随着 Agentic AI（智能体 AI）逐步进入生产环境，攻击面也在快速扩大。近日，美国网络安全与基础设施安全局（CISA）联合澳大利亚信号理事会（ASD）、加拿大网络安全中心（CCCS）、新西兰国家网络安全中心（NCSC nz）以及英国国家网络安全中心（NCSC UK）发布了一份联合预警，系统性梳理了企业在部署 Agentic AI 前必须满足的安全要求。
预警核心：权限即攻击面
这份预警最核心的观点只有一句话：智能体拥有的权限，直接决定了它被攻击后能造成多大破坏。
CISA 在预警中明确指出，Agentic AI 的特权风险是最高优先级问题。“Organizations cannot just drop agents into production and hope the guardrails hold”，CISA 表示，企业不能把智能体直接扔进生产环境，然后指望护栏会自动起作用。
预警列举了四大核心风险路径：
- 提示词注入（Prompt Injection）：恶意指令通过输入污染智能体行为
- 权限蠕变（Privilege Creep）：智能体随时间积累不应有的访问范围
- 身份欺骗（Identity Spoofing）：攻击者冒充合法智能体调用系统
- 工具滥用（Tool Misuse）：智能体调用的外部工具成为攻击跳板
四条红线：企业必须做到的事
联合预警为 Agentic AI 的设计与部署划出了以下强制要求：
1. 权限最小化（Least Privilege）
CISA 明确要求每个智能体只能访问完成其任务所必需的最小数据集和工具集。预警强调：每新增一个工具、数据源或权限，都是给攻击者开了一扇新的门。企业在部署前必须建立完整的智能体能力清单（capability inventory），并持续验证其权限边界。
2. 安全设计前置（Secure by Design）
预警要求企业从智能体设计阶段就将安全嵌入架构，而非事后补救。具体包括：强身份验证机制、输出透明度（能够识别欺骗性指标）、DevSecOps 基础安全原则，以及定期测试事件响应计划。
3. 持续监控与审计（Continuous Monitoring）
预警要求企业实现对智能体行为的持续可见性，确保每一步决策和操作都可追溯。CISA 特别指出，持续审计不仅是安全需求，也是治理合规的要求——包括风险管理、监督和使用限制。
4. 人工在环控制（Human-in-the-Loop）
对于敏感度高、风险大的操作流程，预警明确要求必须有人工审批节点。具体建议包括：任务执行期间实时监控、高风险决策的人工审批环节、以及任务执行后的审计机制。
行业反应：设计阶段就要动
Tuskira 联合创始人 Piyush Sharma 表示认同 CISA 的判断，认为企业的安全工作必须前移到设计阶段，而非等到上线后再修修补补。
Swimlane 安全自动化架构师 Nick Tausek 则强调了可见性的重要性：“安全团队需要对智能体的行为、系统接触点和异常偏离模式保持持续可见性。在高风险工作流中嵌入人工审批，并自动化遏制机制，是智能体行为越界时快速响应的关键。“
对开发者的实际影响
对于正在构建 Agentic AI 应用的开发者，这次联合预警传递了几个明确信号：
首先是 MCP 协议的重要性得到确认。预警中特别提到了权限隔离、工具调用的安全管控，而这些正是 Model Context Protocol（MCP）设计时着重解决的问题。如果你的智能体还在用定制化 API 连接各系统，现在该考虑迁移到 MCP 架构了。
其次是审计日志成为刚需。企业采购智能体解决方案时，完整的操作审计追踪将是合规谈判桌上的硬要求。
第三是 MCP 服务器的安全评估将更严格。随着 MCP 成为智能体连接企业软件的标准方式，围绕 MCP 服务器的攻击路径（如中间人劫持、工具伪造）将成为下一个安全热点。
这份预警没有法律约束力，但其分量不容忽视——它代表的是五眼联盟成员国网络安全机构的共识。
我们的判断：这份预警对企业安全团队和 AI 架构师最有价值。如果你在负责 Agentic AI 的选型或部署，这是你需要存档的文件。值得关注的后续：各云厂商是否会根据这份预警更新其 AI 服务的合规文档。