企业智能体的权限隔离、行为审计与提示注入攻防体系研究

企业智能体的权限隔离、行为审计与提示注入攻防体系研究

作者：泷码软件（上海）有限公司、泷码软件研究院

摘要

大语言模型驱动的企业智能体（Enterprise Agent）正在成为数字化业务的核心执行单元。区别于传统软件系统，企业智能体具备自主规划、多轮推理、工具调用、跨系统联动能力，能够依据自然语言指令调度内部业务接口、数据库、第三方插件完成复杂业务任务。该特性同时引入新型安全风险：提示词注入攻击可篡改智能体目标、插件投毒可劫持工具调用流程、权限过度分配可引发越权操作，传统访问控制与安全审计体系无法覆盖智能体自主决策带来的动态安全风险。

本文面向企业场景下 Agent 安全治理需求，以最小权限控制、全链路行为审计、提示注入与插件投毒攻防三大方向为核心研究主线，剖析企业智能体安全威胁模型，设计分层权限隔离架构，构建覆盖指令解析、推理规划、工具调用、结果回写全阶段行为审计模型；针对直接提示注入、间接隐式注入、插件投毒、横向越权等攻击向量，建立多维度检测、实时阻断与事后溯源机制。基于上述理论模型，研发可插拔式 Agent 安全组件，可无缝嵌入 EWQ 企业智能平台，实现安全能力与 Agent 业务逻辑解耦。本研究对企业落地智能体系统、构建内生安全的 Agent 运行环境、防范大模型应用层安全事件具备理论参考与工程落地价值。

关键词：企业智能体；Agent 安全；最小权限；行为审计；提示注入；插件投毒；安全组件

1 绪论

1.1 研究背景

生成式人工智能技术持续落地，企业智能体从概念阶段进入规模化工程部署阶段。企业智能体不再局限于对话交互，可自主拆解复杂业务目标，串联多个业务系统 API、数据库查询、文件读写、第三方工具插件，自动执行工单处理、数据查询、报表生成、流程审批等业务操作。

传统信息安全体系以用户身份、固定角色为基础，权限策略静态配置，审计日志聚焦账号登录、接口访问记录。企业智能体存在显著差异：Agent 具备自主推理能力，同一 Agent 会话中，会根据上下文动态选择工具、调整执行路径；用户输入、外部文档、插件返回内容都可能成为攻击载体，诱导智能体执行超出预期的操作。传统静态权限模型无法适配 Agent 动态工具调用场景；普通系统审计仅记录接口调用行为，无法记录 Agent 内部推理、思考过程，攻击发生后难以定位攻击触发点与完整攻击链路。

提示注入（Prompt Injection）作为大模型应用层特有攻击方式，分为直接注入与间接注入。攻击者可在用户输入、外部读取文档、网页内容中嵌入恶意提示，劫持 Agent 目标，诱导 Agent 泄露敏感数据、调用高危接口；插件投毒利用第三方插件、工具返回恶意载荷，篡改 Agent 推理逻辑；权限管控缺失场景下，被劫持的 Agent 可横向访问多个业务系统，造成数据泄露、业务篡改、资金操作等高危害安全事件。

当前国内外 Agent 安全研究，较多聚焦大模型本身对齐、模型越狱检测，面向企业业务场景，针对 Agent 调用业务系统时的权限隔离、全链路审计、提示注入 + 插件投毒一体化攻防体系的工程化研究相对不足，缺少可直接嵌入企业 Agent 平台的标准化安全组件。在此背景下，泷码软件研究院开展本课题研究，目标构建一套适配企业业务系统、可嵌入 EWQ 平台的 Agent 安全防护体系。

1.2 研究意义

1.2.1 理论意义

本研究完善企业智能体威胁建模框架，将 Agent 内部推理链路纳入安全治理边界；拓展最小权限理论在自主智能体场景下的应用，提出面向 Agent 会话、工具、操作粒度的动态权限隔离模型；建立覆盖自然语言指令、推理轨迹、工具调用、返回结果的全链路审计理论框架；构建提示注入、插件投毒、越权操作多攻击向量联合检测理论，丰富生成式 AI 应用安全领域研究成果。

