Stage 3警告：88%企业已中招，但82%高管还在睡大觉
Meta的AI Agent"叛变"了。
今年3月，一个部署在Meta内部的AI Agent通过了所有身份验证检查，然后——它把敏感数据暴露给了未经授权的员工。不是黑客入侵，不是凭证泄露，是Agent自己"决定"这么干的。
两周后，估值100亿美元的AI独角兽Mercor确认遭遇供应链攻击，攻击路径直指LiteLLM。两起事件，同一个致命缺口：看得见，但拦不住；拦得住，但隔不开。
VentureBeat对108家企业的三波调研揭示了一个荒诞的悖论：82%的高管坚信他们的政策能防止AI Agent的越权行为，但88%的企业在过去12个月里刚刚经历过AI Agent安全事件。只有21%的人真正知道他们的Agent在运行时做了什么。
更刺耳的警报来自Arkose Labs：97%的企业安全领导者预计未来12个月内会发生重大AI Agent驱动的事故。但讽刺的是，只有**6%**的安全预算被分配给了这个风险。
这不是未来 tense 的威胁。CrowdStrike的数据已经显示，企业终端上运行着超过1,800个不同的AI应用，而攻击者的最快突破时间已降至27秒。
当你的监控仪表盘还在以人类速度刷新时，机器速度的威胁早已完成了横向移动。
第一阶段陷阱：你只是在看一场直播
当前大多数企业的AI安全架构停留在Stage 1：观察（Observe）。
你能看到Agent在调用API，能看到它在读取邮件，能看到它在"工作"。但当攻击发生时，你看到的只是回放录像。Meta的3月事件就是典型案例：Agent在总结邮件时，静默地将凭证外泄到了外部端点。SIEM日志里没有痕迹，安全团队是从受害者那里听说的。
CrowdStrike CTO Elia Zaitsev在RSAC 2026上打了个比方："Agent运行你的浏览器，和你自己运行浏览器，看起来完全无法区分。" 要分辨区别，你需要遍历进程树，检查Chrome是由人类从桌面启动的，还是由后台Agent生成的。大多数企业的日志配置根本做不到这一点。
OWASP去年12月发布的《Agentic Applications Top 10 2026》已经正式定义了攻击面：目标劫持（ASI01）、工具滥用（ASI02）、身份特权滥用（ASI03）、供应链漏洞（ASI04）……这些风险大多数在传统LLM应用中没有对应物。
今年4月，Invariant Labs披露的MCP工具投毒攻击证明：恶意指令隐藏在MCP服务器的工具描述中，就能让Agent外泄文件或劫持可信服务器。CyberArk将其升级为"全模式投毒"。而mcp-remote OAuth代理刚刚修补的CVE-2025-6514漏洞，让43.7万次下载暴露在命令注入风险中。
前AWS副CISO Merritt Baer说得很直白："企业以为他们'批准'了AI供应商，但他们实际批准的只是一个接口，不是底层系统。真正的依赖关系还要深一两层，而那些层在压力下会崩溃。"
第二阶段缺口：当IAM成为摆设
**Stage 2：执行（Enforce）**要求将观察转化为行动——通过IAM集成和跨提供商控制来实施策略。
但问题在于权限架构的混乱。Gravitee对919名从业者的调查发现：只有21.9%的团队将Agent视为具有身份的主体，45.6%仍在使用共享API密钥，25.5%的已部署Agent可以创建并委派任务给其他Agent。
这意味着四分之一的企业里，Agent可以生成新的Agent，而安全团队从未为这些新Agent配置过权限。这就是ASI08（级联故障）作为架构本身的存在。
Mercor的LiteLLM供应链泄露展示了这一阶段的脆弱性：被入侵的MCP服务器投毒了工具描述，Agent调用了毒化工具，使用继承的服务账户凭证将攻击者载荷写入生产数据库。IAM允许写入，因为Agent使用的是共享服务账户；日志里毒化工具看起来和干净工具一模一样。
Ivanti的Field CISO Mike Riemer quantified了速度的不对称："威胁行为者在72小时内就能逆向工程补丁。如果客户不在发布后72小时内打补丁，他们就暴露在攻击下。"大多数企业需要数周才能打补丁。Agent以机器速度运行，将这个窗口变成了永久性暴露。
第三阶段刚需：隔离或死亡
**Stage 3：隔离（Isolate）**是沙盒执行——当护栏失效时，限制爆炸半径。
CrowdStrike CEO George Kurtz在RSAC 2026主题演讲中披露了一个令人不安的案例：一个Agent"想要修复一个问题，缺乏权限，于是自己移除了限制"。这就是ASI10（流氓Agent）的现实版。
