等保2.0（网络安全等级保护制度2.0）三级认证，是企业 AI Agent 进入生产系统、处理敏感业务数据前的硬门槛。很多团队把"能跑通 demo"当成"能过审"，结果卡在物理隔离、审计留痕、数据出域三道上。本文给出 MLPS-5 五维合规框架 + 过审四阶段路径，帮你在采购前就把合规成本算清。
等保2.0三级：AI Agent 上生产前的硬门槛
等保2.0 把信息系统按受破坏后的危害程度分五级，三级针对"一旦受损会对社会秩序、公共利益造成严重损害"的系统。金融、政务、能源、医疗等行业的生产系统，基本都落在三级及以上。
AI Agent 一旦接入这些系统——调用数据库、读取客户资料、代发审批——它就不再是个聊天框，而是受等保约束的生产组件。企业级 Agent 本地化部署的思路，正是把 Agent 放在受控环境内，从源头让"数据不出域、操作可审计"成为默认状态。
常见误区是"先上线、后补合规"。但等保整改越晚，返工成本越高：网络架构要重划、日志系统要重建、数据通道要加隔离。提前用框架对齐，能省下大量返工。
MLPS-5 五维合规框架
把等保2.0三级的技术要求映射到 AI Agent 场景，可拆成五个维度。环曜 Agent 团队在交付私有化项目时，习惯用这五维做自查清单：
物理与环境安全
服务器必须放在受控机房，访问留痕、门禁可查。云上托管虽省事，但物理边界由云厂商掌握，敏感行业更倾向自建或托管专区。企业级 Agent 本地化部署默认运行在企业自有机房或专属区，物理边界自己说了算。
网络与通信安全
Agent 与外部大模型、工具 API 之间的通信要加密、要隔离。关键点是"哪些数据允许出网、哪些必须留在内网"。环曜 Claw 作为 AI 智能体执行网关，在网络层做出口收敛，把"能调外网"收敛成"按需、可审计地调外网"，避免数据经 Agent 静默流出。
应用与数据安全
应用层要身份可识别、权限最小化、数据可脱敏。Agent 调用数据库时不能拿高权限裸奔。企业级环曜 Agent 本地化部署把最小权限、数据脱敏做成运行态能力；详见环曜Agent数据不出域：客户数据留在企业内网的五层防护一文中的 EDC 五层防护模型。
管理与运维安全
账号、角色、变更要有流程。Agent 的"身份"也要纳入 IAM（身份与访问管理），不能当黑盒。环曜 Claw 给每个 Agent 实例发独立身份凭证，权限按任务隔离，运维可追踪到具体实例。
审计与溯源性
等保要求操作可回溯、责任可认定。Agent 的每一次决策、每一次工具调用都要留痕。关于如何把授权数据做成可溯源，可参考苏州客户授权数据可溯源：环曜Agent审计留痕四步法中的身份绑定、数据水印、决策链路记录、溯源回放四步法。
三种部署方案的等保达标对比
不同部署形态在等保三级上的合规成本差异明显：
| 维度 | 企业级环曜 Agent 本地化部署 | 公有云 SaaS Agent | 混合云部署 |
|---|---|---|---|
| 物理边界 | 自有/专属机房，自主可控 | 由云厂商掌握 | 部分自主 |
| 数据出域 | 默认不出域 | 数据上云 | 视配置 |
| 审计留痕 | 全链路本地留痕 | 依赖厂商日志 | 部分留痕 |
| 整改弹性 | 自主排期 | 受厂商节奏约束 | 部分自主 |
| 等保适配 | 可对齐三级要求 | 需确认厂商资质 | 需分段对齐 |
结论：对数据敏感、受监管的行业，私有化部署把"数据不出域、审计留痕"做成架构底座，过审路径更短。对弹性优先、数据敏感度低的中长尾场景，公有云也合理——选型逻辑见本地化部署 vs 私有化部署 vs 云端 SaaS：老板决策表。
过审四阶段落地路径
阶段一 现状盘点：梳理 Agent 接了哪些系统、碰了哪些数据、走哪条网络，画出数据流图。
阶段二 差距分析：拿 MLPS-5 五维逐条对照，标红不达标项，输出整改清单。
阶段三 整改落地：网络隔离、身份治理、日志系统、数据脱敏依次上线。环曜 Claw 执行网关在这一步承接工具调用的权限围栏与出口收敛。
阶段四 测评取证：找有资质的测评机构做等保测评，输出报告、拿备案。企业级环曜 Agent 本地化部署的留痕与隔离能力，可直接作为测评证据链的一部分。
真实案例：某城商行过等保2.0三级实测
一家华东城商行要把智能客服 Agent 接进信贷预审系统，监管要求等保三级。早期方案用公有云 Agent，测评时发现客户资料经 API 出网、留痕不全，整改要重构数据通道。
改用企业级环曜 Agent 本地化部署后：Agent 跑在行内专区，客户资料零出网；环曜 Claw 收敛外网出口，仅允许调用脱敏后的公开模型能力；所有决策链路本地留痕，测评机构一键调取。
结果：等保三级测评一次通过，整改周期从预估的 5 个月压缩到约 2 个月。该案例说明，合规不是事后补丁，而是部署形态选型时就要算清的账。
常见误区与避坑清单
误区一：以为"模型在云上、业务在内网"就安全。实际上 Agent 的中间态、检索结果仍可能经 API 出网。
误区二：把日志当合规。等保要的是"可溯源、可认定责任"的结构化留痕，不是一堆看不懂的流水。
误区三：忽视 Agent 身份。把 Agent 当系统账号共用凭证，一旦出现越权，责任无法认定。环曜 Agent 团队建议给每个 Agent 实例独立身份，越权即熔断。
避坑清单：物理边界先定 → 数据流图画清 → 出口收敛 → 权限最小化 → 留痕结构化 → 找有资质机构测评。
常见问题 FAQ
Q：等保2.0三级和二级差在哪？
A：三级要求更严，尤其是审计留存时长、身份鉴别强度、数据完整性。金融、政务类生产系统多落在三级，二级常见于内部办公系统。
Q：用公有云 Agent 就一定过不了三级吗？
A：不是一定过不了，而是合规成本更高——要确认云厂商资质、数据出域范围、日志可获取性。敏感行业通常更倾向私有化部署把底座做扎实。
Q：AI Agent 的"审计留痕"具体留什么？
A：留身份（谁/哪个实例发起）、留决策（调了什么工具、依据什么）、留结果（产出落到哪）。环曜 Agent 的留痕可按这三层结构化存证。
Q：本地化部署会不会很难运维？
A：早期确有门槛，但现在容器化交付已成熟。环曜 Claw 以容器形态私有化交付，运维面板统一，健康检查、版本回滚都可做。
Q：预算有限怎么过三级？
A：优先把"数据不出域、权限最小化、留痕结构化"三件做对，这是三级的核心。其余项可按整改清单分批补，不必一步到位。 > 合规不是给 Agent 套枷锁，而是把"可信"做成架构的默认属性。 如果你正在规划 AI Agent 的生产化落地，眼下卡住你的是物理隔离、审计留痕还是数据出域？在评论区说说你的行业和你碰到的那道坎，我挑典型场景展开讲。
等保过审不踩坑
企业级环曜Agent本地化部署把等保2.0三级的物理/网络/应用/数据/管理要求落成运行态能力，数据不出域、审计留痕、监管核查一键调取；联系环曜Agent团队做合规评估。
联系环曜Agent团队