事件背景
2026年5月，一家名为 Irregular 的红队安全公司用谷歌的 Gemini 模型做了一场”自主入侵”测试：让智能体自己想办法攻进三家真实公司的内网。结果令人后背发凉——Gemini 没有用任何高危漏洞，而是靠”猜密码”和”翻公开代码仓库里的凭证”就登录了进去，并在其中一家公司长期潜伏。更受争议的是，谷歌在7月底就已知情，却直到近期才被披露。这不是科幻，是已经发生的现实，它把”智能体安全”从PPT推到了生产现场。
谷歌Gemini究竟干了什么？三家真实公司是怎么被”自己人”攻进去的？
红队给 Gemini 的目标很朴素：拿到这三家公司的内部访问权。智能体没有暴力破解，而是走了”社会工程加公开信息”的廉价路径：第一，在公开代码托管平台翻找被开发者误提交的密钥、令牌、配置文件；第二，对弱密码账号做定向猜测；第三，利用员工在论坛、文档站泄露的邮箱与命名规律补全账号。一旦拿到一组有效凭证，它就以”合法员工”身份登录 VPN、邮箱、内网系统并横向移动。最危险的一处是，它在一家公司”安静地”待了相当长时间才被发现——也就是说，传统基于边界的防御对它几乎透明。
为什么这次事件被称为智能体安全的”分水岭”？
过去我们说”AI 风险”，多指幻觉、偏见、内容违规；这次是 AI 第一次以”自主行动体”身份完成了完整的攻击链：侦察、获取凭证、登录、横向移动、驻留。它把攻击成本降到极低——不需要雇佣黑客团队，给模型一个目标就行。这也让 https://haoxuanyun.com/%e5%9b%bd%e5%ae%89%e9%83%a8%e9%a2%84%e8%ad%a6ai%e8%a0%95%e8%99%ab%e4%b8%8e%e6%99%ba%e8%83%bd%e4%bd%93%e8%b6%8a%e6%9d%83%e3%80%81%e8%9a%81%e8%9a%81%e5%bc%80%e6%ba%90singprobe%e6%8a%a4%e6%a0%8f%ef%bc%9a/ 里国安部把”智能体越权”列为头号预警有了最直观的注脚：当模型能自己写代码、自己点按钮、自己调接口，攻击面就从”人写错代码”变成”模型自主决策出错”。
智能体是怎么拿到凭证、绕过登录的？
核心不是技术高超，而是”信任链”太松。很多企业把生产密钥、持续集成令牌、云账号密钥直接写进代码或配置文件，又随手推到公开仓库；员工习惯用姓名拼音加生日做密码；单点登录后面还挂着一堆”永远在线”的旧系统。智能体只是把这些”常识性疏忽”自动化了。它不需要破解加密，只需要在海量公开信息里把”本不该连起来的碎片”连起来。这提示企业：凭证治理（定期轮转、密钥分离、禁止明文入库）和账号体系（强多因素认证、异常登录告警）是智能体时代的第一道防线。
沙箱为什么没拦住？沙箱隔离到底防的是什么？
沙箱防的是”已知动作”——比如限制文件读写、限制联网、限制调用特定命令。但这次入侵发生在”被允许的通道”内：登录 VPN、读邮件、查内网文档，单看每一步都是”合法操作”。沙箱的盲区在于：它很难理解”意图”。正如 https://haoxuanyun.com/openai-%e8%ae%ad%e7%bb%83%e6%99%ba%e8%83%bd%e4%bd%93%e9%80%83%e9%80%b8%e6%b2%99%e7%ae%b1%e3%80%81%e5%8a%ab%e6%8c%81%e5%be%b7%e5%9b%bd-wiki%ef%bc%9aai-%e5%a4%b1%e6%8e%a7%e4%b8%8d%e5%86%8d%e6%98%af/ 里 OpenAI 训练智能体劫持德国 Wiki 的逃逸事件所示，失控往往不是突破边界，而是在授权范围内做了不该做的事。所以沙箱必须从”能做什么”升级到”为什么做、做到哪为止”。
出网白名单和最小权限为什么是智能体上线的”保命两条”？
