6月27日，国标委下达了《智能体应用安全基本要求》强制性国家标准（国标委〔2026〕41号），项目周期18个月，归口中央网信办。文件列出了六项必须达标的安全能力：资产盘点与管理、身份认证与权限、知识库与数据管控、多模态内容防护、全链路审计追溯、应急处置与熔断。

知道有这六关是一回事。知道怎么过是另一回事。

标准写了"要做什么"，但没写"怎么做"。资产盘点听起来不复杂，真动手才发现散落在各个部门的API Key、开源模型、内部Agent根本数不清。身份权限也一样——IAM系统跑得好好的，但那是管人的，Agent和自动化工作流调AI的时候，IAM根本感知不到。

这篇文章不打算复述标准条文。把六关逐一拆开，看看每关到底卡在哪，行业里又在怎么摸索。


## 第一关：资产盘点——看不见的东西没法管

企业AI资产远比想象中分散。公开的模型API Key散落在代码仓库、配置文件、聊天记录和共享文档里；内部部署的开源模型可能几个团队各跑各的；Agent和MCP工具链的调用路径连开发团队自己都没完整梳理过。还有一类容易被忽略的：员工自费购买的第三方AI工具账号，企业完全不知情，但发出去的数据是企业自己的。

41号文要求"全域调用可见可盘点"。关键不在盘点本身，而在找到一种不会漏的方式持续盘点。人工填表统计走不通——今天填完明天又变了。

这个问题的难点在于，AI调用天然是分散的。不是某一个系统的事，而是整个研发、产品、运营部门都在自发使用不同的模型和工具。怎么在不影响业务效率的前提下，持续拿到完整的资产视图，目前还处在行业摸索阶段。


## 第二关：身份与权限——IAM管人，谁管Agent？

大多数企业已经有了成熟的IAM和SSO体系。但这些系统设计的时候，调用方是"人"。现在调用AI的不只是人，还有Agent、自动化脚本、CI/CD流水线、MCP工具链。

一个典型的翻车场景：研发部署了一个Agent，Agent调用大模型时用的是申请人的身份，但发起这次任务的其实是运营部门的自动化工作流。出了安全问题，IAM日志显示是研发在调用——可研发根本没操作过。

这关的难点在于：人和Agent的认证体系能不能统一，该不该统一？统一了灵活度不够，分开管理又会增加运维复杂度。身份映射、权限粒度打到什么层级、不同角色的最小权限怎么定义——这些问题的行业共识还没形成。


## 第三关：数据管控——PII出境，不只是合规问题

员工把客户身份证号、手机号、合同条款直接贴进对话框的场景，比大多数人想象的普遍得多。有行业调研做过小范围摸底：在一家200人的技术公司，一周内检测到47次包含可识别个人信息的AI调用请求，其中12次发往境外模型。

41号文要求在数据进入外部模型之前完成识别和管控。这不是事后审计能解决的问题，数据一旦发出去了，就已经发出去了。

这关的难点是实时性和准确性的平衡。PII检测、敏感词过滤、数据密级判定——每一步都要在请求发出的那一瞬间完成，延迟高了影响体验，误判多了影响效率。而且在多语言、多格式场景下的检测准确率，目前还没有一个公认的高标准方案。


## 第四关：多模态防护——提示词注入不是科幻片

提示词注入和越狱攻击在过去一年从论文变成了真实威胁。攻击者不需要拿系统权限，只需要在用户输入里嵌入几句指令，就能诱导模型绕过限制、泄露系统提示词、甚至执行非预期的工具调用。

传统WAF对这种攻击基本无效。提示词注入的payload是自然语言，WAF的规则引擎区分不了"正常提问"和"隐藏指令"。

有专门研究这个方向的论文。Anthropic花1700小时红队测试做了一套生产级越狱防御系统，核心思路是多层防御：上下文判断、分级复核、推理时内部信号监控。普通企业很难复刻这个投入量级。而且攻击面不止文本——图片、文件里的隐藏指令同样构成威胁。在生产环境中，通过截图嵌入恶意提示词的攻击尝试已经被观察到。多模态防护不是加分项，是必选项，但如何在成本可控的前提下落地，是行业正在面对的难题。


