Gartner 于 2026 年 4 月发布的研究显示，到 2028 年，25% 的企业 GenAI 应用程序将每年遭遇至少五次轻微安全事件。在这 25% 之外的组织，并非拥有最大安全预算的那些——而是在部署前就将代理 AI 治理作为架构决策的组织，而非在事故发生后才启动补救项目的组织。
本文梳理代理 AI 独有的四个攻击面、导致其可被利用的身份与访问管理失效，以及香港企业 IT 主管现在即可实施的治理步骤。
AI Agent 为何创造了全新的企业安全风险类别？
AI Agent 并非更智能的聊天机器人。它们是能够连接企业生产系统的自主软件执行者，在每一步操作无需人工批准的情况下采取行动，并可在单一工作流程中跨 CRM、ERP 和文件系统串联多个操作。这种自主性正是其生产力的来源，也是其构成根本不同于任何既往企业软件安全问题的根源。
传统企业安全建立在一个假设之上：每一个重要动作在执行前都有人工决策节点。AI Agent 打破了这一序列。一个能够访问 CRM、文档管理系统和电子邮件平台的代理，可以在没有任何人工决策节点的情况下，按序读取敏感数据、起草通信并更新记录。
根据麦肯锡 2026 年企业 AI 安全研究，80% 的组织已遭遇 AI Agent 的危险行为——包括未授权数据暴露和不当系统访问——而大多数组织尚未大规模部署代理。随着能力和连接范围扩大，风险敞口呈复合式增长。
企业 AI Agent 独有的四个攻击面是什么？
Gartner 的 2026 年网络安全分析识别出代理 AI 为企业环境引入的四个独特攻击面，每一个都没有传统软件安全中的直接对应物。
一、提示注入攻击。攻击者在代理 AI 预期处理的内容中嵌入恶意指令——客户电子邮件、文档或网页。代理无法区分合法指令与注入命令，以其完整的系统访问权限执行攻击者的指令。与针对数据库的 SQL 注入不同，提示注入直接针对 AI 模型的推理过程。
二、过度授权的代理身份。AI Agent 需要凭据才能连接企业系统。当这些凭据在部署时被赋予过多权限，一个被入侵的代理即成为拥有特权的内部威胁。Gartner 预测，到 2026 年底，AI 相关法律索赔将超过 2,000 宗，访问控制失效是主要原因之一。
三、多代理信任利用。企业 AI 架构越来越多地涉及代理链——一个协调代理向专业子代理委派任务。当这些代理在没有独立验证的情况下相互信任对方的输出，链中较早被入侵的代理可以污染下游每个代理的输出。每增加一个代理，攻击面呈几何级数增长。
四、工具和 MCP 服务器供应链风险。AI Agent 通过工具和 MCP 服务器连接外部系统。未经审查的第三方工具或 MCP 连接器可能包含恶意逻辑，在代理调用时执行——这是一个在执行路径中没有人工审查的供应链攻击向量。
AI Agent 如何导致身份与访问管理失效？
传统 IAM 为人类执行者设计：用户凭凭据进行身份验证，根据角色获得访问权限，其行为记录在其身份下。AI Agent 以现有 IAM 基础设施无法应对的方式打破了这些假设。
代理身份注册。大多数企业 IAM 系统没有非人类代理身份的原生概念。代理通常被赋予为批处理进程设计的服务账户凭据——没有会话上下文、没有行为基线，也没有自动失效机制。从 IAM 系统角度看，被入侵的代理与合法自动化进程无法区分。
凭据范围与生命周期。人类凭据通常在定期访问审查中被审核。代理凭据没有等效的生命周期管理。根据 Atlan 2026 年企业 AI 安全分析，代理部署中最常见的访问控制失效，是在部署时配置的凭据从未被重新审查——即使代理的任务范围随时间显著扩展。
操作归因与审计。IAM 审计日志捕获访问了什么。代理工作流需要归因决策了什么以及原因——这一日志层次需要专门构建的代理可观测性工具，而非标准 SIEM 基础设施。对于受监管机构监管的组织，这一归因缺口具有直接的合规影响。