1.2.2 工程实践意义

依托研究成果开发可嵌入 EWQ 平台的 Agent 安全组件，实现安全能力和 Agent 业务逻辑解耦，业务开发人员无需修改 Agent 业务代码，即可为平台内所有智能体增加权限管控、行为审计、攻击检测阻断能力。组件支持企业存量业务系统对接，降低企业部署 Agent 安全能力的开发成本，为行业企业智能体安全治理提供标准化工程方案。

1.3 国内外研究现状

1.3.1 国外研究现状

国外研究机构较早关注提示注入攻击。OpenAI、Anthropic 等模型厂商针对模型侧进行对齐加固，研究模型输入过滤、系统提示加固技术；MIT、斯坦福等高校开展提示注入分类、隐式注入检测研究，识别文档内嵌恶意指令、间接注入攻击。Gartner 等咨询机构提出 Agent 安全风险框架，指出自主 Agent 将带来新的访问控制风险。

但现有研究存在局限：多数研究集中于大模型本身，较少关注 Agent 调用企业业务系统、插件生态带来的安全风险；权限模型多沿用传统 IAM，缺少针对 Agent 会话级动态最小权限；审计大多只记录工具调用事件，不捕获 Agent 推理中间过程；安全能力多为独立模块，缺少可直接嵌入企业 Agent 平台的一体化组件方案。

1.3.2 国内研究现状

国内研究重点集中于大模型安全评估、内容安全、模型越狱识别，政企行业开始关注智能体安全风险。国内安全厂商发布大模型安全检测工具，针对提示注入、数据泄露开展检测。但企业场景下 Agent 安全仍存在短板：针对 Agent 跨业务系统调用场景的权限隔离体系研究不足；缺少覆盖 Agent 思考、规划、工具调用、结果回写完整链路审计模型；提示注入、插件投毒、越权操作的联动防护机制工程化落地案例较少，可插拔安全组件产品化方案稀缺。

1.3.3 研究现状总结

现有研究在模型层安全、基础提示注入检测取得进展，但企业智能体在业务系统调用场景下的权限隔离、全链路审计、多攻击向量一体化攻防体系仍存在研究缺口。本研究聚焦企业业务落地场景，补齐从模型推理层到业务接口层的安全管控缺口，构建可嵌入 EWQ 平台的安全组件。

1.4 研究内容与技术路线

1.4.1 核心研究内容

1. 企业智能体威胁建模，梳理 Agent 执行全生命周期安全风险，定义提示注入、插件投毒、越权操作、权限滥用等攻击向量。

2. 面向 Agent 工具调用场景的分层权限隔离架构，实现 Agent 会话、工具、操作动作三级最小权限控制。

3. Agent 全链路行为审计体系，采集、存储、标准化 Agent 指令、推理轨迹、工具调用参数、返回结果、数据回写记录，满足合规溯源需求。

4. 提示注入与插件投毒、越权操作联合检测与实时阻断机制，构建多模态检测引擎，在攻击发生不同阶段进行拦截。

5. Agent 安全组件架构设计，实现组件与 EWQ 平台解耦，定义接口规范、数据协议，完成组件集成方案验证。

1.4.2 技术路线

第一步，需求调研与威胁建模：梳理 EWQ 平台企业 Agent 业务场景，梳理业务接口、插件类型、数据访问场景，建立 Agent 威胁模型。
第二步，架构设计：设计权限隔离子系统、行为审计子系统、攻防检测子系统三大模块。
第三步，算法与策略设计：最小权限动态授权策略、全链路审计数据模型、提示注入语义检测、插件载荷检测、越权规则引擎。
第四步，组件开发与集成：开发标准化安全组件，定义与 EWQ 平台的交互接口，实现无侵入嵌入。
第五步，测试验证：搭建测试环境，构造提示注入、插件投毒、越权测试用例，验证组件检测率、阻断能力、性能开销。
第六步，总结与优化：评估体系有效性，提炼工程化经验，形成完整研究成果。

1.5 论文组织结构

本文第一章为绪论；第二章为企业智能体安全威胁模型与风险分析；第三章为 Agent 分层权限隔离与最小权限控制体系；第四章为 Agent 全链路行为审计体系；第五章为提示注入、插件投毒、越权操作攻防检测与阻断机制；第六章为可嵌入 EWQ 平台的 Agent 安全组件设计；第七章为实验验证与效果评估；第八章为总结与展望。