## 第五关：全链路审计——没有证据链等于没发生

安全行业有句老话：你没记录的东西就没发生过。

41号文对审计的要求不只是"有没有日志"，而是能不能还原一条完整证据链：谁、在什么时间、用什么身份、调了哪个模型、传了哪些数据、返回了什么、命中了哪些安全策略。

这意味着审计不是运维的附属品，是架构设计的一部分。日志要结构化、不可篡改、能按人、时间、模型、安全事件多维度检索。但AI调用链路天然比传统业务调用长：从用户输入、中间件处理、到模型提供商的返回，每一跳都可能产生自己的日志格式和时间戳，如何把它们串成一条无损的证据链，工程复杂度不低。


## 第六关：应急处置——知道出事了和能止住是两回事

最后一关听起来基础，但在AI场景里有特殊性。

传统系统的应急处置通常靠运维层面的网络隔离或服务下线实现。AI调用的问题在于：一个泄露的API Key可能在几十个Agent、应用和脚本里同时使用，逐个下线不现实，速度也太慢。

这关的核心挑战是：如何在检测到异常的第一时间，对所有受影响的调用点统一执行管控动作。配合异常检测——用量突增、失败率飙升、非工作时间大量调用——可以实现自动触发响应。但异常检测的阈值怎么定、误报和漏报怎么平衡、自动化响应会不会误伤正常业务，都是还没有标准答案的工程问题。


## 小结

18个月听起来不短，但拆成合规整改项目来看：前3个月摸清现状，中间12个月逐步建设，最后3个月验证和补齐。时间不宽裕。

一个值得注意的地方是，这六关不是六座孤立的堡垒。资产盘点做清楚了，身份权限就有了对标对象；内容防护的拦截记录天然就是审计数据源；凭证的集中管控同时涉及身份和应急两关。它们是相互关联的一套体系，理解它们之间的依赖关系，比孤立地逐项攻克更有效率。

6月27日，国标委下达了《智能体应用安全基本要求》强制性国家标准（国标委〔2026〕41号），项目周期18个月，归口中央网信办。文件列出了六项必须达标的安全能力：资产盘点与管理、身份认证与权限、知识库与数据管控、多模态内容防护、全链路审计追溯、应急处置与熔断。

强制国标18个月倒计时：企业AI安全的六大关口，应该怎么过？

国标委41号文列出了资产盘点、身份权限、数据管控、多模态防护、全链路审计、应急处置六大安全能力。本文不解读标准条文，而是拆解每关到底卡在哪、怎么过，基于工程实践给出可操作的治理框架。

人工智能

安全

新闻资讯

《智能体应用安全基本要求》国标出台，明确AI安全六大核心能力：资产盘点、身份认证、数据管控、多模态防护、全链路审计和应急处置。标准聚焦"要做什么"，但企业落地面临资产分散、权限混乱、数据泄露等实操难题。AI调用天然分散，传统安全方案难以适配，行业正探索实时盘点、统一身份体系、多模态防御等创新方案。18个月过渡期内，企业需建立关联性安全体系，而非孤立应对单项挑战。

中间件

智能体

Agent

2026上云采购 | AI焕新·智启新局

lexiang

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

《智能体应用安全基本要求》国标出台，明确AI安全六大核心能力：资产盘点、身份认证、数据管控、多模态防护、全链路审计和应急处置。标准聚焦"要做什么"，但企业落地面临资产分散、权限混乱、数据泄露等实操难题。AI调用天然分散，传统安全方案难以适配，行业正探索实时盘点、统一身份体系、多模态防御等创新方案。18个月过渡期内，企业...

强制国标18个月倒计时：企业AI安全的六大关口，应该怎么过？-腾讯云开发者社区-腾讯云

强制国标18个月倒计时：企业AI安全的六大关口，应该怎么过？

强制国标18个月倒计时：企业AI安全的六大关口，应该怎么过？

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