微软警告：AI智能体正成为企业“内鬼”

当企业还在讨论大模型会不会“胡说八道”时，微软已经把问题推进到了更现实的层面：真正危险的可能不是模型本身，而是那些被员工赋予账号、权限和工具调用能力的AI智能体。TechCrunch报道称，微软近日将AI智能体比作企业网络中的“内部威胁”，并直言“前沿模型不能被信任”。这一判断听起来刺耳，却精准点中了企业AI落地中最容易被忽视的软肋。

“内部威胁”这个比喻，为什么成立

传统意义上的内部威胁，指的是拥有合法身份和访问权限的员工、承包商或合作伙伴，因疏忽、越权或恶意行为对企业造成损害。AI智能体的处境与此高度相似：它们通常以服务账号或员工身份运行，能够读取邮件、访问文档、调用内部API、操作业务系统，甚至代替人类完成审批和交易。区别在于，人类至少还有组织纪律和法律责任约束，而智能体的行为边界往往由提示词、模型能力和工具权限共同决定，随时可能因为一次提示注入、一次目标误判或一次工具链组合而越界。

微软的核心担忧并不难理解。企业员工使用的智能体，很多并不是由OpenAI、Anthropic等AI实验室直接托管和控制的系统，而是嵌入在第三方SaaS、低代码平台、浏览器插件或自建应用中的“影子智能体”。这些智能体背后调用的可能是前沿模型，但运行环境、日志记录、权限配置和数据流向并不在模型厂商的掌控范围内。一旦出现问题，企业很难回答三个基本问题：谁创建了这个智能体？它访问了什么数据？它为什么做出了这个动作？

“前沿模型不能被信任。”微软用这句话概括了智能体治理的底层假设：企业不能因为模型来自知名实验室，就默认其行为安全可控。

非实验室控制的系统，正在成为安全盲区

过去两年，企业AI的关注点集中在模型选型和数据隐私上。但随着智能体从“聊天助手”进化为“任务执行者”，风险面迅速扩大。一个能自动整理会议纪要的智能体，可能同时拥有日历、邮箱和云盘权限；一个能处理客服工单的智能体，可能被诱导泄露客户信息；一个能操作财务系统的智能体，甚至可能在错误的目标函数下完成一笔不该发生的付款。更麻烦的是，这些智能体往往由业务部门自行接入，IT和安全团队并不掌握完整清单。

微软的建议本质上是把智能体纳入“零信任”框架：不默认任何智能体可信，不默认任何模型输出安全，不默认任何工具调用无害。企业需要建立智能体资产清单，记录其身份、权限、调用模型和数据访问范围；需要对高风险操作设置人工审批和最小权限；需要保留完整的调用链日志，以便在异常发生时追溯。换句话说，企业不能只问“用了哪个模型”，还要问“谁在什么环境下、以什么权限、调用了什么工具”。

从模型安全到智能体治理

微软此时抛出“内部威胁”论，也有其商业与行业语境。作为同时拥有Azure OpenAI服务和安全产品线的厂商，微软希望把企业客户的注意力从单纯的模型能力转向平台级治理能力。对安全厂商而言，智能体监控、身份管理、行为审计和提示注入防护，正在成为新的增长点。对AI实验室而言，这也是一种边界划定：模型可以很强，但企业不能把安全责任完全外包给模型提供商。

从更宏观的角度看，企业AI安全正在经历一次范式转移。第一阶段是“模型安全”，关注幻觉、偏见和内容合规；第二阶段是“应用安全”，关注插件、API和供应链；第三阶段则是“智能体治理”，关注自主行为、权限蔓延和责任归属。微软的警告，实际上是在提醒企业：当AI从“回答问题”走向“替人做事”，安全边界就不再是模型本身，而是整个智能体运行环境。

智能体越像员工，企业就越需要用管理员工的方式管理它：入职审查、权限分级、行为审计、异常告警，一个都不能少。

可以预见，未来一段时间，企业AI采购清单上会增加一些新条目：智能体可见性平台、非人类身份管理、提示注入检测、工具调用审计。微软的“内部威胁”比喻未必会让所有人舒服，但它提出了一个无法回避的问题：当企业把钥匙交给AI智能体时，是否已经准备好随时知道它开了哪扇门。本文编译自TechCrunch。