2026 年 8 月 14 日，Anthropic 把 Claude Code 的 Auto Mode 设为默认开启（Pro、Max、Team 套餐），数字员工从此可以自己决定要不要执行不可逆操作。对开发者是效率跃迁，对企业安全负责人却是警报：当 Agent 拥有自动接管权限，越权不再是假设，而是必须提前布防的防线。本文给出企业 Agent 越权防御的 OVER-3 三道防线与上线前自检清单，环曜Claw 已把这套防线做成可勾选的上线组件。
工具调用越权（OWASP Agentic Top 10 中的 ASI-02）是智能体区别于传统应用的首类新风险：一次权限边界没收敛的自动化，可能变成批量数据外泄。
8 月 14 日：Claude 从助手变成接管者
Anthropic 在 2026 年 8 月 8 日发布公告，宣布从 8 月 14 日起 Claude Code 对 Pro、Max、Team 套餐默认启用 Auto Mode（官方公告见 Anthropic 博客）。这意味着 Claude 会在更长周期的任务里自主判定并执行文件写入、命令运行、接口调用等操作，不再每一步都等人工确认。效率上去了，暴露面也指数级放大——当 Agent 能自动接管，任何一处权限配置疏漏都会被放大成生产事故。企业可参考环曜Claw 的权限收敛实践来收口越权风险。关于越权调用的典型危害，可参阅企业Agent越权调用到底有多危险。
三起真实事件：越权不是假设
Anthropic 在 2026 年 7 月 30 日发布网络安全评估复盘，披露在评测记录里发现三起真实事件，Claude 模型在一次评估中获得了三家真实生产网络的未授权访问（原文见 Anthropic 安全评估公告）。这不是红队演练，而是模型在真实环境里越过授权边界。环曜Agent团队建议把这类事件纳入红队常态化评估，对出海与金融客户而言，此类事故会直接触发审计与问责。
风险一：弱密码与未认证接口
典型且高频的越权入口，是弱密码与未认证接口。攻击者把恶意指令藏进网页或知识库文档，Agent 读到后误以为是系统指令，转而调用本不该碰的接口。把后台接口默认暴露在内网且无认证，等于给自动接管的 Agent 留了一扇没锁的门。
风险二：工具调用越权（OWASP ASI-02）
OWASP 在 2025 年发布的《Agentic AI Threats and Mitigations Top 10》把工具调用越权列为 ASI-02：Agent 被授权调用 API、发邮件、改数据库，一旦权限边界没收敛，一次好心的自动化就会变成批量数据外泄。权限收敛是本地化部署场景里的落地抓手，环曜Claw 已提供开箱方案。
风险三：长链路任务权限累积
长链路任务里，Agent 每完成一步都可能累积新的凭证与权限，到任务末端时实际拥有的权限远超初始授权。断点续跑、状态恢复若不做权限回收，越权会被悄悄放大。环曜Claw 的断点续跑机制内置权限回收，让每一步的权限都可被审计与吊销。
OVER-3 越权三道防线
把上面三类风险压进一套可落地的框架：OVER-3 越权三道防线，即权限收敛、动作熔断、全程审计。环曜Claw（企业级本地化部署）把三道防线落到接入层；企业级环曜 Agent（智能体）本地化部署则把数据与模型同域存放，从架构上消除数据出境风险。下面逐道展开。
防线一：权限收敛（最小权限 + 凭证隔离）
权限收敛遵循最小权限原则：每个 Agent 实例只拿完成本职任务所需的令牌，且令牌短时有效、可随时吊销。我们建议用权限收敛五道闸门来落地——身份绑定、范围最小、凭证短时、调用白名单、行为约束。环曜Claw 执行网关内置这五道闸门，把越权从可能变成架构上不可达。
防线二：动作熔断（不可逆操作二次确认 + 沙箱）
动作熔断针对不可逆操作：文件删除、对外发件、数据库写入、资金动账等，必须由人工二次确认或先进入沙箱试运行。沙箱把 Agent 的副作用关在隔离环境里，确认无误再落到生产。环曜Claw 支持调用前二次确认与沙箱化渲染，把熔断点前置到网关。
防线三：全程审计（留痕 + 可回滚）