香港《个人资料（私隐）条例》如何适用于 AI Agent 部署？
香港《个人资料（私隐）条例》适用于任何个人资料的处理——跨企业系统访问、汇总或处理个人资料的 AI Agent 须完全遵守其要求。个人资料私隐专员公署于 2026 年 3 月 16 日发出的专项警示明确指出：代理 AI 比普通 AI 聊天机器人带来更高的数据私隐风险，原因在于其能够在单一工作流程中自主访问多个系统中的个人资料。
代理 AI 部署最直接涉及三项条例原则。数据最小化原则要求代理仅访问其定义任务所需的个人资料。目的限制原则要求为一个目的收集的数据不得用于另一个目的。透明原则要求个人理解其数据如何被使用——跨多系统的代理工作流创造了标准隐私声明难以呈现的不透明性。
对香港企业主管的实际影响是：隐私合规审查现在必须包含专门的代理 AI 评估，与大多数组织已进行的一般 AI 工具审查分开进行。个人资料私隐专员公署已发出信号，执法关注度将随 2026 年 3 月警示之后提升。
Gartner 的企业 AI Agent 安全框架包含哪四个支柱？
Gartner 的 2026 年网络安全趋势报告将代理 AI 治理列为顶级企业安全优先项，并概述了以四个支柱为核心的治理方法：
支柱一：最小权限代理身份。每个 AI Agent 应仅被赋予完成其定义任务范围所需的最小凭据，并在与人类访问审查相同的周期内接受审查。代理不应对偶尔访问的系统持有常设凭据；即时访问配置是推荐模式。
支柱二：专门构建的代理可观测性。代理可观测性需要在推理层进行日志记录：代理收到了什么指令、调用了哪些工具、访问了哪些数据，以及每一步做出了什么决策。没有这一层，代理相关漏洞后的事故调查实际上无从进行。
支柱三：输入验证与输出核查。处理外部内容的 AI Agent 应通过清理层，检测并剥离潜在的提示注入有效负载。触发重要动作的代理输出，应在执行前通过验证步骤。
支柱四：工具和连接器的供应链治理。AI Agent 可调用的每一个工具、插件和 MCP 服务器，都应接受等同于任何具备生产系统访问权限的软件的供应商安全审查，包括开源连接器。
如何构建 AI Agent 安全态势？90 天行动路线图
以下路线图将 Gartner 框架和 PDPO 要求转化为序列化行动计划，可由 IT 总监或数字化转型主管在 90 天内执行。
第 1–30 天：清单与访问审计。识别企业内当前运行的所有 AI Agent，包括各业务部门的影子部署。对每个代理，记录其连接的系统、持有的凭据、凭据配置时间，以及是否曾进行过最小权限审查。此清单是后续一切工作的前提。
第 31–60 天：可观测性层与治理政策。部署捕获推理步骤、工具调用和数据访问模式的专用代理日志工具。起草 AI 代理访问治理政策，定义凭据配置标准、审查周期，以及扩展代理工具访问范围的审批流程。此政策在定稿前应由法律和合规部门审查，特别针对 PDPO 要求。
第 61–90 天：输入验证、输出控制与供应链审查。为处理外部内容的代理实施提示注入检测层。为跨越定义风险阈值的代理动作增加人工审查节点。对当前使用的所有第三方工具和 MCP 连接器进行安全审查，并为任何新连接器在生产部署前建立审查门禁。
懂AI，更懂你。UD 的团队具备 28 年企业安全和技术落地经验，协助香港组织系统性地构建这一能力——从评估现状到政策设计，再到技术实施，每一步清晰可执行。
强化企业 AI 安全 🛡️ 立即行动
UD 是值得信赖的託管安全服务供应商（MSSP）
拥有 28 年经验，已为超过 50,000 家企业提供解决方案
UD 团队手把手带你完成每一步——从 AI Agent 安全评估、治理政策设计，到渗透测试与全面 MSSP 覆盖。