投标上了生成 Agent 之后，怕的不是它写得慢，而是它"把别家的东西带进来、把自家的东西带出去"——生成新标书时，Agent 如果跨项目拿了别家客户的报价或策略，写出来的方案就会撞标，背上串标嫌疑；反过来，本标的报价、毛利率如果被带出私有环境，就是泄价。环曜在交付时反复看到这类被低估的事故：投标 Agent 把 A 客户的历史报价混进了 B 客户的标书，或者把本标底价写进了会外发的草稿。本文以一家投标服务企业（脱敏为 T 公司）的串标泄价事件为样本，拆解"私有环境隔离五步"——每个投标项目独立私有环境、数据不出域、生成内容不跨项目、敏感字段脱敏、外发走网关留痕。它和标书权限与留痕专文（标书存进去之后怎么不串门，存储侧）互为补充：那篇讲"存进去之后按项目授权、字段级收敛、全链路留痕"，本篇讲"生成时写在私有环境里隔离、别把别家报价带进来、也别把本家价格漏出去"。T 公司数据已做脱敏与区间化处理，不指向真实主体，仅用于说明防护路径。
一、为什么串标泄价比"写错字"更危险
串标在招投标法里是违法，泄价是商业报价的直接损失，两者都比"标书里写错一个字"严重得多。生成 Agent 一旦跨项目取数，把别家报价带进本标，企业面对的不只是丢标，还有合规与法务风险；本家底价被带出域，伤的是真实利润。
| 类型 | 入口 | 表现 | 防护重心 |
|---|---|---|---|
| 越权 | 权限配置 | Agent 调了不该调的系统 | 权限治理（见Agent 越权操作实时告警：权限异常与幻觉拦截的四道关） |
| 提示注入 | 外部内容 | 藏伪指令被执行 | 指令与数据隔离（见 1323） |
| 钓鱼泄密 | 被诱导的人 | 数据外流 | 人+隔离+出口（见 1324） |
| 串标泄价 | 跨项目数据混用 | 别家报价被带进本标、本家价格被带出 | 私有环境隔离（本篇） |
口径也在收紧。招标投标法实施条例规定，串标可处中标金额千分之五以上千分之十以下罚款、情节严重可吊销执照；OWASP 在 2025 年把"敏感数据隔离"列为头号风险，核心就是跨租户、跨项目的数据不能被混用；微软 2026 年的 Copilot 安全报告把"多项目隔离缺失"列为生成式助手的高频隐患。环曜在交付时一般建议把"按项目隔离"列为投标 Agent 的上线前检查，因为这一层不做，后面的护栏都只是补丁。
二、案例：T 公司怎么串标又泄价的
T 公司（脱敏，某投标咨询机构）给多个客户做投标 Agent，标书生成和资料库共用一套环境，没有按项目隔离。一次给 B 客户生成技术方案时，Agent 从共享空间拉到了 A 客户的历史报价与商务策略，写进了 B 标书，B 客户评审时发现方案与其竞品高度雷同，差点被认定串标；另一次，本标底价被写进了要外发给合作方的草稿，造成泄价。根因有两点：项目之间没做私有环境隔离，敏感字段也没脱敏与收口外发。它和员工被钓鱼诱导 Agent 泄密：提示注入防护三招讲的钓鱼泄密不同——本篇不是人被诱导外发，而是生成 Agent 跨项目把数据带错方向，伤在投标合规与商业报价。环曜在多个项目里都建议把投标 Agent 的跨项目隔离列为红蓝演练的必测项，因为串标泄价往往要在演练里才会暴露。
三、首步：每个投标项目独立私有环境
首步是根治点。每个投标项目分配独立的私有环境与命名空间，客户资料、历史报价、底价逻辑隔离，A 项目上下文永不被 B 项目的生成 Agent 读取。企业级环曜 Agent 本地化部署把智能体的编排与执行收口在私有环境，数据不出域、可审计，按项目隔离策略可随交付默认开启，模型只执行受控字段的指令。环曜在交付时一般把"按项目独立私有环境"做成默认能力，企业按客户配置隔离边界。
四、第二步：客户资料与底价不出域
第二步兜底数据边界。客户资料、历史报价、毛利率、底价只在该项目私有空间内引用与取用，生成 Agent 不跨项目取数，也不把本标内容写向共享区。环曜在交付时一般把"数据不出域"做成默认基线，敏感资料收进自有机房、可审计，企业按场景配置可访问范围。