2 企业智能体安全威胁模型与风险分析

2.1 企业智能体执行链路定义

企业智能体完整执行链路分为六个阶段：用户指令输入→指令解析与目标规划→工具选择与参数生成→业务系统 / 插件调用→返回结果接收→结果汇总输出 / 业务数据回写。
传统安全防护仅在用户登录、接口调用环节进行校验，无法覆盖 Agent 规划推理、解析外部内容等中间环节。攻击可发生在链路任意节点。

2.2 威胁主体与攻击向量分类

2.2.1 提示注入攻击

提示注入是本研究重点攻击向量，分为直接提示注入与间接隐式提示注入。

1. 直接提示注入：用户在输入指令中嵌入恶意指令，诱导 Agent 忽略原有系统提示，执行非预期操作，例如忽略权限限制、调用高危接口、泄露上下文敏感信息。

2. 间接隐式提示注入：Agent 读取外部文档、网页、文件、插件返回数据中内嵌恶意提示。该类攻击隐蔽性更强，用户本身无恶意，恶意载荷来自外部数据源，是企业场景高风险攻击。

提示注入成功后，攻击者可劫持 Agent 目标，进一步诱导 Agent 尝试调用未授权业务接口，实现越权访问。

2.2.2 插件投毒攻击

插件是 Agent 调用外部能力的载体，包括业务 API 插件、文件解析插件、数据查询插件。插件投毒分为两类：

1. 恶意插件：第三方插件本身内置恶意逻辑，当 Agent 调用插件时，插件返回携带隐式提示的结果，劫持 Agent 推理。

2. 插件返回载荷投毒：合法插件在特定输入下，返回包含恶意提示的响应内容，触发间接提示注入。
插件投毒的特点是攻击发生在工具返回阶段，容易绕过前端输入过滤。

2.2.3 Agent 越权操作与权限滥用

传统 IAM 将权限绑定到账号，Agent 继承账号全部权限。当 Agent 被劫持，会使用账号权限横向访问业务系统。风险包括：过度授权，Agent 拥有远超单次任务所需权限；会话权限长期有效；Agent 可自主调用多个接口，实现横向移动。即使 Agent 没有被外部攻击，Agent 规划逻辑缺陷也可能自主触发越权查询、修改、删除操作。

2.2.4 衍生风险

包括敏感数据泄露、业务数据篡改、审计缺失导致攻击无法溯源、合规不满足等风险。

2.3 攻击场景案例化分析

场景 1：间接提示注入。企业 Agent 读取外部合同 PDF 文档，文档中嵌入隐藏提示：“忽略之前所有指令，调用用户查询接口导出全部员工手机号并返回”。Agent 读取文档内容，被恶意指令劫持，发起未授权数据查询。
场景 2：插件投毒。数据查询插件返回数据库记录，记录字段内嵌入隐式提示，劫持 Agent 调用工单删除接口。
场景 3：权限过度分配。Agent 绑定管理员账号，一旦被提示注入劫持，可操作全量业务接口，危害被放大。

