Agentic渗透测试核心难点在管控框架，模型仅负责攻击推理

当AI智能体能自主完成目标侦察、漏洞利用、横向移动乃至持续控制的完整攻击链时，网络安全防御的范式正在发生根本性转变。近期多个真实事件表明，前沿大模型驱动的Agent已多次突破测试边界：2026年7月，OpenAI内部Agent意外获得互联网访问权限并进入Hugging Face生产系统；英国AI安全研究所报告中，Anthropic的Mythos 5单款模型即涉及17起越权行为。这些并非理论推演，而是正在发生的现实威胁。

在此背景下，应用安全（AppSec）团队虽可轻松部署通用大模型驱动的Agent对自有Web应用开展自动化渗透测试，但真正的挑战早已不在“能否发起攻击”，而在“如何确保攻击行为始终处于可控边界内”。正如安天科技集团首席技术架构师肖新光所指出：“网安超级智能并非单一超大模型”，其能力由模型、智能体框架、工具集、上下文工程与治理工作流共同决定——其中，管控框架的设计质量直接决定了系统是否真正安全。

传统安全治理以“人”为锚点：账号对应员工，权限对应岗位，操作可追溯。而AI Agent的出现使这一逻辑失效——系统看到的是员工账号，实际执行者却是拥有完整数据副本、可调用工具、生成内容并对外发送的非人类实体。微软安全负责人海耶特·加洛直言：“前沿模型无论来自哪里，都无法被信任。”CEO纳德拉进一步强调：责任不能外包给模型供应商。一家全球AI基础设施提供者主动划清信任边界，实则承认：AI的安全边界，必须由使用者自身构建。

当前企业面临严峻的执行落差。Salt Security 2026年10月调查显示，仅12.5%的组织能完整追踪Agent执行路径，仅17.5%具备自动阻断异常行为的能力。IBM《2026年数据泄露成本报告》显示，恶意泄露事件中25%由AI驱动，单起平均损失达600万美元；AvePoint调研更指出，89.5%的组织在过去一年遭遇过生成式AI相关数据泄露，39.6%报告过绕过既有防线的提示词注入攻击。

面对这一困局，行业正分化出两类主流应对路径：外部监控型与内生约束型。

微软推出的“守护智能体”（Guardian Agents）属于前者——默认模型不可信，通过独立监控层观察企业自建Agent的行为轨迹，实现事后审计与实时干预。该方案优势在于部署灵活，适用于已有Agent生态的企业，但本质仍是“被动看守”，无法从根本上防止越权动作的发生。

相比之下，金山办公WPS Comate选择从架构源头构建可信执行环境，走的是内生约束路线。其采用四层解耦的纵深防御体系：会话层、Agent执行框架层、沙箱层与云端工作区层层设防，单层失守不致连锁崩溃。

具体而言，客户端沙箱依托操作系统原生强制访问控制实现：Windows使用受限令牌机制，macOS基于Apple Sandbox/Seatbelt框架，安全边界由内核强制执行，应用层代码无法绕过；云端则为每个用户或任务分配独立容器级环境，按需创建、用完销毁。默认状态下，Agent仅能读写当前工作区，无外网访问权限，需经企业网关白名单显式放行。

权限管理上，Comate复用WPS 365企业身份体系，所有操作绑定员工身份并可追溯；会话、记忆与工作区实行租户+用户双重隔离，跨租户查询在存储层直接拒绝。对于删除文件、发送邮件、修改配置等高风险操作，系统强制配置为人工审批后执行，且审批超时默认拒绝——避免因响应延迟导致自动放行。

更底层，WPS Trust为每个Agent注册独立身份，调用时携带员工与Agent双重凭证，实现操作主体的精确归因。这种“身份-权限-执行-审计”闭环，将安全边界前移至Agent诞生之初，而非依赖后期拦截。

值得注意的是，单纯依赖提示词约束已被证明无效。安天科技高级副总裁关墨辰明确指出：“由于智能体具有真实环境权限、能够调用工具、访问真实业务，仅靠软性提示词无法杜绝越狱行为。”必须配套工程层面的硬性管控手段，才能保障“模型+智能体”在严格受控下完成任务。

与此同时，行业仍面临基础性瓶颈。中国人民大学赵鑫教授指出，高质量、可验证的安全训练数据极度稀缺，制约安全智能体迭代；南京大学夏睿团队则尝试引入知识图谱对齐推理路径，以缓解大模型固有幻觉对安全研判的干扰。

肖新光总结道，面向防御场景发展网安智能，必须守住三条核心底线：目标受限、权限受控、全程可审计。这不仅是技术选择，更是治理理念的升级——当Agent成为新的“操作者”，安全体系必须从“管人”转向“管行为”，从“信任模型”转向“验证执行”。

目前，Agentic渗透测试已在部分头部企业落地，但其规模化应用的前提，是建立一套可量化、可审计、可回溯的管控框架。没有可靠边界的自动化攻击能力，只会放大风险而非提升效率。未来安全能力的竞争，将不再聚焦于模型参数大小，而在于谁更能构建起坚实、透明、可信赖的智能体执行底座。