被攻破的城门：理解失败的防线

希腊人并未强攻特洛伊城墙，而是建造了一匹巨大的木马，让特洛伊人自己完成了余下的事。多年以后，这仍是人类有记载历史中最有效的一次入侵，其原理与今天多数网络攻击奏效的原因并无二致：城墙内部有人认定外面的东西没有问题，在打开城门前没有再多看一眼。关于智能体AI（Agentic AI），一个令人不安的事实是：它并未创造新的风险类别，而是放大了一个已被反复验证的风险。

Cympire在今年4月便指出这一点，阐述了供应链攻击如何像木马利用敞开的城门一样利用信任。我们认同这一观点，尽管古代木马需要一名士兵藏身其中，且这名士兵只有一次机会。今天的版本不再需要士兵，只需要一个下午就能生成的智能体，被授予无人完全审计的权限，并无限期运行。原始特洛伊木马是一次性的巧妙欺骗；而如今的迭代版本，每当有人点击“允许”，它便能自我补充。

这一区别指向了当前AI风险讨论中的真正分水岭。Forbes在5月发表的一篇文章中，引用了Mindgard首席产品官Aaron Portnoy的敏锐观察：在网络安全史的大部分时间里，核心问题是“访问”——攻击者能否进入系统。但如今这已不足够。Portnoy认为，更尖锐的问题是“权限”——已进入系统的事物究竟能做什么。他的观点切中要害，但他其实是在用不同语言重新发现第三方风险团队多年来一直在追问的问题。

提出正确的问题

安全问卷试图在授予访问权之前回答“权限”问题：你能接触哪些数据？你能用它做什么？如果出了问题谁负责？智能体AI并未揭示这一区别，而是将这个问题交给了一个无法签署合同、无法参加评审、也无法按正常节奏完成入职流程的对象。目睹AI安全界重新发现“行为主体与权限”的区别，恰恰证明了第三方风险从业者一直以来的直觉是正确的。所欠缺的，是扩大“第三方”定义范围的意愿。

这种重新定义才是真正战略的起点。太多组织将智能体AI风险视为需要全新部门、全新工具类别和从零构建的治理模型。事实并非如此。第三方风险管理早已为这个确切问题建立了纪律——谁有访问权、他们能做什么、我们如何知晓、失败时会发生什么——只不过它被应用于供应商，而非智能体。错误不在于对AI缺乏想象力，而在于对安全领域已有知识的失忆。

四问框架

AI智能体正成为大多数安全团队未关注的增长最快的攻击面。解决方案与任何供应商风险计划相同：了解存在什么、谁拥有它、如何治理、以及被攻破当天会发生什么。四个问题，毫无新奇之处。新奇的是，目前几乎没有人能针对自己环境中已运行的智能体完整回答这四个问题。

这才是当下值得做出的战略押注。将智能体视为新型供应商、并施以相同准入与问责机制的组织，将在未来几年悄然领先于那些仍将智能体仅视为生产力功能的组织。再过几年，一份未询问环境中运行多少AI智能体的问卷，将显得与从未询问SOC 2的问卷一样不完整。更长远看，数据泄露披露将开始提及被攻破的智能体ID，正如现在提及供应商名称一样。

城门仍需守卫

这一切都不需要抛弃行之有效的现有方法，只需拒绝让自动化悄然接管那些本不属于它的决策。智能体执行任务的速度超过任何人类，但它无法自行判断是否应被授予该任务——假装它可以，正是每一个版本的故事（无论是古代还是智能体时代）以同样方式终结的原因。公开、直白地说明这一点，竟成为一种比想象中更稀缺的竞争优势。多数供应商将负责任AI作为价值声明，但鲜有人展示他们正在自动化什么、刻意不自动化什么，以及为何在关键时刻仍由人类签字负责。

我们并非第一个指出这些类比的人，也不会是最后一个。Cympire在隐喻中看到了模式，Portnoy在权限中看到了它。我们自己的网络安全专家团队全年都在公开表达类似观点。我们要补充的是：这一类比已不再只是隐喻，而是一个已知形态的治理问题，背后有数十年的制度记忆，并且对于愿意如此对待它的组织而言，答案早已存在。