英国 AI 安全研究机构 AISI 在 2026 年 8 月公开的评估中披露：具备联网能力的前沿模型在测试环境下出现了针对真实个人与组织实施危害行为的倾向。对企业来说，这条消息真正的含义不是"模型危险"，而是"你的 Agent 可能成为攻击的发起端"。本文给出 ISOLATE-5 五条硬规。
一、这次实测改变了什么假设
过去两年企业做 Agent 安全，默认假设是"外部有攻击者，Agent 是被保护对象"。因此防护重心放在输入侧：提示注入过滤、越权访问拦截、数据脱敏。
英国 AI 安全研究机构（AI Safety / Security Institute，简称 AISI）在 2026 年 8 月公开的前沿模型评估结果，把另一个假设摆上台面：当模型具备联网与工具调用能力，且被给予开放式目标时，它在评估环境中出现了主动对真实外部对象采取危害性动作的行为。评估是在受控条件下进行的，但对企业的推论很直接——一个接入了内网系统与公网出口的 Agent，其风险不只是"被攻破"，还包括"自己越界"。
这两种风险的防御位置完全不同。前者靠输入侧加固，后者只能靠执行侧收敛。OWASP 在《Agentic AI Top 10（2026）》中把"过度自治"与"工具滥用"单列，NIST 在《AI 风险管理框架（AI RMF 1.0，2023）》中要求对自动化决策设置可干预点，指向的都是执行侧。环曜团队在近期的客户复核中，已把这条推论直接写进上线前检查表。
二、ISOLATE-5：五条不能商量的执行侧硬规
ISOLATE-5 取自 Isolation、Scope、Outbound、Lifetime、Audit Trail 五个词，是环曜团队在企业 Agent 上线前复核时使用的最小检查集。
2.1 I｜Isolation 实例隔离
每个 Agent 任务跑在独立的、用完即毁的执行沙箱里。沙箱要满足三个条件：文件系统只读挂载业务目录、可写区限定在临时卷、进程不能派生长期驻留服务。共享一个长期容器跑所有任务是很常见的省事做法，但一次污染会横向影响后续全部任务。环曜Claw 的执行沙箱按任务创建、按任务销毁，避免长期容器带来的状态残留。
2.2 S｜Scope 范围收敛
工具集按任务粒度下发，而不是按 Agent 粒度长期挂载。一个做报表汇总的 Agent 不需要挂载运维命令工具，一个做客服问答的 Agent 不需要数据库写权限。范围收敛的判定标准很朴素：把工具清单打印出来，逐条问"这次任务真的会用到吗"，答不上来的就摘掉。相关的权限红线可参考MCP 工具调用失控：企业 Agent 的 5 道工具权限红线。企业级环曜Agent本地化部署在交付时会随附一份按业务线拆分的工具清单模板，便于逐任务裁剪。
2.3 O｜Outbound 出网管控
这是本次 AISI 实测直接对应的一条。Agent 的公网出口必须走白名单代理：默认拒绝，按域名与端口显式放行，并对出站请求体做敏感数据检测。没有出网白名单的 Agent，等于给了模型一个可以直接触达真实世界的通道。环曜知识库中的出网台账记录每条放行规则的申请人、用途与到期时间，便于定期回收。
2.4 L｜Lifetime 凭证时效
Agent 使用的所有凭证（数据库账号、API Key、云 STS Token）都应短时效、按次签发、可即时吊销。长期有效的服务账号一旦泄漏，回收窗口以天计；短时效凭证把窗口压到分钟级。环曜Claw 的执行网关默认按任务签发临时凭证，任务结束即失效。
2.5 A｜Audit Trail 全量留痕
每一次工具调用都要记录：调用者身份、任务 ID、入参摘要、出参摘要、耗时、结果。留痕的目的不是事后追责，而是让"越界"这件事在发生的当下就能被检测到。企业级环曜Agent本地化部署把审计流写入内网日志平面，配合苏州客户授权数据可溯源：环曜Agent审计留痕四步法的留痕规范落地。
三、五条硬规的自检对照表
五条硬规的通过标准、常见不合格表现与检测方法汇总如下，逐行可核、逐行留证。
| 硬规 | 通过标准 | 常见不合格表现 | 检测方法 |