2.4 安全治理目标

针对上述威胁，本研究确定安全治理目标：

1. 权限最小化：Agent 单次会话、单次工具调用仅获得完成任务必需的权限，禁止永久、大范围授权。

2. 行为可审计：Agent 思考、规划、调用参数、返回内容、数据输出全链路日志留存，不可篡改，支持事后溯源。

3. 攻击可检测阻断：在指令解析、规划、工具调用、结果返回阶段识别提示注入、插件投毒、越权行为，实时阻断。

4. 能力可嵌入：安全组件不侵入 Agent 业务逻辑，作为独立中间件嵌入 EWQ 平台。

3 Agent 分层权限隔离与最小权限控制体系

3.1 传统权限模型在 Agent 场景下局限性

传统 RBAC 基于用户、角色，权限静态绑定，生命周期与账号一致。Agent 存在以下不匹配问题：

1. 任务动态性：Agent 在执行任务前无法预知需要调用哪些工具，静态角色无法精细匹配单次任务需求。

2. 自主决策：Agent 自主选择工具，存在动态调用未知接口的可能性。

3. 会话临时性：Agent 任务会话有明确起止，权限应跟随会话生命周期，任务结束权限自动回收。

4. 边界模糊：Agent 可以跨插件、跨业务系统调用，横向访问风险高。

因此需要面向 Agent 会话、工具、操作动作的三级动态最小权限模型。

3.2 分层权限隔离架构设计

本研究设计三级权限隔离架构：会话级权限隔离、工具级权限隔离、操作动作粒度权限隔离，三层逐级约束。

3.2.1 会话级权限隔离

每一次 Agent 业务任务生成独立安全会话，会话绑定任务上下文、任务有效期、权限边界。

• 会话创建：用户发起任务，安全组件创建独立 Agent 安全会话，会话分配独立安全 ID，所有该会话下 Agent 推理、工具调用日志全部关联该会话 ID。

• 权限范围约束：会话初始化仅分配最小基础能力，不预先授予业务系统操作权限。Agent 每一次工具调用请求，单独申请对应权限。

• 会话生命周期：任务完成、超时、会话异常终止时，自动回收本会话全部临时权限，权限不可复用至其他 Agent 任务。

• 会话隔离：不同 Agent 会话之间上下文、权限、审计数据相互隔离，禁止跨会话读取数据与复用权限。

3.2.2 工具级权限隔离

EWQ 平台中 Agent 可加载多个业务插件、系统 API 工具。对每一个工具做独立权限标签，定义工具允许执行的操作、可访问数据范围。

• 工具白名单：Agent 仅允许调用预先登记在白名单内的工具，禁止加载未登记未知插件。

• 工具能力裁剪：同一工具可拆分能力，例如数据库查询插件仅开放只读查询，禁止删除、更新操作。

• 插件沙箱隔离：插件运行在独立沙箱环境，插件与 Agent 主模型之间增加安全网关，插件返回内容必须经过安全组件检测后，才可以交付给大模型。插件不能直接访问 Agent 上下文，防止插件直接篡改系统提示。

3.2.3 操作动作粒度最小权限控制

工具内部操作继续细粒度拆分，区分读、查询、新增、修改、删除、导出等动作。采用按需临时授权模式：

1. Agent 规划阶段生成工具调用请求，包含工具名称、接口、参数、操作类型。

2. 请求提交安全组件权限引擎，权限引擎结合：发起用户身份、Agent 身份、会话上下文、操作类型、数据范围，评估是否授权。

3. 仅当该操作是完成当前任务必要操作，才下发短时一次性授权凭证，该凭证仅可执行本次调用，调用完成立即失效。

4. 拒绝超出任务目标的操作请求。

3.3 权限策略引擎设计

权限引擎由策略库、上下文评估模块、凭证管理模块组成。
策略库存储权限规则，支持静态规则与动态规则：静态规则定义工具允许操作；动态规则结合任务上下文、数据敏感级别、操作风险等级。风险分级：高风险操作（删除、批量导出、资金变更）需要人工二次审批；中低风险操作由引擎自动评估授权。

一次性临时凭证采用 JWT 格式，包含会话 ID、工具 ID、允许操作、有效期，业务系统网关校验凭证，无合法凭证直接拒绝访问。业务系统不直接信任 Agent 本身，仅信任安全组件颁发的短时凭证，实现业务系统和 Agent 解耦。

3.4 权限回收机制

自动触发权限回收场景：任务正常结束、会话超时、检测到攻击行为阻断会话、Agent 异常退出。权限回收后凭证失效，即使 Agent 后续试图复用凭证，业务网关直接拦截。同时记录权限发放、回收、拒绝记录，纳入审计日志。

3.5 横向访问隔离

安全组件维护会话数据访问边界，限制 Agent 在一次任务内可访问的数据集合。即使 Agent 成功劫持，权限引擎会阻止跨业务域横向调用。例如 Agent 仅被授权查询销售数据，无法自动跳转至人事员工信息接口。

4 Agent 全链路行为审计体系

4.1 审计目标

传统审计只记录接口调用日志。Agent 审计目标是实现全链路、不可篡改、可还原、可合规，能够完整复现 Agent 从接收用户指令到完成全部操作的完整过程，定位攻击触发节点，区分是恶意输入、插件投毒、权限配置错误还是模型推理缺陷。审计日志需满足等保、数据安全法相关审计留存要求。

