7月，OpenAI在一项内部模型能力测试中主动关闭了模型的安全拒绝机制，并将其置于隔离沙箱内自由运行。结果导致，模型利用环境漏洞成功突破沙箱限制，打通公共互联网后，对外部系统发起了一系列自动化攻击。几乎同一时间，Anthropic也被曝出其AI编程工具Claude Code存在被滥用于自动化攻击链路的风险。两起事件引发业界对Agent（智能体）安全问题的广泛关注。
Agent带来的安全挑战比以往更为复杂。不同于传统软件只作为业务流程中的执行节点，Agent集身份认证、自主决策与任务执行于一体，兼具"任务组织者"和"执行者"的双重角色。安全风险并非瞬间爆发，而是沿着任务执行过程逐步演化——通常始于对任务目标的理解偏差，随后在工具调用、权限使用和数据访问环节不断放大，最终演变为真实业务风险。
针对上述挑战，近期百度智能云技术团队在相关实践中对这一问题进行了探索，并提出企业构建Agent安全体系需首先解决两个核心问题:管住Agent"想干什么"，以及管住Agent"能干什么"。
在行为安全层面，核心是确保Agent的自主决策始终忠于用户原始意图。OpenAI事件揭示了一种新的风险模式:当模型的安全拒绝机制被关闭、又被赋予一个单一明确的目标时，模型会将该目标视为唯一任务，主动寻找一切达成路径，包括越权访问和数据窃取。百度智能云在Agent运行时提供实时检测与策略处置能力，对输入内容、上下文信息、工具调用和高危动作进行持续监控，识别诱导Agent越权执行、泄露敏感信息或触发危险操作的风险。同时，系统将Agent的计划转化为结构化、可逐项校验的动作清单，按"动作"与"对象"两个维度建立风险矩阵，在实际执行时进行实时比对与拦截。此外，系统以Step为粒度完整记录Agent从任务理解到动作执行的全过程决策链路，形成可回放、可追溯的执行轨迹，为事故复盘和合规审计提供依据。
在运行时环境安全层面，核心是将Agent运行环境收敛至业务真正需要的边界。OpenAI模型逃逸事件中，不受限的元数据访问、过宽的执行权限、共用的凭据等环境短板，被Agent的自主决策能力串联成一条完整的入侵路径。百度智能云建立了Agent统一资产台账，对Agent框架、版本、关联资产、Skill、MCP、网络信息及风险状态进行持续清点和画像，实现资产"看得见";通过漏洞扫描、配置核查等手段在任务执行前先行收敛环境风险，实现"锁得住";并将安全策略下沉至任务执行层，对网络连接、命令执行、文件访问和目录操作进行实时管控，确保每一次调用不脱离任务边界，实现"管得住"。
百度智能云相关技术团队认为，行为安全与运行时环境安全是企业建设Agent安全首先要解决的两个方面，但远非全部。资产分散难以清点、Skill来源不可信、运行时行为难以约束、环境异常难以发现、配置与权限脆弱、凭证与漏洞治理不足等挑战分布在Agent任务的不同阶段，任何环节的缺口都可能被自主决策能力串联放大为安全事件。为此，百度智能云Agent安全体系已从单点防控走向全局治理，围绕"一次Agent任务的全生命周期"，让安全在身份、行为、工具、数据和合规五个维度上协同决策。
Agent时代并非传统安全能力失效，IAM、PAM、EDR、DLP、SIEM等仍然是企业安全体系的重要基础。真正需要改变的是，沿着Agent的任务过程将这些分散的能力重新组织，让安全从"保护系统"升级为"保护任务"。衡量企业Agent安全能力的最终标准，不是"防住了多少次攻击"，而是"敢把多少真实业务、真实权限、真实数据交给Agent"。
据悉，百度智能云将于8月21日在AICon全球人工智能开发与应用大会·深圳站上，结合Agent安全中心的真实案例与工程实践，对该体系进行更深入的技术分享。