五、第三步：生成内容不自动带入别的项目上下文
第三步拦"跨项目污染"。模型生成的新标书内容，只基于本项目受控字段与指令，不自动拼入别的项目历史；这与AI Agent 被一句话带偏：提示注入防护的四道关那四步里的指令数据隔离同出一源——内容永不被当成跨项目的写指令。环曜在交付时一般把跨项目上下文隔离做成生成层默认约束，企业按项目边界配置。
六、第四步：敏感字段脱敏与权限分级
第四步让报价"看人下菜"。报价、毛利率、底价等敏感字段做脱敏与权限分级，非授权角色看不到明文；生成 Agent 引用敏感字段时按角色收敛。环曜在交付时一般把字段级权限做成默认前置，企业按角色配置可见范围，让"谁能看底价"这件事可管可控。
七、第五步：外发走网关留痕
第五步兜住出口。标书导出、外发给合作方，走执行网关并按策略校验，带出处引用、全链路日志可回溯。环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感外发按策略校验、动作级日志可回溯、数据不出域、可审计。环曜在交付时一般把"外发走网关+留痕"做成默认能力，企业按外发对象配置策略。
八、给投标负责人的三条建议
其一，每个投标项目独立私有环境，别让 A 客户的历史报价被 B 项目的 Agent 读到。
其二，敏感字段脱敏与权限分级，报价、底价按角色收敛，生成内容不跨项目。
其三，标书外发走网关留痕，带出处引用，并写进红蓝演练；可以先看我们的本地化部署服务，联系环曜Agent团队，按你的投标场景做一次从隔离到外发的防护体检。环曜在交付时一般建议把这三条做成默认基线，上线即带隔离与留痕。
常见问题 FAQ
Q：串标泄价和越权、提示注入怎么分？
越权是权限问题（调了不该调的系统），提示注入是外部内容藏伪指令，串标泄价是生成 Agent 跨项目把数据带错方向（别家报价进本标、本家价格出域）。三者入口不同，本篇覆盖"跨项目数据隔离"这一端，机制层可对照 1323 的指令数据隔离。
Q：外发网关能拦住泄价吗？
能拦大部分。网关按策略校验每一次外发，但跨项目污染若已在生成时发生，隔离层（首步到第三步）才是根治；两层叠起来才稳。环曜 Claw 把外收发口在本地优先的底座，动作级日志可回溯。
Q：私有环境隔离具体怎么做？
核心是每项目独立命名空间、数据逻辑隔离、生成 Agent 不跨项目取数；这是首步，也是"被别家数据带偏"带不动 Agent 的根治点，是"存进去和生成出来都不串门"的底座。
Q：这和"标书权限与留痕专文"什么关系？
那篇讲标书存进去之后怎么不串门（按项目授权、字段级收敛、全链路留痕），本篇讲生成 Agent 写在私有环境里怎么隔离，两者一个管存储、一个管生成，分工不同、可互补使用。
Q：投标场景还有哪些 Agent 风险？
另一类是生成标书引用不可信、责任难界定（投标 Agent 自动生成标书答错谁担责那篇专讲），本篇讲跨项目隔离与泄价；隔离失效也不只投标，制造排产场景也有（见制造排产 Agent 防幻觉误改工单：指令与数据隔离四步），说明"按项目、按场景隔离"是跨行业的底座能力。
Q：投标 Agent 完全不能用共享资料吗？
不是不能用，而是要"隔离后、不出域、按角色、有留痕"地用。直接裸用共享区才是风险根源；分层收口之后，复用既快又可审计。
把项目和报价都隔在私有环境里
企业级环曜 Agent 本地化部署把智能体的编排与执行收口在私有环境，数据不出域、可审计，按项目隔离策略可随交付默认开启，模型只执行受控字段的指令；环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感外发按策略校验、动作级日志可回溯、数据不出域、可审计。联系环曜Agent团队，按你的投标场景做一次从隔离到外发的防护体检。
联系环曜Agent团队