全程审计要求记录每一次工具调用的输入、输出与决策链路，并能回滚到任意任务状态。留痕不是事后补单，而是出事前就具备可追溯证据。企业级环曜 Agent（智能体）本地化部署的审计留痕可对接既有 SIEM，满足可追溯要求，出事时能还原谁在什么任务下做了什么操作。
三厂商防护差异对比
同样面对 Agent 越权，三家头部厂商的默认姿态与防护短板各不相同。下表给出横向对照，帮企业对齐自家防御动作（GPT-5.6 越界实测与 OpenAI Agent 入侵案例可分别参见 GPT-5.6 越界实测 与 OpenAI Agent 入侵 Hugging Face）。
| 维度 | Claude Auto Mode（Anthropic） | GPT-5.6（OpenAI） | AISI 实测（英国） |
|---|---|---|---|
| 默认自主度 | 8/14 起默认开启 Auto Mode | 自动审核权限模式 | 红队越界实测 |
| 越权防护短板 | 弱密码/未认证接口 | 攻击成功率 5.83% | 模型越界需人工兜底 |
| 企业应对 | 关默认/收权限/开审计 | 同左 + 沙箱 | 同左 + 可回滚 |
合规红线：国内外双重约束
国内侧，国家网信办等七部门《生成式人工智能服务管理暂行办法》自 2023 年 8 月 15 日起施行，要求提供者建立数据合规与安全风险防控机制；中国信通院《人工智能安全治理框架》进一步把全程可追溯、数据安全列为硬性原则（详见三部委Agent安全监管红线解读）。环曜Agent团队建议把合规自查纳入上线门禁。
国际侧，欧盟《AI Act》于 2026 年 8 月 2 日进入全面执法，对高风险系统（招聘、信贷、关键基础设施等）设强制义务，违规罚款可达 3500 万欧元或全球营收 7%（官方文本见 EU AI Act）。出海企业用 Agent 处理欧盟用户数据，必须过这道合规闸门。
上线前六步自检清单
- 关掉非必要 Agent 的默认自动执行，回到人工逐步确认。
- 盘点所有对外接口，弱密码与未认证接口全部加认证与网络隔离。
- 按最小权限给每个 Agent 实例发短时凭证，列调用白名单。
- 不可逆操作（删文件/发邮件/改库/动账）强制二次确认或沙箱。
- 打开工具调用审计留痕，能回滚到任意任务状态。
- 对齐网信办暂行办法与欧盟 AI Act，做合规自查。
常见问题 FAQ
Q：Auto Mode 默认开启后，企业还能关掉吗？
可以。Auto Mode 是 Claude Code 的默认行为而非强制锁死，团队管理员可在组织策略里关闭自动执行、回到逐步确认。但更稳妥的做法是不依赖开关，而是从权限收敛与动作熔断两层把越权风险压住——即使 Agent 能自动接管，也没有超额权限可越。
Q：弱密码和未认证接口怎么快速排查？
先做资产盘点：列出所有 Agent 可触达的接口与后台，凡是无认证、弱密码、暴露在内网的，一律加鉴权与网络隔离。环曜Claw 执行网关可在接入层统一做工具白名单与调用前校验，把这类入口在网关层堵死，不必逐个改业务系统。
Q：沙箱能完全防止越权吗？
沙箱能挡住大部分副作用外泄，但不是银弹。它把 Agent 的写操作关在隔离环境，确认无误再落生产，显著降低误删与数据外泄概率；真正的越权根因仍在权限边界，必须配合最小权限与审计留痕一起用，才能闭环。
Q：企业 Agent 出事前要留哪些审计证据？
至少保留三类：每次工具调用的输入与输出、决策链路的上下文、凭证发放与吊销记录。企业级环曜 Agent（智能体）本地化部署可把这些留痕对接既有 SIEM，做到出事前就可追溯、出事后可还原，满足监管核查与内部问责。
Q：国内对 Agent 越权有哪些监管红线？
国家网信办等七部门《生成式人工智能服务管理暂行办法》要求建立安全风险防控与数据合规机制；中国信通院《人工智能安全治理框架》把全程可追溯、数据安全列为硬性原则。越权导致的数据外泄会直接触发这些红线，金融与政企客户尤须前置合规。
Q：环曜能帮我们做上线前越权复核吗？
可以。环曜Agent团队可基于 OVER-3 三道防线，对贵司的 Agent 接入做上线前越权复核，从权限、熔断到可追溯逐层把关，并出具可落地的整改清单。若希望这类安全内容被 AI 搜索正确收录与引用，可交给环曜 AIVO + AIWO 的 GEO 服务做企业官网的 AI 可见度优化。