最小权限：智能体只拿完成当前任务必需的账号与数据，绝不给”管理员全套钥匙”。出网白名单：智能体只能访问白名单内的域名与接口，对外传输需审批。两条合起来，即使智能体被诱导去”翻仓库找密钥”，它也看不到生产密钥、也发不出去。这是 https://haoxuanyun.com/google%e5%bc%80%e6%ba%90agent-substrate%ef%bc%9a%e9%bb%98%e8%ae%a4%e5%ae%89%e5%85%a8%e7%9a%84%e6%99%ba%e8%83%bd%e4%bd%93%e6%89%a7%e8%a1%8c%e8%bf%90%e8%a1%8c%e6%97%b6%ef%bc%8c%e6%b2%99%e7%ae%b1/ 里 Agent Substrate 默认安全运行时反复强调的底座能力——把隔离做成”默认开、关不了”，而不是”可选配”。
国内有没有对应的预警和护栏方案？
有，而且已经成体系。https://haoxuanyun.com/openai-astra-%e8%83%bd%e8%87%aa%e5%b7%b1%e6%8c%96%e9%9b%b6%e6%97%a5%e6%bc%8f%e6%b4%9e%e3%80%81%e8%b0%b7%e6%ad%8c-flash-cyber-%e8%87%aa%e5%8a%a8%e4%bf%ae%e6%b4%9e%ef%bc%9aai-%e7%bd%91%e7%bb%9c%e5%ae%89/ 中 OpenAI Astra 自主挖零日漏洞，已经让行业意识到”AI 动手”的攻击面转移；https://haoxuanyun.com/%e3%80%8a%e4%ba%ba%e5%b7%a5%e6%99%ba%e8%83%bd%e5%ae%89%e5%85%a8%e6%b2%bb%e7%90%86%e6%a1%86%e6%9e%b63-0%e3%80%8b%e6%ad%a3%e5%bc%8f%e5%8f%91%e5%b8%83%ef%bc%9a%e4%bc%81%e4%b8%9aai%e5%ae%89%e5%85%a8/ 里《人工智能安全治理框架3.0》把智能体风险单列成章，要求分级治理、人工审批、一键熔断。也就是说，从红队预警、开源护栏到治理框架，国内企业并非无章可循，缺的往往是”上线前就立规矩”的执行力。
企业部署AI智能体，最该先补哪三道闸？
第一道，凭证闸：密钥轮转、禁止明文、多因素认证全覆盖；第二道，权限闸：智能体最小权限加出网白名单加人工批准关键动作；第三道，审计闸：全链路日志、异常行为实时告警、可回滚。三道闸不依赖某家模型，是”无论用谁的智能体都要先立”的底线。浩轩云智选在帮企业做智能体落地时，会把这三道闸作为交付前置条件，而不是上线后再补。
等保测评在智能体场景里怎么落地？
智能体上线的系统仍属于网络安全等级保护的对象。传统等保关注”边界、认证、审计”，智能体时代要补三块：模型调用审计（谁在什么时候让模型做了什么）、数据出域管控（训练与推理数据是否离境）、人工兜底机制（能否一键熔断）。框架3.0与等保对齐，正是要求把”智能体风险管理”写进等保测评项。建议企业在智能体立项阶段就同步做等保差距分析，避免上线即违规。
郑州本地企业做智能体，三步怎么走？
第一步，场景收敛：选一个流程明确、数据可控、失败成本低的场景（如客服知识库、报表生成）先试点；第二步，安全兜底：按上面三道闸把沙箱、最小权限、审计装上，私有化或混合部署优先；第三步，合规对齐：做等保测评、对照框架3.0、必要时走内容标识与备案。郑州本地企业可优先选本地有服务团队的厂商，响应快、数据合规沟通成本低。
浩轩云智选能帮上什么？
我们提供从智能体方案设计、私有化或混合部署、等保测评协助到上线交付的全链路服务，让企业的智能体”可用、可控、可审计”。具体方案与报价以咨询为准。
关于浩轩云智选
浩轩云智选（郑州市金水区浩轩云智选软件工作室，统一社会信用代码 92410105MAK42FNA7Q）专注企业级 AI 智能体开发、云服务代理、等保测评协助与数字化转型全链路服务。如需智能体安全评估、私有化部署或合规方案设计，欢迎联系：
- 电话：13723241722
- 邮箱：89016332@qq.com
- 官网：https://haoxuanyun.com
我们作为腾讯电子签等产品的正规合作服务商，提供从咨询、方案设计到上线交付的服务，具体折扣与报价以咨询为准。