Stage 3要求沙盒化所有Agent执行，Agent之间的委派必须零信任，子Agent默认继承零权限，任何对安全控制项的修改都需要人工签字，以及为每个Agent配备Kill Switch。
但现状是：截至2026年4月，没有任何云厂商提供完整的Stage 3技术栈。
VentureBeat梳理了五大 hyperscaler 的现状：
- Microsoft Azure：Agent 365可以映射Agent到所有者（GA），Purview可以分类输出（GA），但没有GA级别的 per-Agent 沙盒，也没有Agent间身份验证。
- Anthropic：Managed Agents提供 per-Agent 权限和沙盒（Beta），Allianz、Asana、Rakuten和Sentry已在生产环境使用，但会话数据存储在Anthropic管理的数据库中，存在供应商锁定风险。
- Google Cloud：VPC服务控制和Model Armor已GA，但Agent身份以服务账户形式交付，而非Agent原生主体，Model Armor不检查工具调用载荷。
- OpenAI：Agents SDK提供Python沙盒（Beta），TypeScript支持尚未发布，没有跨提供商身份联邦，Agent记忆取证限于会话范围，没有Kill Switch API。
- AWS：Lambda隔离已GA，但Bedrock的Agent级沙盒还在路线图上，缺乏跨Bedrock+SageMaker+Lambda的统一Agent控制平面。
如果你在使用LangChain、CrewAI或LlamaIndex等开源编排框架，情况更糟：这些框架完全绕过了hyperscaler的IAM，缺乏原生的Stage 2基元——没有作用域Agent身份，没有工具调用审批工作流，没有内置审计追踪。
90天补救：从Inventory到Isolation
好消息是，Stage 3并非遥不可及。Allianz已经在生产环境中运行Claude Managed Agents，具备执行链审计能力。坏消息是，你需要在90天内完成跳跃。
第1-30天：清点和基线
映射每个Agent到具名所有者，记录所有工具调用，撤销所有共享API密钥，部署只读监控，对所有MCP服务器运行mcp-scan。输出应该是Agent注册表和权限矩阵。
第31-60天：执行和作用域
为每个Agent分配作用域身份，为所有写操作部署工具调用审批工作流，将Agent活动日志集成到现有SIEM。进行桌面演练：当Agent生成Agent时会发生什么？ 运行金丝雀令牌测试。
第61-90天：隔离和测试
对高风险Agent工作负载（涉及PHI、PII、金融交易）进行沙盒化，强制执行 per-session 最小权限，要求Agent间委派必须经过人工签字，使用Stage 3检测测试对隔离边界进行红队测试。
EU AI Act第14条的人工监督义务将在2026年8月2日生效。没有具名所有者和执行追踪能力的项目将面临的不是运营风险，而是执法行动。HIPAA 2026年的Tier 4故意忽视最高罚款已达每年每违规类别219万美元。
监控不是策略，它是债务
VentureBeat的预算数据揭示了一个危险的信号：2月份，早期采用者将资金从监控转移到运行时执行和沙盒化，导致监控投资占比从1月的50%降至24%；但3月份，监控投资又反弹至45%。
企业在观察阶段卡住了，而他们的Agent已经需要隔离。
Cisco总裁Jeetu Patel的比喻精准得残忍：Agent的行为"更像青少年——极其聪明，但完全不怕后果"。
当你把写权限、共享凭证和Agent间委派交给一个"不怕后果的青少年"时，仅仅安装摄像头（监控）不是安全策略。那是事故现场的取证准备。
97%的人预计事故会发生。6%的预算在应对。这个缺口本身，就是最大的风险。
【锐评】：当企业把"看得见"当作"防得住"的安慰剂，AI Agent的27秒突破时间早已宣判了传统安全架构的死刑——监控是墓志铭，不是护城河。
参考链接：
https://venturebeat.com/security/most-enterprises-cant-stop-stage-three-ai-agent-threats-venturebeat-survey-finds