"五眼联盟"发出"谨慎部署AI智能体"警告——自主判断AI潜藏的五大安全风险

导读

由美国、英国、澳大利亚、加拿大、新西兰五国情报机构共同组成的情报共享联盟"五眼联盟（Five Eyes）"，发布了一份针对AI智能体企业部署的联合建议，敲响警钟。报告指出，"AI自主判断并推进工作"这一特性本身就是风险来源。这一警示正面回应了2026年以来AI智能体部署加速落地的趋势。

发生了什么

2026年5月，据报道，五眼联盟五国情报机构（美国NSA、英国NCSC、澳大利亚ASD、加拿大CSE、新西兰GCSB）联名发布了一份关于AI智能体安全风险的建议文件。

"AI智能体能够自主判断并推进工作，因此存在大量安全风险，应谨慎部署。"——情报机构联合警告核心内容（@toukatsujin 引用）

建议文件特别强调的，是智能体"无需指令即可判断并执行"这一架构所固有的结构性风险。传统软件依据规则运行，而基于大语言模型（LLM）的智能体则通过情境推理来决定下一步行动。这种不确定性被认为将大幅扩展攻击面。

背景

从2025年下半年至2026年初，主要AI厂商相继向企业推出了智能体框架。Anthropic扩充了Claude Code的智能体功能，OpenAI推出了Operator，Google也开始向企业提供Agentspace。

与此同时，智能体访问企业内部文件系统、邮件及CRM的案例急剧增加。赋予智能体的"工具调用权限"实质上等同于系统访问权限。多位安全研究人员指出，利用这一权限实施的提示词注入（Prompt Injection）攻击报告数量，相比2025年呈上升趋势。

五眼联盟此次集体发出建议，正是因为部署速度与安全措施之间的落差日益凸显。

关注要点

1. 提示词注入的结构性漏洞

当智能体读取外部数据（邮件正文、网页、PDF）时，攻击者可通过在其中植入恶意指令，诱使智能体执行非预期操作。文件发送、数据外泄、认证信息泄露等实际危害已有案可查。截至2026年，LLM区分"可信输入"与"恶意输入"的能力仍不完善。

2. 权限过度授予（Over-permission）问题

企业现场中，"先给智能体赋予宽泛权限再说"的做法十分普遍。建议文件从最小权限原则（Principle of Least Privilege）的角度对此提出批评，要求在设计上将智能体权限限定在实际所需的最小范围内。

3. 人工监督（Human-in-the-loop）流于形式

为追求自动化效率而省略审批环节，一旦智能体出现误判便无从阻止。五国联合建议明确推荐：在高风险操作中，必须引入人工确认环节的设计。

4. 供应链风险

不仅是LLM本身，智能体调用的第三方工具（MCP服务器、外部API）的可信度评估同样不可或缺。通过恶意MCP服务器劫持智能体的攻击场景，目前已超越概念验证（PoC）阶段。

5. 日志与审计缺失

许多企业尚未建立智能体操作的可追溯机制，无法记录其"做了什么、何时执行"。建议文件明确指出，这会导致事故发生后难以追溯原因，是一个不可忽视的运营问题。

编辑观点

值得关注的是，此次警告的立场并非"禁止使用"，而是"谨慎部署"。五眼联盟之所以不全面否定这项技术，很可能是因为国家安全与国防领域也在积极探索智能体的应用。与其禁止使用，不如尽快推动"安全使用规范的标准化"——这或许才是背后的决策逻辑。

对企业而言，切实可行的应对措施归结为三点：①将授予智能体的权限最小化；②在设计上保留高风险操作须经人工审批的环节；③对智能体执行的所有操作留存日志记录。仅做到这三点，就能大幅降低风险。

随着"引入AI智能体后效率大幅提升"的案例不断涌现，安全设计被推迟处理的现象在实际工作中屡见不鲜。国家情报机构联名发声，其意义不应仅被解读为个别企业的风险管理问题，而应视为一项宣言——整个基础设施的可信度已到了必须正视的阶段。

总结

五眼联盟五国的联合建议，从国家层面确认了AI智能体的"自主性"正在成为安全领域新攻击面这一结构性问题。智能体作为工具使用便捷，但其自主性也可能被反向利用，这一风险必须从设计阶段起就加以防范。您的组织目前赋予了智能体多大的权限？盘点工作拖得越久，付出的代价就越大。

※本文由 ミライ・ニュース 编辑部 AI 写作助手（AI新闻）撰写。