意链接和越权承诺要在发出前被拦住。
对外访问也要有边界。只允许 Agent 连接必要的域名和接口，避免它在被诱导后把数据发到未知地址。
验收时用恶意网页、带指令的文档和伪造邮件做一轮红队测试。记录哪些被拦住，哪些漏过去了，漏掉的原因是什么。
7. 日志留存与动态监测，出事后要能还原现场
日志不能只记录一句任务成功。文件操作、指令执行、网络连接、技能调用、工具参数、支付动作、人工审批，都要留下记录，并且用同一个任务标识串起来。日志要防篡改，访问权限要收紧，保存期限要满足监管、合同和内部追责的需要。《人工智能安全治理框架3.0》在智能体风险管理的建议中提出，日志留存不少于六个月，具体期限还要结合适用法律和数据最小必要原则确定。
监测要能发现异常，比如调用频次突然升高、访问了不该访问的目录、在短时间内批量导出数据、反复尝试被拒绝的工具。发现之后要能告警，告警之后要有人处理。
验收时随机挑一次历史任务，要求团队在半小时内还原完整链路。还原不了，日志就只是存储成本。
8. 异常阻断与紧急关停，必须有一个模型之外的开关
紧急关停不能依赖模型自己配合。开关要放在模型之外，由授权人员在任务执行过程中随时暂停或关闭 Agent。关停之后，还要能撤销凭证、隔离运行环境、回滚被修改的数据，并保留现场证据。
这项能力要演练，不能只写在制度里。每季度至少做一次关停演练，记录从发现异常到停止任务用了多久，从停止任务到恢复业务用了多久。演练中暴露的问题，要回到权限、日志和审批规则里修正。
三、把 8 项清单变成上线门槛
八项要求如果只停留在制度文件里，价值有限。更实际的做法，是把它们变成 Agent 上线前的四道门。
第一道门是资产盘点。把企业里正在运行的 Agent、试用的 Agent、员工私自接入的 Agent 全部找出来，登记负责人、业务场景、工具权限和数据范围。连资产都看不见，后面的治理无从下手。
第二道门是权限收敛。按最小权限重配账号，清理长期不用的授权，关掉不必要的公网入口，生产环境和测试环境彻底分开。
第三道门是安全测试。做提示词注入、越权调用、恶意 Skills、批量数据导出和审批绕过测试，把结果写成报告。测试不通过，不上线。
第四道门是应急演练。验证关停、撤销、隔离、回滚这条链路真的能走通，明确谁有权按下停止按钮，谁负责对外沟通，谁负责恢复业务。
采购第三方 Agent 时，还要把安全要求写进合同。至少写清四件事，重大变更的事前通知和回归测试，安全事件的通知与协作处置，日志和审计接口的开放范围，以及退出时的数据返还、删除和迁移协助。不要只写一句符合国家标准，标准还在研制，这种表述既无法验收，也无法追责。
组织上也要有人负责。业务负责人对场景和风险负责，安全团队定规则和做测试，法务看数据和合同，IT 负责身份、网络和终端。每个 Agent 都要有一个明确的责任人，不能挂在某个项目群里就算有人管。
四、现在就能做的四件事
第一，先建台账，不追求一步到位。用一个表格把 Agent 名称、负责人、工具、数据、权限和上线时间登记清楚，每周更新。
第二，先收权限，再谈扩展。把管理员权限、长期凭证和共享账号清掉，很多风险会立刻下降。
第三，先做一次红队测试。挑一个真实场景，用恶意文档、伪造邮件和越权指令试一遍，把问题记下来。
第四，先把停止按钮做出来。确认谁有权停、怎么停、停了之后怎么恢复，然后做一次演练。
企业级 Agent 平台的价值，也正在从能不能生成答案，转向能不能把身份、权限、审计和熔断做进运行时。ThinkingAI 的 Agentic Engine 支持私有化部署和多 Agent 协作，知识库通过 ChangeSet 机制让知识更新可追溯、可对比、可回滚。这些能力不能替代企业自己的安全制度，但能让制度有地方落地。Agent 管理也需要同样的思路，把权限控制、任务调度和运行监控放在平台层解决，而不是交给每个业务团队各自摸索。真正值得信任的系统，不是假设模型永远不出错，而是模型出错时，企业仍然有办法看见、拦住和恢复。
结语
标准还在研制，风险不会等标准发布才出现。对企业来说，这份国标最重要的价值，不是多了一份要读的文件，而是给了一套可以逐项检查的语言。身份、权限、工具、数据、人工介入、输入输出、日志、关停，八项拆开看都不新，难的是把它们连成一条可验证的链路。
现在就可以做一次小范围自查。挑一个正在运行的 Agent，问三个问题，它是谁，它能做什么，它出错时谁能让它停下来。三个问题都能答清楚，才谈得上规模化部署。
FAQ
这份国标现在已经生效了吗？
还没有。标准计划于2026年6月27日下达，项目周期18个月，目前处于研制阶段，检测认证体系也尚未建立。企业现在不适合对外宣称已经符合国标，但可以按八项技术内容提前做自查和改造。
只做问答的 AI 客服需要按这份清单自查吗？
要看它能不能执行操作。只回答问题、不读文件、不调接口、不改数据的产品，不在这次标准覆盖的智能体应用范围内。但只要它能查订单、改地址、退款、发消息，就已经具备行动能力，应该按清单管理。
8 项里最优先做哪几项？
先做身份标识、系统权限调用、高风险操作人工介入和异常阻断与紧急关停。这四项直接决定 Agent 能不能被识别、被限制、被叫停。日志和监测紧随其后，否则出了问题无法定位。工具、数据和输入输出防护再按业务场景逐步补齐。
采购第三方 Agent 时，合同必须写清什么？
写清变更管理、安全事件通知、日志与审计接口、数据使用与删除、退出协助和责任分配。尤其要约定重大变更前的通知和回归测试，避免供应商升级模型或工具后，企业的原有控制措施失效。
日志到底要留多久？
《人工智能安全治理框架3.0》给出的指导建议是不少于六个月。企业还要结合网络安全法、数据安全法、个人信息保护法、行业监管要求和合同约定确定。涉及支付、金融、医疗等高风险场景，期限通常需要更长，同时要遵守数据最小必要原则。
中小企业没有专职安全团队，怎么起步？
先从一张资产表和一张高风险操作清单开始。把 Agent 的负责人、工具、数据和权限登记清楚，把支付、删除、对外承诺这类动作收回到人手里。再借助平台自带的身份、权限、日志和关停能力，补上基础控制。不要一开始就追求大而全的安全平台。
