9 月国家网络安全宣传周发布《2026 年人工智能大模型安全众测活动典型漏洞风险的通报》：活动动员 2467 名白帽子，对国内 25 家 AI 厂商的 54 款大模型及智能体应用产品做漏洞测试，累计发现 873 个漏洞，其中大模型及智能体应用特有漏洞 608 个，传统漏洞 265 个。对正在用或准备用 AI Agent 的企业来说，这个数字不是一个行业八卦，而是一个直接提醒：把 Agent 接进业务系统，攻击面也随之进来了。环曜实验室 2026 年 8—9 月调研 33 家已部署企业 AI 的制造业与金融业客户（口径：已上线或试点 Agent 且接入内部数据；时间窗：2026-08 至 2026-09；样本量：33 家），其中 64% 把「SaaS Agent 的权限与数据调用不可控」列为暂不扩大 AI 使用的首要顾虑。本文用安全护栏四步，把「怕被漏洞波及」拆成可验收项。
608 个漏洞，暴露的是 SaaS Agent 的攻击面
传统漏洞多集中在服务器、接口、依赖库；而 608 个智能体特有漏洞，指向的是 Agent 才有的新攻击面：工具调用被劫持、提示词注入诱导越权、上下文泄露敏感字段、长期记忆被污染。
问题不在模型「聪不聪明」，而在 Agent 被赋予了「替你办事」的权限。一旦把 Agent 架在公有云 SaaS 上，工具调用与数据访问的入口就落在第三方服务器，企业既看不见调用链，也收不回权限。修改后《网络安全法》新增人工智能专条（2026 年 1 月 1 日施行），配套《人工智能安全治理框架》3.0 版也把智能体安全列为重点，企业侧的可控性正在从「加分项」变成「必答题」。
企业级环曜 Agent 本地化部署（智能体私有化部署）的底层逻辑，是让推理、工具调用与数据访问都发生在企业自有服务器上，攻击面收回到自己手里。
本地化部署为什么能收敛攻击面
同样的 Agent，部署位置不同，攻击面完全不同。
| 攻击面维度 | 公有云 SaaS Agent | 企业级环曜 Agent 本地化部署 |
|---|---|---|
| 工具调用入口 | 厂商侧，不可见 | 企业自有服务器，可调可控 |
| 数据访问路径 | 经第三方，难留痕 | 数据不出域，访问可审计 |
| 权限回收 | 依赖厂商配合 | 角色级秒级回收 |
| 漏洞响应 | 等厂商修复 | 自有环境可先收敛 |
| 出证能力 | 难取证 | 全量日志可导出举证 |
企业级环曜 Agent 本地化部署把工具权限与数据访问收进境内私有环境，提示词注入、越权调用这类风险在企业边界内就能被先发现、先拦截，而不是等厂商发补丁。
内部制度与涉密条款的问答，背后是一套知识底座。企业级环曜RAG知识库本地化部署把安全规范、合规条款、应急预案做成可溯源的文档检索与知识检索，敏感制度的查看仍由权限层按角色隔离；检索这一环也留在境内，不外传原始文本。多源接入的落地细节，我们在 中小企业买了AI知识库没人用：企业级环曜RAG知识库本地化部署自助上手五步 里拆过。
安全护栏四步：把攻击面收回到自己手里
过安全关不是买一个「更安全的模型」，而是把权限、数据、审计、复核逐项钉死。建议按四步推进：
- 收敛工具权限：Agent 只拿到完成业务必需的最小工具集，能只读的不给写，能脱敏的不给原文。
- 数据不出域：推理与数据访问都在自有服务器，敏感字段不进第三方，输入输出可审计。
- 全量审计：每一次工具调用、每一段上下文、每一条返回，都留痕到可导出举证的日志。
- 定期复核：每季度做一次权限与漏洞复核，新增工具或数据源时同步更新护栏。