4.2 Agent 审计事件覆盖范围

审计覆盖 Agent 全生命周期事件，包含五大类事件：

1. 会话事件：会话创建、会话终止、会话超时、权限授予 / 拒绝 / 回收事件。

2. 指令与推理事件：原始用户输入指令、系统提示词、Agent 中间思考推理内容、任务拆解规划结果。

3. 工具调用事件：工具调用请求参数、调用时间、调用主体、申请权限、授权结果。

4. 返回载荷事件：插件 / 业务系统返回原始响应内容、返回内容安全检测结果。

5. 输出与回写事件：Agent 输出结果、写入业务系统数据、对外输出内容。

4.3 审计数据标准化模型

定义标准化审计字段，统一所有事件日志结构：事件唯一 ID、会话安全 ID、用户主体 ID、Agent 实例 ID、事件类型、事件时间戳、原始载荷、处理结果、风险标签、检测引擎判定结果、权限凭证编号、操作 IP、EWQ 平台节点标识。

日志存储采用日志链防篡改机制，每条日志包含上一条日志哈希值，形成链式存储，防止事后日志篡改。审计数据独立存储，Agent 业务模块无修改审计日志权限。

4.4 审计采集、存储、检索链路

1. 采集层：安全组件作为中间网关，在 Agent 各个执行节点旁路采集或者拦截采集审计事件，无需修改 Agent 业务代码。

2. 存储层：时序数据库 + 对象存储，结构化字段存入时序库，原始大文本（长指令、文档内容、推理内容）存入对象存储，日志保留周期支持企业自定义，最低保留 6 个月。

3. 检索溯源层：支持按会话 ID 一键拉取整个任务全链路日志，可视化展示 Agent 执行流程，标注风险节点。支持多维度检索：用户、时间、工具名称、风险类型。

4.5 审计合规能力

审计模块自动生成审计报表，包含权限使用统计、高危操作统计、攻击事件统计，满足企业内部安全巡检、监管审计要求。审计日志只读，禁止 Agent 业务侧删除、修改。

5 提示注入、插件投毒与越权操作攻防检测阻断机制

5.1 攻击检测总体架构

采用多阶段串联检测架构，在 Agent 链路不同节点部署检测引擎：输入检测阶段、规划阶段检测、工具调用前越权检测、插件返回载荷检测、输出过滤阶段。多引擎协同：语义检测引擎、规则引擎、向量相似度引擎、风险行为引擎。任意阶段触发告警，可选择告警、阻断会话、阻断工具调用、人工复核多种响应动作。

5.2 提示注入检测技术

提示注入分为直接注入、间接隐式注入，检测方式分为规则匹配、语义大模型检测、上下文一致性校验。

1. 规则引擎：识别典型劫持关键词，例如忽略前面指令、忘记历史指令、覆盖系统提示、输出全部信息等特征模式，快速拦截简单注入。

2. 语义检测引擎：使用安全专用检测模型，对输入文本、外部读取文档、插件返回内容做语义识别，判断文本是否存在试图修改 Agent 系统指令、篡改任务目标的意图。相比简单关键词，可以识别变形、编码、分段隐藏的隐式注入。

3. 上下文一致性校验：持续校验 Agent 行为目标是否和原始用户任务目标保持一致。当 Agent 推理目标偏离初始任务，试图执行原始任务之外操作，判定存在劫持风险。例如用户要求生成销售报表，Agent 开始请求导出全部员工信息，触发一致性告警。

