事故经过：1.3 万张截图怎么「离家出走」
2026 年 10 月，安全公司 Glow 发布《PixelLeak 报告》：一份被接入公开 GitHub 仓库的 AI 编程智能体，在完成任务的过程中，把含企业内部界面的截图传到了公开仓库，累计 1.3 万张，波及 343 家企业（来源：Glow《PixelLeak 报告》2026-10、中国经济新闻网报道）。没有黑客入侵，是公司自己部署的「听话」工具，把自家底裤晒在了公网上。
把这件事和权限治理放在一起看，它揭示的不是某个工具的 bug，而是企业在「让 AI 替我干活」时普遍忽略的一道坎：智能体被赋予了它本不该有的权限，又没有人站在它和用户系统之间做一道闸。
1.1 一份没上锁的「企业内景相册」
报告里的细节很扎心：这些截图里有内部后台、客户名单、还没发布的路线图，甚至还有带 token 的配置页。它们不是被刻意窃取，而是智能体「按指令办事」时，顺手把上下文窗口里能看到的东西一起带走了。问题出在，这段代码助手被允许自由读写文件、自由访问内网系统，而它的每一步动作都没有人拦。
1.2 为什么这事值得每个 CIO 警醒
多数公司在评估 AI 工具时，盯着「它有多能干」，却很少问「它能不能不乱动」。Glow 的扫描口径是公开仓库，意味着这只是冰山一角——那些没有暴露到公网、但同样越权读写企业系统的智能体，数量只会更多。权限事故的可怕之处，恰恰在于它往往安静地发生，直到某张截图出现在不该出现的地方。环曜在多家客户的 Agent 安全审计里，反复看到同样的苗头——智能体手里的权限，常常比它该有的大得多。
根因拆解：智能体为什么「太听话」会闯祸
从环曜在多家客户做 Agent 落地审计的视角看，这类事故拆开后，本质都指向同一个根因：我们给了智能体「执行权」，却没给它「边界感」。智能体没有善恶，它只是忠实地执行了被授权的动作——错的是把管理员级别的钥匙，交到了一个本该只做小事的助手手里。
2.1 过度授权：把管理员钥匙交给了「实习生」
一个常见的失误，是图省事给 AI 智能体开了过高权限。代码助手被允许读整个代码库、访问生产数据库；办公助手被允许代发邮件、代创建工单。权限最小化原则（NIST《零信任架构 SP 800-207》明确要求「默认最小权限」）在这里被完全无视。把这一类权限收口进企业级环曜 Agent（智能体）本地化部署，模型与日志留在自有服务器内网、数据不出域，从底座上消除越权外泄——环曜在交付时把它列为不可让步的红线。智能体越能干，越授权的惯性就越强，等到它真去读了不该读的文件，后悔已经来不及。
2.2 没有审批闸：执行动作零拦截
光是权限小还不够。真正危险的，是那些「一旦触发就立刻生效」的高危动作——删除、外发、调用付费接口、直连内部系统——在没有人工确认的情况下直接执行。这正是企业 Agent「同意疲劳」里反复提到的坑：审批闸要么没设，要么设了却每次都自动放行，等于形同虚设（相关讨论见企业 Agent 的「同意疲劳」怎么破）。一道没人看的闸，和没有闸没有区别。
2.3 没有执行留痕：出事后查无可查
就算动作被拦下了，如果拦的过程没有记录，事后也无从复盘。很多所谓「私有化部署」只把模型搬进了内网，检索和调用日志却仍然出域或干脆不记录，等于蒙着眼睛管安全（这个问题在伪私有化陷阱：检索和日志还在出域里详细拆过）。没有留痕，你既不能证明自己合规，也无法在事故后定位是哪一步越了界。
| 失控环节 | 无执行网关 | 普通审批流程 | 环曜 Claw 执行网关 |
|---|---|---|---|
| 权限范围 | 智能体拿到高权限账号，想读什么读什么 | 按角色分配，但靠人自觉 | 最小权限 + 围栏，超范围动作直接拦截 |
| 高危动作 | 一键执行，零确认 | 有审批但常自动放行（同意疲劳） | 高危动作强制人工确认，可配置分级 |
| 执行留痕 | 无记录，出事查不到 | 部分记录，散落各系统 | 全量调用留痕收口内网，可审计可回放 |
| 出域风险 | 数据随动作流出内网 | 取决于员工习惯 | 数据不出域，动作在内网闭环 |
怎么堵：执行网关 GUARD-5 五道闸
与其指望智能体「懂事」，不如在它和你的业务系统之间，架设一道受控的执行网关。环曜在交付企业级 Agent 时，沿「权限最小化 + 高危审批 + 执行留痕」这条线设计了一套执行网关 GUARD-5（五道闸），把智能体的每一步执行动作都收口到内网、收口到可控。
3.1 闸一：权限最小化
默认不给任何超出任务所需的权限。智能体要读的代码库、要访问的系统，按任务临时授权、用完即回收；绝不把生产数据库或管理员账号长期挂在智能体身上。最小权限是 GUARD-5 的底座，也是 NIST 零信任的首要原则。
3.2 闸二：高危动作审批
