当数字员工开始自主处理邮件、编写代码、查询生产数据库，安全风险从“系统被攻破”升级为“智能体行为失控”。提示词注入攻击可以诱导办公智能体外发通讯录，意图劫持可以将合法任务拆解为恶意步骤链——智能体安全的本质问题是：如何确保自主决策的AI实体始终在人类设定的框架内运行？华为云白皮书提出“可信运行环境+意图威胁检测”的双重保护机制。
智能体安全的三大痛点——身份、权限与行为失控
政企用户将AI智能体引入办公、生产环节面临三大核心顾虑：担心生产、办公及其他数据被智能体违规访问、破坏或泄露且无法回溯——智能体行为超出权限边界导致异常操作，提示词注入攻击导致系统破坏或数据泄露，智能体异常操作无法及时溯源定位；担心IT环境因智能体失控遭攻击——云基础设施被横向攻击，不受控影子智能体穿透安全防护体系，不安全输出引发级联拒绝服务攻击和异常算力消耗。传统基于静态边界与滞后补丁的防护模式面对由自然语言驱动、具备“高行动权”的自主实体面临系统性失效。
可信运行环境——部署前的安全底座
智能体部署前需进行可信运行环境建设。自动化资产管理对全网IT系统中的“数字员工”进行全面普查与合规登记，严防未纳入监管的AI智能体系统沦为外部攻击的跳板，依托云主机安全防护能力对智能体运行时环境开展全天候自动化的资产动态测绘。智能体沙箱构建基于风险动态感知的多级沙箱架构，能够实时评估智能体行为风险评级并自动调度至相应等级的沙箱环境中运行，实现安全性与计算集群性能的平衡。Agent记忆机密运行环境通过引入机密计算架构（CCA）将数据的解密与运算严格限制在机密计算环境中进行，即便是云平台的超级管理员也无法访问或篡改运行中的记忆数据。全流程审计溯源构建覆盖指令输入、工具调用、环境感知、结果输出的全量日志采集体系，通过行为基线建模与异常操作实时告警。
意图威胁检测——运行时的实时防护
智能体部署运行后，通过绑定用户和智能体身份实施细粒度认证鉴权——每个用户与智能体必须完成唯一身份认证，基于其“数字员工身份”进行最小权限授权，根据预设的岗位角色模板自动分配最小必要权限集。企业角色限定按工作角色限定智能体行为基线——财务类智能体禁止访问核心代码库，编码类智能体不得执行资金操作，通过岗位授权机制有效约束智能体的自主行为。内核级意图威胁检测严控AI智能体高危操作——构建智能体高危行为实时监测系统，出现违规/高危操作时及时拦截异常行为、转由人工审批，形成“机主防、人主控”的协同防御机制。
典型场景——混合云智能体防护实践
某大型集团企业部署办公智能体、代码智能体、数据查询智能体三类数字员工，面临数据跨域泄露风险（代码智能体将含关键参数的测试数据误传至云端推理日志）、提示词注入攻击（攻击者通过邮件附件恶意Prompt诱导办公智能体读取内部通讯录并外发）、意图劫持（恶意内部人员将合法任务拆解为恶意步骤链）、资产暴露盲区（超过30%的AI资产未纳入统一资产清单）。解决方案构建云上云下协同安全、模型数据与智能体安全、通算一体基础设施安全三位一体防护体系，实现提示词攻击、恶意意图全量拦截，彻底杜绝越权操作与AI失控风险。