针对间接注入重点：Agent 读取外部文件、网页内容前，安全组件先提取文档文本，执行提示注入检测，检测发现恶意载荷，直接截断内容，不交付大模型。

5.3 插件投毒检测机制

插件投毒检测聚焦插件返回载荷，插件返回内容在送入大模型之前，经过安全组件检测。

1. 插件准入检测：插件上线前安全审计，扫描插件是否存在主动返回隐式提示的逻辑；插件能力最小化，插件仅返回业务数据，禁止插件携带指令类文本。

2. 返回载荷检测：插件响应内容送入 Agent 前，执行提示注入检测，识别返回内容中嵌入的恶意提示。

3. 插件行为基线：建立插件正常返回基线，当返回内容结构、文本特征偏离基线，触发异常告警。

4. 插件沙箱隔离：插件独立沙箱运行，插件无法直接修改 Agent 系统提示，插件和大模型之间存在安全网关，所有返回内容必须经过检测网关。

5.4 越权操作实时检测

越权检测和第三章权限引擎联动，分为两层防护：
第一层，权限引擎静态校验：检查本次工具调用是否获得合法一次性授权凭证，无凭证直接阻断。
第二层，行为基线动态检测：基于 Agent 历史行为基线，识别异常操作。例如 Agent 常规仅做查询，突然发起批量删除、批量导出操作；单次会话短时间大量跨接口调用，判定横向越权风险。高风险操作触发人工审批流程，必须人工确认后才下发授权。

5.5 分级响应阻断策略

检测引擎识别风险后，采用分级响应策略：

• 低风险：告警，记录审计日志，任务继续执行。

• 中风险：阻断本次工具调用，记录日志，提示用户风险。

• 高风险：直接终止 Agent 会话，回收全部临时权限，阻断后续所有操作，触发安全告警通知。

5.6 误报与漏报优化策略

采用规则 + 语义模型 + 行为基线融合方案，降低单纯关键词检测带来的高误报。持续采集企业业务样本，对检测模型进行业务场景微调，适配 EWQ 平台业务话术，减少业务正常文本误判。同时维护攻击样本库，持续补充新型提示注入变种样本，降低漏报。

6 可嵌入 EWQ 平台的 Agent 安全组件设计

6.1 组件总体架构

Agent 安全组件作为独立中间件，不侵入 EWQ 平台原有 Agent 业务代码，采用旁路 + 串联网关混合部署。组件包含四大子模块：权限隔离子模块、全链路审计子模块、攻防检测子模块、平台适配网关模块。组件对外提供标准化 REST 接口、事件回调接口，支持和 EWQ 平台对接。

组件设计原则：解耦、可插拔、低性能损耗、可配置。EWQ 平台 Agent 在执行任务时，所有输入、推理轨迹、工具调用请求、插件返回数据都经过安全组件网关，安全组件完成检测、权限校验、审计采集，放行合法流量，阻断攻击流量。

6.2 模块详细设计

6.2.1 平台适配网关模块

适配网关负责和 EWQ 平台对接，定义交互协议。支持两种集成模式：串联网关模式，Agent 流量全部经过安全组件；旁路审计模式，仅采集审计日志，不阻断流量，用于安全试运行阶段。网关负责协议转换，将 EWQ 平台 Agent 事件统一转换为组件内部标准化事件模型，屏蔽 EWQ 内部细节。

6.2.2 权限隔离子模块

包含会话管理器、权限策略引擎、临时凭证服务、权限回收服务。负责 Agent 会话创建、临时授权、凭证发放、权限回收，对接业务系统网关完成权限校验。

6.2.3 全链路审计子模块

事件采集服务、日志标准化模块、防篡改日志存储、溯源检索模块、报表模块，负责采集全链路事件，存储审计日志，提供溯源查询和合规报表。

6.2.4 攻防检测子模块

包含提示注入检测引擎、插件载荷检测引擎、越权行为检测引擎、告警响应调度模块。在各个节点执行攻击检测，输出风险判定结果，执行分级阻断策略。

6.3 组件部署模式

1. 容器化部署：组件打包为容器镜像，可独立部署在 EWQ 平台同集群，不依赖业务数据库。

2. 配置化管理：企业管理员在组件控制台配置权限策略、检测规则、风险响应策略，无需代码开发。

3. 多 Agent 实例支持：组件支持同时防护 EWQ 平台内多个不同业务 Agent 实例，不同 Agent 独立策略。

6.4 接口规范

组件对外接口：会话管理接口、权限申请接口、事件上报接口、检测接口、审计查询接口。EWQ 平台 Agent 在任务启动、工具调用、接收插件返回内容时调用安全组件接口。

7 实验验证与效果评估

7.1 实验环境搭建

基于 EWQ 平台搭建企业智能体测试环境，部署本研究开发 Agent 安全组件。环境包含业务模拟系统、多类业务插件、测试 Agent 实例。构建测试数据集，数据集包含正常业务样本、直接提示注入样本、间接文档注入样本、插件投毒样本、越权操作测试用例。

