Agent安全从概念到落地需要一条清晰的路线图——不是“先上线再补安全”，而是“安全与能力同步建设”。这份智能体安全研究报告给出了分阶段的落地路径：90天完成Agent清单盘点、建立最低安全基线、选择试点场景；180天部署控制平面核心组件（工具注册、策略引擎、审计日志）、建立评测流程、设置告警和响应机制；一年形成Agent安全控制平面，核心Agent接入统一控制，安全指标纳入业务绩效。从低风险、高频、可回滚任务开始，逐步扩大自治范围——这是让Agent安全规模化的唯一路径。
90天路线图——从看见到控制
完成Agent清单盘点
先看见才能治理。登记每个Agent的Owner、模型、工具、权限、数据域和风险等级。未登记Agent不得访问企业工具。清单是后续评测、审计和事故响应的基础。
Agent清单应至少包含：Agent名称与Owner、使用的模型、可调用的工具列表、权限范围、访问的数据域、风险等级（高/中/低）。这是Agent治理的第一道防线。
建立最低安全基线
每个工具声明用途、schema、权限、审批等级和失败模式。工具变更要走版本管理和安全评审，高风险工具默认不可见。策略引擎在工具调用前检查身份、任务、数据和动作。
不可信数据必须被标记和隔离，上下文应区分指令、用户意图和普通数据。长期记忆写入需要规则和可见性，记忆必须支持版本、删除和回滚。
180天路线图——控制平面部署
部署控制平面核心组件
Agent Safety Control Plane是横向基础设施，统一管理身份、工具、策略、审计和评测。核心组件包括：工具注册中心（每个工具声明用途、权限、风险标签）、策略引擎（工具调用前检查身份任务数据动作）、Action Ledger（记录每次工具调用参数结果批准人时间）。
沙箱执行要求强工具必须在隔离环境中运行，限制网络、文件系统、命令和资源。人工审批门要求高风险动作必须停下来，审批级别要匹配动作不可逆程度。
建立评测流程与告警机制
评测必须持续运行，而不是上线前一次性测试。注入红队要模拟恶意指令，工具调用评测要测试越权参数，数据泄露评测要测量外发中的泄露，记忆污染评测要测试恶意偏好写入。
把Agent日志接入SIEM和告警平台，监控工具调用频率、异常拒绝、数据外发和高风险审批。异常模式触发自动降级或暂停。
一年目标与优先试点
一年目标
形成Agent安全控制平面，核心Agent接入统一控制平面，高风险场景有独立评估和事故演练，安全指标纳入业务Agent绩效。安全指标和业务指标一起看——工具调用成功率、拒绝率、外发拦截量、审批通过率。
优先试点建议
从低风险、高频、可回滚任务开始。适合先做的是知识检索、工单分类、报告草稿、代码辅助测试。谨慎推进的是外发邮件、客户承诺、财务操作、生产变更。避免一开始就做高权限自治。
不是所有任务都适合自动化。资金、医疗、法律、身份权限和生产变更默认高风险。客户外发和公开发布也需要内容与授权控制。低风险任务先行，高风险任务后置。
最终判断
Agent能力会商品化，安全部署能力不会自动商品化。模型和框架会越来越易得，可规模化的权限、审计、评测和事故响应是组织能力。越早建立控制平面，越能更快释放Agent价值。有了权限、工具、沙箱和审计，Agent才能进入生产。竞争力来自安全地规模化行动能力。
