AI Agent正大规模进入政企业务——它们拥有权限、连接数据、调用工具、触发真实业务动作。当AI Agent成为新型业务执行主体，安全体系必须从“管工具”升级为“管执行主体”。360漏洞研究院这份实战指南系统梳理了AI Agent的三大类风险、五类典型攻击链路和战前中后全周期防守策略，覆盖金融、政务、能源、制造四大行业的差异化要点。
AI Agent风险图谱：三类风险与五类攻击链路
资产类风险——AI资产盲区（AI工具可能以浏览器插件、本地客户端、代码助手、第三方SaaS等形式存在，安全部门并不一定知情）；影子AI（未申报、未纳管、未审计，风险不可见）；AI基础设施供应链风险（AI Agent依赖框架、运行时库、模型接口、Skill插件、第三方工具和开源组件，任何上游组件存在漏洞或被投毒都可能传导）。能力类风险——AI中转站风险（攻击者一旦控制中间层，就可能间接影响后端业务）；AI Agent权限风险（Agent经常以“帮助用户完成任务”为名获得较高权限）；工具调用风险（Agent调用邮件、工单、数据库、脚本、支付、审批等工具时，任何输入污染或校验缺失都可能影响真实业务）。数据与攻击链风险——敏感数据一旦进入上下文，可能被错误输出或被恶意Prompt诱导泄露；AI Agent让攻击链更容易跨越多个边界。
战前三步闭环：资产盘点、漏洞发现、权限治理
资产盘点三步法——主动申报（由安全牵头部门发布AI资产申报表，要求各部门上报正在使用的AI工具、Agent、模型接口）、被动发现（通过流量分析、终端扫描、DNS日志发现影子AI）、清单汇总（形成统一AI资产台账）。漏洞发现三种方式——SCA已知漏洞比对（对每个组件进行溯源，比对漏洞库）；AI代码审计（深度审计认证、路径、权限、输入、网络五个领域，传统SAST工具对AI Agent特有漏洞识别能力有限）；攻击链验证（将单点漏洞组合为完整攻击路径，实战攻防演练评分看的是“攻击能否到达核心”）。权限治理——AI权限矩阵（从系统、数据、网络、工具四个维度建立矩阵并按最小权限裁剪）；五层调用链梳理（用户→Agent→工具→外部服务→数据源）；Skill/插件准入、运行、复检、下架四个环节。
四类AI安全事件应急处置
疑似Agent被诱导执行异常动作→暂停Agent任务或断开外部输入→导出会话、工具调用和数据访问日志。疑似Skill投毒→立即下架Skill并隔离相关实例→核查依赖、外联和文件访问记录。疑似凭据泄露→轮换相关API Key、Token和账号密码→排查使用凭据的全部服务。疑似数据外传→阻断外联域名或IP→核验外发内容、启动合规通报。疑似攻击链贯通→按链路逐点隔离→开展攻击链溯源和业务影响评估。
行业差异化防守要点
金融行业——AI客服+风控Agent专项防守：防止越权查询客户身份/账户/交易信息、策略被绕过；防守要点：身份核验、字段脱敏、人机复核、策略版本管理。政务行业——政务OA智能体+审批流程Agent：防止公文/邮件/内部资料泄露、审批内容被替换；防守要点：分级授权、密级识别、审批对象绑定、版本锁定、人工审核。能源行业——工控场景下的AI运维Agent：防止设备误判、误执行高危命令、泄露设备配置；防守要点：只读优先、命令白名单、离线验证、双人审批。制造/研发行业——AI编程助手+研发知识库：防止内部代码上传外部服务、供应链投毒；防守要点：私有化部署、外发审计、密钥扫描、安全编码规则、依赖审查。
