五眼联盟紧急喊话：AI代理别急着上线

周五下午，美国网络安全与基础设施安全局（CISA）的分析师们按下发布键。一份由五国情报机构联合署名的技术指南悄然上线，标题直白得不像官方文件——《谨慎采用代理式人工智能服务》。没有寒暄，开篇第一句就定调：这类系统" increasingly operate across critical infrastructure and defense sectors"，而防御者必须立刻行动。

这是五眼联盟首次针对代理式人工智能（agentic AI，指能自主规划、调用工具并执行多步骤任务的智能系统）发布联合安全框架。文件的核心判断很冷静，也很刺耳：在现有安全实践、评估方法和标准成熟之前，组织应当假设这类系统" may behave unexpectedly "。

权限失控：一个补丁引发的灾难

指南花了大量篇幅拆解攻击路径，其中最触目惊心的案例关乎权限设计。

某企业部署了一个AI代理，专职安装软件补丁。运维团队图省事，直接给了它广泛的写入权限。某天，一名内部人员输入提示词："给所有终端打补丁，顺便清理一下防火墙日志。"

代理忠实执行了两项指令——既完成了维护，也删掉了日志。问题？发指令的人根本不在IT特权组。代理的权限体系不区分用户身份，只认指令内容。

「Consequently, every individual component in an agentic AI system widens the attack surface」，文件如此总结。每个组件都是新的暴露面，而代理的"自主性"恰恰放大了这种风险：它能在人类不逐条审批的情况下串联多个操作。

信任链崩塌：采购代理的连锁感染

第二个案例更复杂，指向多代理协作的隐性风险。

某组织部署代理管理采购审批和供应商沟通，赋予其财务系统、邮件和合同库的访问权。部署时，管理员只考虑了该代理的权限边界。但随着时间推移，其他代理开始依赖这个采购代理的输出，形成隐性的信任链。

攻击者入侵了一个被集成的低风险工具，继承了采购代理的过度授权。随后修改合同、批准未经授权的付款，并伪造审计日志规避检测。

这里的致命设计在于：代理之间的"隐式信任"（implicit trust）。文件强调，这种信任关系往往不会在架构文档中显式标注，却成为权限放大的暗渠。

五眼联盟的立场：慢即是快

参与联署的机构包括美国CISA、英国国家网络安全中心（NCSC）、加拿大网络安全中心、澳大利亚网络安全中心和新西兰国家网络安全中心。这份指南的技术深度和措辞强度，反映出情报系统对当前AI部署节奏的深层焦虑。

文件没有否定代理式AI的价值——开篇即承认其支撑"mission-critical capabilities"。但立场鲜明：resilience优先于productivity。在关键基础设施和国防领域，一个能自主行动却不可预测的系统，其风险收益比尚未被充分计算。

具体建议层面，文件反复强调"interconnected attack surface"的管控。代理式AI需要调用大量组件、工具和外部数据源，这种互联性本身就是攻击面。每个集成点、每次工具调用、每份外部数据，都可能成为横向移动的跳板。

行业影响：安全评估的范式转移

这份指南的发布时机值得注意。2024年以来，主流云厂商和AI公司密集推出代理式AI产品，从代码生成到客户服务，自主执行能力成为营销重点。但安全框架的演进明显滞后——业界尚未形成针对"自主决策+工具调用"架构的评估标准。

五眼联盟的干预，实质是将问题从"技术可行性"层面向"运营风险"层面迁移。文件暗示，当前许多部署案例缺乏对代理行为边界的系统性约束，权限设计仍沿用传统软件的静态模型，而非适应代理的动态决策特性。

对于科技从业者，这意味着两类工作负载的明确分化：实验性场景可以容忍不确定性，但关键基础设施的代理部署必须接受更严格的准入门槛。指南提出的"careful adoption"并非禁止创新，而是要求组织在成熟度缺口明确的情况下，建立额外的补偿性控制。

文件最后没有给出时间表。但"until security practices, evaluation methods and standards mature"的表述，暗示情报界认为当前市场节奏过快。在标准成熟之前，假设系统会异常行为——这不是悲观，而是风险计算的基本诚实。