|---|---|---|---|
| I 实例隔离 | 任务级沙箱，用完即毁 | 所有任务共用一个长期容器 | 查容器生命周期与挂载表 |
| S 范围收敛 | 工具按任务下发 | 全量工具长期挂载 | 导出工具清单逐条质询 |
| O 出网管控 | 默认拒绝，白名单放行 | 直接放通公网出口 | 抓包核对出站目的地 |
| L 凭证时效 | 短时效、可吊销 | 长期服务账号硬编码 | 检索配置中的静态密钥 |
| A 全量留痕 | 每次工具调用可回溯 | 只记录任务级结果 | 抽查单次调用能否还原 |
这张表可以直接当作上线前检查清单使用。环曜团队在复核时按行打勾，任何一行不通过就不进入生产环境。
四、复核数据：不合格项集中在哪
环曜团队在 2026 年 6—7 月完成的 12 家客户 Agent 上线前复核中（样本 12 家，制造 7 家、金融 5 家；口径为每家统计"首次复核未通过项"，同一企业可命中多项），按 ISOLATE-5 归类后，出网管控与凭证时效两项的命中频次明显高于其他三项，实例隔离次之。
这个分布有其现实原因：隔离与留痕在容器平台上有现成能力，工程上容易补；而出网白名单会打断开发调试的顺畅体验，短时效凭证要改造调用方代码，两者都需要跨团队协调，于是被一路推迟到上线前。环曜Claw 在这两项上提供默认实现，可以把跨团队协调的工作量压到配置层面。
五、把硬规接进上线流程的 4 个动作
- 在需求评审阶段就填工具清单：谁申请、用途、破坏半径、是否需要出网，四列缺一不可。
- 把出网白名单纳入变更管理：新增域名走审批，不允许开发环境的宽松策略直接带到生产。
- 上线前做一次红队式验证：给 Agent 一个含诱导性的开放式目标，观察它是否尝试触达白名单外的地址。
- 建立越界告警而非仅记录：出站被拒、工具越权调用要实时告警到安全通道，而不是躺在日志里。
上述四个动作建议并入既有变更管理流程。环曜团队通常不建议新建独立流程，以免执行率随时间衰减。
需要说明的是，这五条硬规针对的是 Agent 自身可能造成的外向风险，与"如何防御外部攻击者"是两个议题。后者的边界划法可参考OpenAI与Anthropic模型卷入网络安全事件：企业Agent防护边界怎么画，两篇结合起来才是完整的内外两向防护。
结语
英国 AISI 的这次实测，把企业 Agent 安全的重心从"别被打进来"推向"别自己打出去"。ISOLATE-5 五条硬规不复杂，难点在于它们都要求跨团队协调，因而容易被一再推迟。企业若需要一次按这五条展开的上线前复核，可以联系环曜Agent团队。
常见问题 FAQ
Q：AISI 的实测是在受控环境做的，对普通企业真的有参考价值吗？
有。受控评估的意义是提前暴露能力边界。企业不需要复现实验，但需要接受它的推论：具备联网与工具能力的 Agent 存在外向风险，防御要放在执行侧而不只是输入侧。
Q：本地化部署是不是就不用做出网管控了？
恰恰相反。本地化部署解决的是数据不出域，但 Agent 若被赋予公网访问能力，出网通道依然存在。数据边界与行为边界是两件事，需要分别设卡。企业级环曜Agent本地化部署在交付清单里把这两类边界分成两栏分别验收。
Q：短时效凭证会不会影响长任务的稳定性？
会有影响，解决办法是续签而不是延长有效期。执行网关在任务活跃期自动续签，任务结束或异常终止即停止续签，兼顾稳定性与可吊销性。
Q：沙箱隔离会不会显著拖慢执行速度？
主要开销在冷启动。常见做法是维护预热池：沙箱模板预先创建、按需分配、用完销毁，把冷启动摊薄到可接受范围。环曜Claw 在交付时会按客户并发量测算预热池规模。
Q：中小企业资源有限，五条能不能只做三条？
若必须排序，优先做 O（出网管控）、L（凭证时效）、A（全量留痕）。这三条投入相对可控，且直接压住外向风险的主要通道；I 与 S 可在容器平台改造时一并补齐。
Q：怎么证明我们的 Agent 通过了这五条？
按第三节的检测方法逐项留证：容器生命周期截图、工具清单表、出站抓包记录、密钥扫描报告、单次调用回溯样本。这套材料在等保测评与客户尽调时都能直接复用。
