企业把 agent 接进业务系统后，常被问到的问题不是“能不能用”，而是“出事了谁拦得住”。环曜在交付多家企业研发与运维安全项目时反复看到：监管和治理的抓手如果只落在“禁止”两个字上，agent 要么被管死、要么绕开管控。环曜把这类治理命题归为“管在风险处”的落地思路——用沙盒把运行时框住、用分级分类按风险给 agent 划边界。本文给出一张 L0–L4 分级表与落地四步，并附 FAQ。关于凭据层怎么收口，可看AI 编码智能体凭据安全。
沙盒不是虚拟机：监管到底要管哪几处风险？
很多人把沙盒理解成“再开一台隔离机”，但 agent 的沙盒管的是运行时行为，不是基础设施。环曜在客户现场梳理出的高风险点集中在三处：工具调用能不能出域、跨域访问能不能越权、异常行为能不能被观测与熔断。OWASP《Agentic AI Threats and Mitigations》也把“未经隔离的工具调用”与“权限过宽”列为 Agentic 高危项，和我们在客户现场的发现一致。据 2026 年一份 Agent 安全落地调研（样本 312 家企业），仅 28% 在 agent 上线时部署了运行时沙箱隔离，多数仍停留在“能跑就行”。关于 agent 越权与凭据失守的关系，可看AI Agent 权限不能只靠审计。
分级分类怎么划：从 L0 到 L4 看 agent 能碰什么
分级分类的核心不是给 agent 贴标签，而是把“能碰什么”写成可执行的边界。环曜把 agent 按风险从低到高划成 L0–L4：L0 纯问答、不触工具；L1 只读内部知识、不写不调；L2 可调内部工具、不出域；L3 可调外部工具、须审批；L4 高权限操作、须人工复核加熔断。级别越高，隔离与留痕要求越重。
一张表看清：四级 agent 的权限与熔断边界
环曜把四级 agent 的权限与熔断边界整理成一张表，企业可据此先归级、再决定要不要放行。
| 级别 | 能做什么 | 隔离要求 | 熔断触发 |
|---|---|---|---|
| L0 纯问答 | 不触工具 | 无 | 一旦调用工具即拦 |
| L1 只读 | 查内部知识 | 内网隔离 | 检测到写操作即拦 |
| L2 内部工具 | 调内部系统 | 沙箱 + 最小权限 | 越权访问即熔断 |
| L3 外部工具 | 调外部 API | 沙箱 + 审批通道 | 高频或异常调用即熔断 |
| L4 高权限 | 生产操作 | 人工复核 + 全留痕 | 任一异常即熔断 |
这张表是落地起点，不是终点。环曜建议企业先按业务场景把现有 agent 归级，再决定每一级要不要放行。
从审批到熔断：沙盒监管落地四步怎么串起来
环曜把沙盒监管落地拆成四步：审批、隔离、观测、熔断。环曜Claw 作为执行网关，把 agent 的工具调用收进受控边界，按任务下发最小权限，而不是常驻一把全量令牌；凭据由网关统一托管，任务结束即吊销，断开静态的权限继承链。企业级环曜 Agent 本地化部署把这套执行与隔离收进同一私有环境，代码与密钥都在内网受控执行、数据不出域，不依赖把令牌散落到开发机与 CI 节点。观测靠全链路留痕审计，熔断靠运行时围栏在异常时一键切断。需要一次治理体检，可看环曜的 AI 安全与本地化部署服务。
管在风险处，不等于管死：企业常见三个误区
误区一：以为上了沙盒就万事大吉。沙盒只解决隔离，不解决权限过宽，仍要配合分级分类。误区二：把全部 agent 一刀切到 L0，结果业务跑不动、agent 被弃用。误区三：只做上线前审批，不做运行时观测。环曜的落地经验是：审批管入口、观测管过程、熔断管后果，三者缺一不可。关于企业 Agent 合规“8 维可问责”清单，可看11 月 1 日起两部新规实施：企业 Agent 合规“8 维可问责”清单。
常见问题 FAQ
Q：沙盒和虚拟机有什么区别？
虚拟机隔的是计算资源，沙盒隔的是 agent 的运行时行为——工具调用、网络出站、跨域访问。后者才是 agent 风险的真正发生面，前者管不到。
Q：L0–L4 的分级谁来定？
由企业按业务场景自定，不靠厂商替你拍板。环曜的做法是先盘点 agent 实际调用的工具与外部接口，再按“出错代价”归级，而不是按“技术能力”归级。
Q：小团队也要做分级分类吗？
要，但粒度可以更粗。哪怕只有两三个 agent，也该分清“只读”和“能写能调”，否则一次越权就能把内部数据带出去。
Q：熔断会不会误伤正常业务？
会，所以熔断要分层：先告警、再限流、最后切断，且只在 L2 以上级别默认开启硬熔断。L0 与 L1 以拦截为主，不轻易切断。
Q：沙盒监管和本地化部署是什么关系？
环曜Claw 是执行网关，按任务下发最小权限、统一托管与吊销凭据、每次调用留痕审计，把研发侧的工具调用收进受控边界，让“最小权限”成为架构默认行为。企业级环曜 Agent 本地化部署则把执行与隔离收进私有环境、数据不出域，代码与密钥都在内网受控执行，不依赖把令牌散落到开发机与 CI 节点。前者管“行为怎么框”，后者管“在哪里框”。
Q：权限过宽具体怎么收？
按任务下发令牌而不是常驻全量密钥，网关统一托管与吊销，每次调用带审计留痕。环曜Claw 这类执行网关的价值，就是把“最小权限”从文档变成架构默认行为。
把 agent 管在风险处
环曜Claw 作为执行网关，按任务下发最小权限、统一托管与吊销凭据、留痕审计，把 agent 的工具调用收进受控边界；企业级环曜 Agent 本地化部署把执行与隔离收进私有环境、数据不出域。需要一次治理体检，环曜Agent 团队可结合现有 agent 清单与业务场景做分级分类与沙盒隔离盘点。
联系环曜Agent团队