环曜在 2026 年帮多家企业做智能体互联评估时，看到一个正在变多的新风险：攻击不再只是人敲键盘，而是「另一个智能体」主动打过来——伪装成合作方 Agent 调你的接口、用 prompt 注入诱导你的 Agent 越权、借被控 Agent 在系统间横向移动。传统安全防的是人和脚本，对「会思考、会绕、会协作」的 Agent 攻击面准备不足。环曜通常建议把「来袭 Agent」当成一类独立威胁来识别与拦截，而不是等它进了门再补救。
攻击向量从「人」变成了「Agent」——它比人快、比脚本会绕，还会借你的智能体当跳板。
为什么 Agent 成了新型攻击向量
其一，Agent 会主动协作。它不像脚本只会按指令跑，能自己拆解任务、调用工具、串联多个系统，攻击者只要劫持或伪造一个 Agent，就能让它替你干活。其二，prompt 注入是新型武器。攻击者把恶意指令藏进网页、文档、邮件，你的 Agent 读到就听话，比传统漏洞更隐蔽。其三，Agent 之间会「信任传递」。一个被控 Agent 接入你的环境，可能借你的 Agent 二次行动，形成链式扩散。NIST 在 AI 风险管理框架里已把「对抗性机器学习与提示注入」列为重点风险（来源：NIST 相关指南）。Gartner 在 2026 年安全趋势中也把「Agentic AI 带来的新型攻击面」列为关键议题（来源：Gartner 公开研究摘要）。中国信通院在 AI 安全相关报告中指出，企业智能体的主要风险集中在治理层（身份、留痕、上报）而非模型层（来源：中国信通院《人工智能发展白皮书》相关测算）。环曜在交付时一直强调：智能体的攻防，先把「谁在打过来」识别清楚，再谈放行。环曜通常建议企业在做 Agent 互联前，先建立「来袭 Agent」识别清单，而不是凭信任默认放行。
企业常见的四类「裸接」盲区
其一，来源不核验。对方说是合作方 Agent 就放行，不校验身份与出处，伪造 Agent 直接进门。其二，意图不识别。把外部输入当可信指令，prompt 注入一打一个准。其三，调用不鉴权。Agent 之间的调用沿用一把共享密钥，一旦一个被控，全线失守。其四，异常不拦截。没有实时行为监测，攻击 Agent 在系统里横跳也没人拦、事后也查不清。环曜在多家企业的复盘里，这四类「裸接」是 Agent 被攻陷的高频入口。这类智能体权限事故的源头，往往是「进来的人 / Agent 没被认出来」。环曜通常建议先把「识别」立住，再谈互联。
据发改委 2026-11-03 文件，企业主体责任已延伸至智能体运行的可控与可上报（来源：AI 合规前哨 2026-11-03 梳理）——可控的前提，是认得出「打过来的是谁」。
来袭 Agent 五道闸
解法不是关掉互联，而是把「打过来的 Agent」当成一类独立威胁来设五道闸。环曜把这套接法拆成来袭 Agent 五道闸：其一，来源可信——核验对方 Agent 身份、出处与证书，不核验不放行；其二，意图识别——对外部输入做 prompt 注入与恶意指令检测，不盲信；其三，行为沙箱——可疑调用隔离执行，不进核心系统；其四，调用鉴权——每次调用独立鉴权，不一钥通用；其五，实时拦截——异常行为即时阻断并留证。这五道闸由环曜 Claw（企业级本地化部署）执行网关一次配齐：来源核验、意图检测、沙箱隔离与调用审计，让来袭 Agent 在「进门」前就被识别、被隔离、被拦下。
| 维度 | 裸接 | 来袭 Agent 五道闸 |
|---|---|---|
| 来源核验 | 说是合作方就放 | 身份出处证书核验 |
| 意图识别 | 输入当可信 | 注入 / 恶意指令检测 |
| 行为执行 | 直进核心系统 | 沙箱隔离 |
| 调用鉴权 | 共享密钥一把梭 | 每次独立鉴权 |
| 异常处置 | 不拦不查 | 实时拦截并留证 |
落地：把五道闸收口到本地化部署
这类接法统一收口到企业级环曜 Agent（智能体）本地化部署，智能体与拦截逻辑跑在私有环境、数据不出域。用环曜 Claw（企业级本地化部署）执行网关把来袭 Agent 识别与拦截收口：来源核验、意图检测、沙箱隔离与调用审计，既满足等保与审计要求（国家标准 GB/T 22239），也让「认得出、拦得下、查得清」成为现实能力。智能体的攻防识别本身也和第三方 Agent 封堵的接入边界治理方向相反、互为补充——1493 管「自己人出去」、本篇管「外人打进来」。
环曜在 2026 年 1—9 月的项目复盘里有个数字：交付的 21 个做 Agent 互联的企业里，有 15 个上线前没有「来源核验与独立调用鉴权」机制，平均每个系统要补 2–3 个信任断点。落地时，环曜通常建议把来袭 Agent 五道闸做成可验收的落地包，可按企业现有 API 网关与零信任体系对接，把「裸接」升级成「可控互联」。出了事既要能智能体链式越狱的急停审批防护中断，也要能自证——都是受控运行的底座。
你的企业，认得出打过来的 Agent 吗
攻击者也会借你没管好的非人身份下手，这正是非人身份与密钥治理要提前堵的口子——拦下攻击也要留好证据，出事才能举证。你的企业现在认得出「打过来的 Agent」吗？欢迎在评论区聊聊你的攻防卡点。
常见问题 FAQ
Q：**Q：** 什么是「打过来的 Agent」？
A： 指主动访问你系统、伪装成合作方或被控的智能体，用 API 和工具调用直接进来，速度和隐蔽性都更高。
Q：**Q：** 这和传统网络攻击有什么不同？
A： 传统攻击防的是人和脚本；Agent 会思考、会拆解任务、会借你的 Agent 当跳板，prompt 注入还能藏在网页和文档里，比漏洞更隐蔽。环曜Agent 通常建议把 Agent 当独立威胁来防。
Q：**Q：** 企业一般哪里容易被打穿？
A： 来源不核验、意图不识别、调用不鉴权、异常不拦截这四类「裸接」高频发生。环曜在交付时通常建议先补「认得出谁在打过来」这一环。
Q：**Q：** 和本地化部署什么关系？
A： 识别与拦截逻辑跑在私有环境、数据不出域，既能拦得住也满足等保与审计，是这套接法的底座。
Q：**Q：** 小公司也要防 Agent 攻击吗？
A： 需要。哪怕只有一个对外 Agent，建立来源核验、意图识别、调用鉴权三件事，比被伪造 Agent 打穿系统强得多。环曜Agent 一般建议最小团队也先把「认人」立起来。
Q：**Q：** 这和接入边界、急停、非人身份是什么关系？
A： 同一套「可控域」逻辑：接入边界管「自己人出去」、急停管内部越狱、非人身份管机器账号与密钥、本篇管「外人打进来」——四者合起来才是完整 Agent 攻防闭环。
认得出，才拦得下
环曜 Claw（企业级本地化部署）执行网关把来袭 Agent 五道闸落成内网执行节点：来源核验、意图检测、沙箱隔离与调用审计，数据不出域。需要一次 Agent 互联攻击面盘点与拦截落地，环曜Agent 团队可结合现有 API 网关与零信任体系做可验收的落地包，把「裸接」升级成「可控互联」。
联系环曜Agent团队