开源智能体能够搭建大语言模型与本地业务系统的交互桥梁，可自主解析自然语言指令，直接操控本地文件系统、业务应用及应用程序编程接口（API），实现复杂业务任务的自动化执行。但实践中，因指令理解偏差引发智能体违规操作，敏感数据非授权外传，部分科技企业因数据安全风险限制内部使用等案例频发，暴露出此类工具在应用中信任边界模糊、权限管控缺位、安全防护滞后等问题，一旦管控不当，极易引发敏感数据泄露。
针对开源智能体各类失泄密风险，需严格遵循总体国家安全观，坚守安全保密底线，按照“纵深防御、最小权限、闭环管控、动态优化”原则，构建覆盖“引入评估、部署运行、使用操作、应急处置、废弃退出”全生命周期的防控体系，实现技术应用与安全防护同步推进。
部署前：强隔离、严把关，筑牢源头安全防线
一是强化应用场景隔离。经审批允许应用的开源智能体，必须部署在独立非密环境，通过物理隔离、逻辑隔离、网络分区等方式，与涉密网络、核心业务系统实现彻底隔离，杜绝跨网数据交互、权限渗透风险。
二是构建安全部署基线。严把软件来源关，仅从官方仓库、可信渠道获取智能体本体及依赖组件，严禁使用来历不明的修改版、第三方镜像；落实权限最小化原则，为智能体创建专用受限账户，通过访问控制列表（ACL）严格限定其资源访问范围；采用容器、虚拟机等技术实现环境隔离，防范权限逃逸、横向攻击风险。
运行中：细管控、强防护，强化全程动态防御
一是强化身份认证与凭证管理。对智能体管理接口、API访问全面启用多因素认证（MFA），杜绝弱口令、匿名访问等隐患；将API密钥、数据库密码、业务凭证等敏感信息，纳入专业密钥管理系统统一管控，实现加密存储、按需调用、定期轮换，严禁明文存储、传输。
二是加固网络与边界防护。严禁将智能体服务端口直接暴露在公共互联网，必要远程管理通过虚拟专用网络（VPN）、零信任网络访问（ZTNA）等开展；在网络边界部署防火墙、入侵防御系统（IPS），设置IP地址、端口白名单，严格管控网络出入站连接，阻断非法网络访问。
三是抓实漏洞与供应链管控。建立漏洞常态化监测机制，实时跟进官方安全公告、国家漏洞库（CNVD、CNNVD）信息，及时完成漏洞补丁更新、修复；运用软件成分分析（SCA）工具，全面排查依赖组件安全漏洞，建立组件台账，及时清理高危、废弃组件。
四是规范扩展组件与行为审计。默认禁用自动安装功能，所有组件需经代码审计、安全检测、完整性校验后方可部署；开启全量操作审计，完整记录用户指令、任务解析、系统调用、文件操作、网络传输等行为，审计日志集中加密存储、定期备份，实现操作全程可追溯。
五是优化异常监测与处置。部署安全信息与事件管理（SIEM）、扩展检测与响应（XDR）平台，建立智能体正常行为基线，对非工作时段运行、高频访问敏感目录、向外网传输数据、执行高危指令等异常行为，实现实时告警、自动阻断、快速处置。
使用端：严操作、强宣教，规范人员应用行为
一是严控输入输出数据安全。使用者严禁向智能体输入国家秘密、工作秘密、商业秘密及个人敏感信息，对需处理的业务数据提前开展脱敏处理，移除敏感内容；严格审核智能体输出结果，对文件删除、数据导出、对外传输等高风险操作，落实人工复核、审批流程，杜绝违规操作。
二是防范新型人工智能攻击风险。加强输入内容审核，避免使用来源不明、内容可疑的文档、网页数据，从源头阻断提示词注入、记忆污染等攻击路径；不盲目依赖智能体输出结果，对关键业务信息开展多源交叉验证，防范行为偏差引发的失泄密风险。
三是强化安全保密培训教育。应定期开展人工智能技术安全保密专题培训，提升运维、使用人员风险防范意识，普及提示词注入、供应链攻击等新型安全风险防范知识，规范智能体操作流程，筑牢人员思想防线。
应急与长效：建机制、强治理，完善闭环管理体系
一是制定专项应急处置预案。针对数据泄露、系统被控制、恶意操作等安全事件，制定标准化应急流程，明确网络隔离、进程终止、证据留存、凭证重置、漏洞修复、系统恢复等处置步骤，定期开展应急演练，提升突发安全事件处置能力，最大限度降低失泄密风险。
二是健全长效治理机制。将开源智能体纳入单位信息技术资产、网络安全与保密管理体系，明确主管部门、责任人员，制定全生命周期管理规范；定期开展安全自查、保密检查、风险评估与渗透测试，及时排查整改安全隐患；动态跟踪行业安全标准、监管要求与技术趋势，持续优化防控策略，实现安全管控常态化、精细化。
开源智能体失泄密风险防控应坚持统筹发展和安全，将安全保密要求深度融入开源智能体的引入、部署、运行、退出等全过程，以全生命周期管控为核心，构建技术防护、制度管理、人员规范三位一体的立体化防控体系，严守数据安全与保密工作红线、底线。唯有坚持审慎应用、安全可控、合规管控，才能充分发挥人工智能技术赋能增效作用，保障新技术在安全合规的轨道上健康发展，切实维护国家秘密安全和数据安全。
来源：保密科技微信公众号
初审：肖 峣
复审：王 宇
终审：刘志远
