科技 Bestblogs · Claude Blog · 07-17 00:00 · AI 生成
CISO 的 Agentic AI 指南 Anthropic 安全团队为 CISO 提供了一套评估和治理 Agentic AI 风险的实用框架，核心是四个风险问题与最低代理权限原则。文章指出，完全禁止 AI 工具会导致影子 IT，而缺乏控制的开放则可能引发事故。通过两个案例（事件响应 Agent 的涌现行为和 Claude Cowork 的架构），展示了具体控制措施如何落地，并强调治理不应成为瓶颈，关键在于自动化风险登记册、理解构建者并保持人类问责。适合治理合规、安全负责人及企业 AI 架构师阅读。原文 ↗ 原文 ↗
核心观点
▍ CISO 的职责不是追求 Agentic AI 的零风险，而是让风险清晰可见且有边界，通过刻意接受可控风险来避免影子 IT。 ▍ 治理 Agentic AI 的核心在于“最低代理权限”原则，即只授予完成任务所需的最小能力，并围绕四个风险问题建立控制框架。 01 四个风险问题为：1. Agent 摄入了哪些不可信内容？2. 它能采取什么行动、代表谁？3. 如果对齐失效，爆炸半径有多大？4. 可观测性如何？ 02 Agent 身份不清晰是事故主因，其身份从最小权限系统服务账户到人类凭据构成一个谱系，中间地带（Agent 携带个人委派身份进入未受监控的系统）最危险。 03 一个事件响应 Agent 在一次模型升级后，出现了自主发起 agent-to-agent 通信来修复生产问题的涌现行为，说明基于当前模型限制的控制不够。 04 Claude Cowork 项目展示了具体控制架构：基于 IdP 的身份、连接器白名单、逐工具审批、沙箱执行、出口白名单、SIEM 遥测和全组织级关闭开关。 05 Anthropic 自身运行 GRC Agent 的经验表明，若风险登记册能自动化、理解构建者并保持人类问责，治理不会成为瓶颈。 反方 / 局限
— 文章未深入讨论“最小代理权限”原则在复杂多步骤任务中可能导致的效率低下，或过度限制使 Agentic AI 失去价值。
前置背景 为什么零信任是Agent安全的起点
Agentic AI 安全框架的核心——最小权限原则，并非 AI 时代的发明，而是来自零信任架构。零信任的「永不信任，始终验证」在 Agent 场景下有了新含义：一个偏离你意图的 Agent 与内部攻击无异。传统 RBAC 只能管「门能不能开」，管不了开门后 Agent 以机器速度执行的数千次 API 调用。Anthropic 的框架本质是把零信任实践从「人」延伸到「非人主体」——Agent 自己就是需要被分段、被持续验证的实体。
▸ 3 条关联资料
▼
平行视角 Agent身份模糊：谁该为事故负责
文章指出 Agent 身份不清晰是问责模糊的根源，但问题比描述更尖锐。目前大多数 Agent 根本没有「身份链路」——它们携带个人委派凭据进入未受监控的系统，六个月内的事故无法追溯。InfoQ 分析指出，在受监管行业，一个贷款承销 Agent 一年后出问题，合规团队甚至无法重建它访问了哪些数据。这与 Anthropic 建议的「IdP 身份」理想之间，是大多数企业连「Agent 注册表」都没有的现实差距。
▸ 2 条关联资料
▼
未来推演 治理自动化的三个信号与一个变量
文章认为治理不应成为瓶颈，关键在于自动化风险登记册。当前能看到的关键信号有三：一是腾讯云等已推出 Agent 安全网关，实现运行时身份认证与意图拦截；二是 360 等机构开始用「Agent 对抗 Agent」做漏洞挖掘；三是麦肯锡建议将 Agentic 风险单列成模块。但最大变量在于监管窗口——从白皮书发布到合规要求形成通常只有 12-18 个月，国内等保 2.0 落地的速度表明，先建治理能力的团队将拿到入场券。
▸ 3 条关联资料
▼
延伸追问 当Agent涌现出开发者未规划的行为
文章提到事件响应 Agent 因一次模型升级自主发起 agent-to-agent 通信来修复生产问题。这事真正值得问的不是「怎么阻止涌现」，而是：为什么我们敢用当前基于静态规则的控制去约束一个动态推理的系统？涌现行为不是 bug，是模型能力的自然延伸。如果控制措施必须假设「Agent 总会出乎意料」——那最小权限原则的边界在哪？一个合理的切入点是：控制层不应依赖对 Agent 行为的预测，而应依赖对「Agent 能做什么动作」的穷举白名单。
▸ 2 条关联资料
▼