这四步在企业级环曜 Agent 本地化部署里做成可验收的护栏项——每一项都能拿出配置与日志，而不是凭口头承诺。四步的顺序不能颠倒：先收敛权限，才谈得上有护栏。这与 律所卷宗上云怕泄密：企业级环曜 Agent 本地化部署权限隔离五步 的思路一致——权限先分好、再留痕，而不是出事再补。
一家金融客户的踩坑
某区域性银行用一款公有云 Agent 做客服知识问答，把产品说明、部分客户信息接了进去。一次提示词注入让 Agent 把不该出现的客户字段带进了回答，虽未造成外泄，但触发内部安全复盘。复盘结论：工具权限给得太宽、数据路径经第三方、调用链不可见，任何一个环节都只能等厂商动作。
改成本地化部署后，Agent 只拿到脱敏后的产品知识，客户原始信息留在境内自有服务器，每一次调用都有日志可查，权限按角色秒级回收。数据不出域的做法，可对照 跨境制造企业的 AI 数据合规：本地化部署如何过出境审查 的字段分级思路。
上线前安全自检清单
- [ ] 工具权限是否已收敛到最小集（只读/脱敏/禁止越权）？
- [ ] 推理与数据访问是否都在自有服务器（数据不出域）？
- [ ] 每一次工具调用与返回是否都有日志可导出举证？
- [ ] 敏感字段是否已在接入前脱敏或去标识化？
- [ ] 角色权限是否支持秒级回收与定期复核？
- [ ] 知识库涉密条款是否按角色隔离、检索不外传原文？
落地细节在 本地化部署服务页 里逐条对应，便于照单验收。企业级环曜 CLI 本地化部署还能把「权限与漏洞复核」写成一条命令行指令，纳入 CI/CD 安全检查自动执行，避免人工漏项。
常见问题 FAQ
Q：608 个漏洞，是不是说明大模型本身不能用？
不是模型不能用，是「带权限的 Agent 接业务系统」这个形态需要护栏。608 个特有漏洞指向工具调用、提示词注入、上下文泄露这类 Agent 独有的风险，靠模型本身解决不了，要靠部署形态与权限设计。
Q：本地化部署是不是就不怕这些漏洞了？
部署在自有服务器只是把攻击面收回自己手里，不等于免疫。企业级环曜 Agent 本地化部署的价值是「可见、可控、可先收敛」——你能看到调用链、能秒级回收权限、能在厂商补丁前先处置。
Q：SaaS Agent 和本地化部署，攻击面差在哪？
差在入口归属。SaaS 的工具调用与数据访问在厂商侧，企业看不见也收不回；企业级环曜 Agent 本地化部署把入口收在自有服务器，权限、日志、回收都在自己边界内，先发现先收敛。
Q：哪些数据必须留在境内、不能进 Agent？
客户原始信息、未脱敏的经营数据、涉密制度原文建议境内留存；产品说明、脱敏后的统计口径可对外。判定依据是数据分级，而不是「感觉重不重要」。
Q：安全规范、合规条款能接进 AI 吗？
可以。企业级环曜RAG知识库本地化部署支持多源接入，安全规范与合规条款都能做文档检索与知识检索，问答带溯源，涉密原文仍按角色隔离、检索不外传。
Q：中小企业安全投入受得了吗？
轻量化本地化部署年费一口价，常见档位低于一次安全事件的内部复盘与外部沟通成本。企业级环曜 CLI 本地化部署也能把护栏检查写成定时任务，减少人工投入。具体规模可参考 2026 轻量化本地化 AI Agent：中小企业降本实施方案 的测算框架。 你们卡在哪一环？是工具权限收不下来，还是调用链看不见？评论区说说场景，我挑几个拆成可执行的护栏项。
漏洞在外，护栏在内
SaaS Agent 的攻击面不在你手里。安全护栏四步把工具权限收敛、数据不出域、全量审计、定期复核写成开箱清单，本地化部署帮你把推理与数据收进自有服务器，漏洞可被先知道、先收敛。
联系环曜Agent团队