360发布智能体安全报告：Skill成智能体风险新入口

最近，一份来自360 AI安全研究院的报告引起了业内的广泛关注。这份名为《AI安全系列报告：智能体安全新范式——当AI有了“手和脚”，企业安全边界必须重建》的报告，指出了一个关键的趋势转变：随着智能体（AI Agent）深度融入企业的办公、研发、运维乃至客服等核心业务流程，AI安全的核心矛盾，正从“生成风险”悄然转向“执行风险”。

过去几年，我们谈论大模型安全，焦点往往在于它会不会“说错话”——比如产生事实幻觉、输出违规内容或泄露敏感信息。这就像担心一个学识渊博但口无遮拦的顾问。然而，当智能体被赋予了“手和脚”，开始自主调用工具、访问数据库、执行真实世界任务时，问题性质就变了。风险的核心不再是它说了什么，而是它实际“做”了什么。一个被精心诱导或逻辑误判的智能体，完全可能在权限内、使用合规工具、遵循标准流程的情况下，做出背离业务初衷甚至突破安全边界的操作。

报告里提出了一个非常精准的概念——“合法动作的非法后果”。这描述的正是一种新型风险形态：智能体身份是合法的，调用的工具是授权的，操作流程也是标准的，但由于恶意诱导、上下文污染或自身的逻辑缺陷，最终的执行结果却可能造成数据泄露、业务中断或合规违规。这种风险隐蔽性强，传统基于身份和权限的静态安全边界，对此几乎失效。

智能体安全六层攻击面模型

那么，风险究竟从何而来？企业的防线又该建在哪里？报告构建了一个“智能体安全六层攻击面模型”，为我们清晰地勾勒出战场全貌。这个模型将企业级智能体的潜在攻击面分解为六个层次：人机交互层、通信调用层、组件间层、智能体之间、工具调用层和基础运行环境层。

这个分层思路的价值在于，它帮助企业跳出单点防御的思维，从身份、工具、数据、记忆、行为和运行环境等多个维度，系统性审视和重建安全边界。面对这一复杂局面，360提出的应对思路聚焦于三大发力点：意图检测、环境隔离、逻辑纠偏，并致力于形成“端+云+管理平台”的能力闭环。

具体来说，在终端和主机侧，重点是确保智能体的运行环境可控，能够实时阻断高风险动作，并保护敏感数据不被异常访问。在云端，则持续进行Skill（技能）的安全检测、漏洞运营、风险特征库的沉淀以及安全策略的迭代更新。而统一的管理平台，则承担起智能体资产发现、全局风险可视化、全链路行为审计和一体化策略编排的职责，推动企业的智能体安全从单点防护走向体系化治理。

报告进一步厘清了AI安全的两大问题域：一类是“确定性计算”中的传统安全问题，如软件漏洞、网络入侵、权限滥用、配置错误和供应链风险，这些问题有相对明确的规则和边界；另一类则是“不确定性计算”带来的全新挑战，例如提示词注入、工具投毒、意图篡改、返回值污染以及智能体的误执行，这类问题源于大模型本身的可诱导性和不可预测性。

对应这两类问题，也需要双线并行的解决路径。一方面，是用AI技术来增强传统安全防护，提升在漏洞挖掘、入侵研判、恶意样本分析和应急响应等方面的效率和精度。另一方面，也是更关键的，是为不确定性任务套上“安全缰绳”，通过技术手段确保智能体在既定的、可信的边界内执行任务，做到“可以做事，但绝不越界”。

报告特别强调，Skill正在成为智能体生态中一个至关重要的风险入口。作为智能体连接外部工具和业务系统的桥梁，Skill本质上已经延伸为智能体能力链条的一部分。这意味着，一个存在安全漏洞或被恶意篡改的Skill，其危害绝不会局限于这个插件本身，它可能成为跳板，危及整个企业的账号体系、核心数据资产、关键业务系统，甚至引发严重的合规问题。

近期业界热议的OpenClaw等智能体平台，就是这一生态的典型代表。在这些平台上，智能体能否完成发送邮件、查询数据、处理文件、驱动业务流程等任务，极大程度上依赖于其可调用的Skill。因此，这类平台的安全，是一个立体问题：既包括智能体本体的安全，也涵盖Skill的准入审核、权限最小化分配、运行过程的全链路审计以及对工具调用的统一治理。

十大高风险Skill类型

针对Skill这一关键风险点，360的沙箱云-SKILLS分析平台提供了针对性的解决方案。该平台面向AI Agent Skill生态，提供安全检测与云鉴定能力，支持通过Skill文件压缩包、详情页链接或下载地址等多种方式提交检测对象。其检测流程覆盖静态代码分析、AI意图识别、动态沙箱行为监控以及持续的威胁运营，旨在帮助Skill开发者、企业安全团队以及最终使用者，在Skill被正式部署上线前，就能提前发现并阻断潜在的安全风险。

报告的结论清晰而有力：智能体安全的核心要义，绝非因噎废食，试图限制智能体的能力发挥。恰恰相反，真正的挑战与目标，是构建一个坚固且智能的可信边界，让智能体能够充分施展其效率优势，“在边界内做正确的事”。这标志着AI安全范式的一次根本性转向，也是所有正在或计划部署智能体的企业必须认真对待的新课题。