46万个OpenClaw实例暴露公网且27.2%存在高危漏洞、CVE-2026-25253可致远程接管、Anthropic监测到2.5万个欺诈账户实施2880万次模型蒸馏攻击——智能体交互的安全风险正在从“理论威胁”走向“现实攻击”。云计算开源产业联盟这份报告提出了“可识别、可授权、可管控、可审计、可追责、可协同”六大目标为核心的治理框架，从接入前、运行中到事后审计构建三层防护体系。
四大核心风险——身份权限、数据流转、链路异常、生态安全
主体身份与交互权限风险方面，全球已有46万个OpenClaw实例暴露公网，约27.2%存在高危安全漏洞。2025年6月SupabaseMCP安全风险验证显示，攻击者可利用特权服务角色在客服工单中嵌入隐藏指令诱导智能体外泄敏感集成令牌。Ollama默认配置未授权访问风险暴露了去中心化部署场景下身份标识不统一的难题。
数据流转与内容污染风险方面，EchoLeak零点击漏洞（CVE-2025-32711，CVSS评分9.3）可窃取聊天历史记录与Microsoft Graph资源。“PoisonedRAG”研究显示攻击者仅需在百万级知识库中注入5篇污染文档即可操控90%以上查询答案。美国众议院因数据泄露风险禁止国会工作人员使用Microsoft Copilot商业版本。
链路异常与责任追溯风险方面，Cline供应链攻击波及约4000台开发者机器。Microsoft 365 Copilot审计日志绕过漏洞使文件访问不留痕迹。Verizon报告显示第三方参与的已确认数据泄露事件占比达30%。生态安全方面，提示注入连续两年位居OWASP LLM十大安全风险首位，Anthropic测试显示旗舰模型定向攻击成功率可达60%以上。
接入前治理——源头防控四大机制
接入前治理是风险源头防控的第一道关口。主体身份审核与标识管理要求建立全主体、全生命周期身份管理体系，推动身份信息与多维属性关联（组织、角色、项目、数据密级），强化身份凭证全生命周期管控。
工具准入与能力目录管理要求建立工具全信息登记制度，按风险属性将工具划分为只读类、写入类、高风险操作类，未登记、未分级工具不得开放调用。常态化开展工具安全评估，定期复核工具安全状况。
权限分级与接口登记要求建立三级权限划分体系（一级基础权限只开放低风险通用工具、二级敏感权限开放中风险业务工具、三级高危权限仅限特定合规主体使用）。严格执行最小授权原则，权限与智能体身份、信用等级、业务场景绑定。
协议适配与接口标准化要求以“主体均等、复合核验、按需开放、全程可溯”为原则构建统一协议适配框架，推动接口标准化登记管理，兼容现有API网关、身份认证、日志平台等基础设施。
运行中管控——动态校验与人工接管
任务执行前先完成三级风险评级（低风险只读类自动化完成、中风险受控写入类增加行为监测、高风险高危执行类多轮核验与人工确认）。建立模糊请求人工兜底机制，当意图识别置信度不足、参数异常或跨权限域操作时触发澄清流程或人工确认。
权限控制与参数校验全程执行，每一次工具调用均独立校验权限，不依赖缓存与历史授权结果，权限变更即时全链路同步生效。强化输入参数合规性检查，自动检测敏感信息与恶意内容，覆盖用户输入、智能体传递、外部文档等全来源渠道。规范输出结果脱敏过滤处理。
高风险操作执行强制二次核验，对隐私数据调取、资金支付、系统配置修改等操作启用用户二次核验。实行分级差异化确认方式（弹窗确认、短信验证、人脸核验），核验记录完整留存归档。建立关键任务人工接管机制，作为治理体系的最终兜底屏障。
上下文隔离与异常阻断方面，明确标识系统指令、用户输入、工具返回等不同来源信息，防止非可信内容污染上下文、绕过安全策略。设置高频异常调用阻断阈值，对越权调用行为即时终止操作，实现毫秒级风险响应。
事后审计追溯——日志管理、链路还原与风险复盘
日志记录全维度规范管理。规范全链路核心日志字段，完整记录调用方标识、服务方标识、时间、参数、结果、授权凭证等关键信息。实行分级分类日志留存机制（普通场景≥90天，金融政务≥180天）。强化日志防篡改安全保障，加密存储，通过访问控制与完整性校验防止篡改删除，查询行为同步纳入审计台账。
链路还原与责任界定方面，故障发生时依托日志快速追溯节点准确定位责任主体，支持完整调用链与上下文回放。按故障成因分别界定智能体开发者、工具服务方、平台运营商的主体责任。
风险复盘与持续优化方面，建立风险事件制度化复盘机制，推动失败案例资产化沉淀复用（纳入测试用例集持续丰富评测数据），以审计结果驱动治理策略迭代，形成审计发现、治理优化、效果验证的闭环。
