2026 年夏天，智能体安全议题接连引爆：Sysdig 披露全球首例由 AI Agent 自主完成的勒索攻击 JADEPUFFER，Axis Intelligence 发布收录 47 个攻击向量的模型漏洞全景。在"出了什么事故"被反复讨论之后，清华大学清新研究团队于 6 月发布 80 页《2026 智能体安全研究报告》，把视线从"发生了什么攻击"拉向"如何让 Agent 安全地跑起来"。这份报告的核心贡献，是把智能体安全从一个抽象警示，变成了一套可操作的工程框架。
从模型安全到运行时安全
报告首先厘清了一个关键转变：智能体安全已从"模型层面"升级为"系统性运行时安全"。早期对大模型安全的关注，集中在训练数据偏见、越狱提示词、输出有害内容等"对话层面"的风险；但当 Agent 能够调用工具、读写文件、发起网络请求、执行真实操作时，攻击面就从"说错话"扩展到了"做错事"。
行动型 Agent（能自主执行动作的智能体）带来的新风险在于：一次成功的提示词注入，可能不再只是让模型说出不该说的话，而是让它去删除数据库、转账、泄露凭证。报告结合多国权威机构的指导意见指出，智能体安全已成为国家级与企业级的核心安全议题，不能再作为模型发布后的"补丁"来对待。
核心定义：Agent Safety = 身份 + 策略 + 工具 + 日志
报告最具辨识度的一处，是给出了智能体安全的四支柱定义：Agent Safety = 身份（Identity）+ 策略（Policy）+ 工具（Tool）+ 日志（Log）。
身份，解决"谁在调用"——Agent 及其所代表的用户、服务，必须有清晰的身份与权限边界；策略，解决"能做什么"——用显式的策略规则约束 Agent 的行为范围，而非依赖模型"自觉"；工具，解决"怎么隔离"——对 Agent 可调用的外部工具做最小化授权与沙箱隔离；日志，解决"留痕可追溯"——对 Agent 的每一次决策与动作做全链路记录，出事能复盘、能追责。
这四根支柱把"安全"从一句口号，翻译成了四个可落地、可验收的工程模块。对企业而言，这意味着安全不再是模型厂商的专属责任，而是部署方必须在架构层面自行补齐的能力。
七层安全控制框架
在四支柱之上，报告进一步构建了七层安全控制框架，覆盖风险识别、架构设计、能力评测、治理机制到落地路径的完整链条。它的价值不在于提出某个惊世骇俗的新概念，而在于把散落在各处的实践（沙箱、权限最小化、人类确认节点、可观测性）组织成一个有层次的体系，让企业知道"从哪开始、按什么顺序补"。
与市面上常见的"Agent 很危险"式warning不同，这份报告更像一个施工手册：它告诉正在或计划部署 Agent 的团队，如何一步步把安全"建"进系统，而不是等出了事再救火。这种从"概念"到"操作"的转化，正是行业当前最缺的部分。
与 JADEPUFFER、47 漏洞报告的呼应
把这份报告放在近期的事件序列里看，逻辑立刻连贯：JADEPUFFER 证明了"Agent 能自主完成攻击全链条"已从假设变为事实；47 个漏洞全景量化了攻击面的广度（如工具输入注入成功率高达 84%）；而清华报告则提供了一套应对这些已知攻击面的系统性防御框架。
三者恰好构成"现象—量化—框架"的递进：从事件响应走向架构预防。对于刚经历安全焦虑的企业，这份报告的意义在于——它不否认风险的真实存在，但给出了比"先别用 Agent"更建设性的出路。
落地挑战：企业如何上手
框架归框架，落地仍有门槛。报告隐含的落地路径，可概括为几条工程铁律：权限最小化，Agent 只拿完成任务所必需的最低权限；工具沙箱化，所有外部调用在受限环境中执行；全链路日志，决策与动作可回放；可观测性，多步任务中能定位失败环节；以及在关键节点保留人类确认，避免全自动执行造成不可逆后果。
成本与安全之间的平衡，是绕不开的命题。过度的沙箱与确认会让 Agent 失去"自主"优势，过度放权则放大风险。报告虽未给出标准答案，但明确了一点：安全不是 Agent 规模化的阻碍，而是 Agent 规模化的"门票"——没有可信的安全底座，企业的大规模部署就无从谈起。
当智能体从演示视频走进生产线，安全议题的重心必然从"模型聪不聪明"转向"系统稳不稳定、可控不可控"。清华这份 80 页报告的价值，正是在喧嚣的事故叙事之外，为行业递上了一张可以照着施工的蓝图。