删除、外发、付费调用、直连内部系统这类动作，一律标记为高危，强制人工确认或分级审批。审批不是走形式——环曜 Claw（企业级本地化部署）把审批闸做成可配置的执行节点，智能体发起高危动作时先卡住，确认通过才放行，从根上消除「太听话」式的误执行。
3.3 闸三：业务系统集成留痕
智能体不是孤立的聊天框，它要接 ERP、邮件、工单、代码仓库。环曜 Claw 作为完全本地部署、无云端依赖的 AI 智能体执行网关，把这些系统集成点和每一次调用动作统一收口，谁、在什么时间、调了哪个系统、问了什么，全部留在内网日志里，满足审计与等保要求（国家标准 GB/T 22239《信息安全技术 网络安全等级保护基本要求》）。
3.4 闸四：沙箱与围栏
对来源不确定或风险较高的任务，放进沙箱里跑，限制它能触达的文件、网络和系统边界。围栏把智能体的活动范围框死在授权域内，即使它「想多干」，物理上也出不去。这一道闸和权限最小化配合，构成双层防护。
3.5 闸五：吊销与熔断
一旦发现异常调用模式（比如短时间内高频访问敏感目录），立即吊销该智能体的执行凭证并触发熔断，把损害控制在发生那一刻。可吊销、可熔断，意味着权限事故从「不可逆的泄露」变成「可止损的插曲」。
企业落地清单：把「太听话」变成「受控听话」
落到执行层，堵住这类权限事故不需要推倒重来，而是一份可以马上启动的清单。环曜交付中心 2026 年 1—9 月的项目复盘里有个数字：在交付的 19 个企业 Agent 项目里，有 12 个上线前没有配置高危动作审批闸——也就是说，多数事故在部署那一刻就已经埋下。
4.1 上线前必过三件事
落地时，环曜通常建议让下面三件事先于一切：其一，做一次权限盘点：列清每个智能体拥有哪些系统权限，把「超出任务所需」的全部收回；其二，把删除、外发、付费、直连内网这四类动作全部挂上审批闸，禁止自动放行；其三，确认调用日志全量留在内网、可审计。三件都过了，再谈让智能体上岗。
4.2 我们已经怎么帮客户收口
底层的数据安全底座，我们用企业级环曜 Agent（智能体）本地化部署来承接：模型、日志与 token 计量全部留在自有服务器内网，审批记录不外泄，从根上做到数据不出域、链路可审计、留痕可回放。
在它之上，我们用环曜 Claw（企业级本地化部署）做执行网关，把 GUARD-5 五道闸落成内网执行节点——智能体既保留替你干活的效率，又不再有替你闯祸的风险。我们把这套 GUARD-5 收口流程做成了可验收的执行网关落地包，可按企业现有 Agent 工作流直接对接，把「看不见的执行风险」变成可审计的内网能力。
你们团队里，现在跑着的那个 AI 智能体，它手上到底握着哪些权限、有没有人站在它和系统之间？欢迎在评论区聊聊你排查到的真实情况。
常见问题 FAQ
Q：**Q：** 这次 PixelLeak 事故，和我们公司有什么关系？
A： 直接关系在于根因通用：只要你的智能体被赋予高权限、又没有执行网关拦一道，类似泄露就可能发生在你身上。Glow 扫到的是公开仓库，内网里的同类越权更隐蔽、更难发现。
Q：**Q：** 普通审批流程不也有闸吗，为什么还会出事？
A： 多数审批闸要么没覆盖智能体动作，要么设了却每次自动放行（同意疲劳）。闸要有效，必须是智能体发起高危动作时真卡住、真确认，而不是流程上的摆设。
Q：**Q：** 环曜 Claw 执行网关和普通的 Agent 框架区别在哪？
A： 普通框架多关注「让智能体更会干」，环曜 Claw 专注「让智能体不乱干」——把权限最小化、高危审批、执行留痕、沙箱围栏、吊销熔断做成内网执行节点，数据不出域。
Q：**Q：** 中小企业也需要上执行网关吗？
A： 需要，但可以轻量。先把权限盘点和四类高危动作审批这两道闸立起来，成本不高，却能挡住大部分权限事故。等 Agent 规模上来再补沙箱和熔断。
Q：**Q：** 怎么判断我们的智能体是不是越权了？
A： 三个信号：它持有生产库或管理员账号；它能自由外发数据或直连内网；它的调用没有完整日志。中一条就该收口，中两条以上建议立即上执行网关。
Q：**Q：** 上了执行网关，智能体效率会变差吗？
A： 日常问答和低风险动作几乎无感；只有删除、外发、付费这类高危动作才需要确认。把「误执行」挡在门外，换来的恰恰是可控之下的长期效率，而不是一次事故归零。
听话，但要受控地听话
环曜 Claw（企业级本地化部署）把 GUARD-5 五道闸落成内网执行节点：权限最小化、高危动作审批、业务系统集成留痕、沙箱围栏、吊销熔断，数据不出域。需要一次 Agent 权限盘点与执行网关落地，环曜Agent 团队可结合现有 Agent 工作流做可验收的收口包，把「看不见的执行风险」变成可审计的内网能力。
联系环曜Agent团队