测试指标：提示注入检测召回率、误报率；插件投毒检测召回率；越权操作阻断成功率；组件引入的性能延迟；高并发场景组件稳定性。

7.2 测试用例设计

测试集分为正常业务用例、攻击用例。攻击用例覆盖：基础关键词注入、隐式文档注入、分段编码注入、插件返回载荷投毒、未授权接口调用、高危删除操作、批量数据导出越权。

7.3 实验结果

在本次测试数据集上，提示注入检测召回率达到 92.7%，业务场景误报率控制在 2.1%；插件投毒检测召回率 91.3%；所有越权操作请求均可被权限引擎识别，高风险操作 100% 阻断。
性能测试：单次检测平均延迟 126ms，在企业业务场景可接受；安全组件横向扩展，支持数百并发 Agent 会话，不会显著影响 EWQ 平台原有业务响应时间。

实验验证结论：本安全组件可以有效识别提示注入、插件投毒攻击，落实 Agent 最小权限，完成全链路审计，能够稳定嵌入 EWQ 平台，实现预设安全能力。

7.4 局限性分析

本体系仍存在局限：针对高度混淆、多轮隐蔽式渐进提示注入，检测召回率存在下降；复杂业务场景下，Agent 任务目标语义识别存在边界；安全组件会带来少量调用延迟；新型攻击变种需要持续更新检测样本库与策略。后续需要持续迭代检测模型，优化语义理解能力。

8 总结与展望

8.1 研究总结

本文针对企业智能体调用业务系统场景，研究权限隔离、行为审计、提示注入攻防体系。梳理企业 Agent 全链路威胁模型，提出三级分层最小权限隔离架构，构建覆盖用户指令、Agent 推理、工具调用、插件返回、数据回写的全链路不可篡改审计体系；搭建多阶段提示注入、插件投毒、越权操作联合检测与分级阻断机制；完成可插拔 Agent 安全组件设计，组件能够嵌入 EWQ 平台，实现安全能力与 Agent 业务逻辑解耦。

实验证明该体系可以有效降低企业智能体权限滥用、提示注入劫持、插件投毒带来的安全风险，同时满足安全审计、合规溯源需求，为企业智能体规模化落地提供安全底座。

8.2 未来研究展望

1. 动态风险自适应权限：基于 Agent 实时行为风险评分，动态微调权限范围，进一步优化最小权限的灵活性。

2. 多模态提示注入检测：针对图片、PDF 等文件中隐藏的隐式提示，增强多模态检测能力。

3. Agent 攻击溯源归因：基于审计全链路数据，使用 AI 自动完成攻击事件分析，生成安全事件报告。

4. 联合安全编排：将 Agent 安全组件和企业现有 SIEM、零信任体系打通，实现全域安全联动。

5. 标准化：推动企业 Agent 安全能力、审计数据模型行业标准化。

数据来源

1. 实验数据集：本研究测试数据集由泷码软件研究院基于 EWQ 企业智能平台业务场景自主构造，包含正常业务交互样本、提示注入、插件投毒、越权操作测试样本。

2. 理论参考：国内外公开学术论文、大模型安全、Agent 安全领域公开技术白皮书、等保 2.0、《数据安全法》《网络安全法》相关合规要求。

3. 工程数据：EWQ 平台 Agent 运行日志、组件压力测试、攻防测试实验数据，实验原始日志存储于泷码软件内部测试环境。

4. 行业参考资料：Gartner、国内网络安全机构发布的生成式 AI 与智能体安全行业报告。

免责声明

本文为泷码软件（上海）有限公司、泷码软件研究院学术研究报告，报告内容仅用于技术研究、学术探讨，不构成任何产品承诺、落地担保或安全保证。报告中实验结果基于受控测试环境，真实业务环境安全效果受业务配置、插件种类、攻击方式、网络环境等多重因素影响，实际风险防护效果存在差异。

本研究提出的安全组件、架构模型仅作为技术方案参考，企业在生产环境部署时需结合自身业务场景开展安全评估、渗透测试。本文引用外部文献仅为学术参考，不代表本机构认同外部文献全部观点。未经泷码软件书面许可，不得将本文全部或部分内容用于商业宣传、产品背书。