给工程师配的AI助手，半夜把图纸库传到了外网——AI智能体有了工具权，内鬼就成了自动化的

2026年春节前后，有研究团队扫了 8000 多个暴露在公网上的 MCP 服务器，结果吓一跳：大量服务器连认证都没开，管理员面板、调试端口、完整的对话历史全裸奔在外。同一年，一个开源 AI 智能体平台被曝出 CVSS 10.0 的漏洞（代号 RufRoot），攻击者只用一个没鉴权的 HTTP 请求，就能接管整个 AI 环境，顺手拿走 API 密钥、用户对话和底层命令执行权限。还有更离谱的演示：有人把恶意指令藏在发给 AI 的 PDF 附件白底白字里，绕过过滤器，AI 通过 MCP 去写了 SCADA 指令，直接把工厂里一台泵给启动了。

问题不在AI聪明，在它"什么都信"

制造企业这两年都在给工程师配 AI：写代码的助手、排工艺的智能体、答客户问题的客服机器人。为了让他们好用，企业往往会给这些智能体接上一堆"工具"——读文件、连数据库、发邮件、调内部 API，这套机制叫 MCP（模型上下文协议）。

麻烦就出在这：智能体默认无条件信任它遇到的每一个工具。一旦某个工具的"说明书"被投毒，或者给它装了个来路不明的恶意技能（2026 年初某技能市场被查出上千个伪装成文档处理、邮件管理的恶意模块，后台静默外传数据），它就会乖乖按指令把图纸库、工艺参数、客户名单批量传出去。而且整个过程都是"合法操作"——文件确实是从受信任的账号、走的正常接口出去的。

更扎心的是，传统防泄密看的是"文件出网"，看不出 AI 正在"正常干活"。2026 年初一起被广泛报道的事件里，攻击者借助自主 AI 智能体在六周内控制了多个政府机构系统、窃取近两亿条记录，其中七成以上的动作都是智能体自己跑的命令。它比人快、比人狠，还不会累。

给机器授权，得比给人更小心

智能体不是不能上，是得把它当成一个"权限极高的新员工"来管：

最小权限，分工具给权。读图纸的别给发邮件的权限，写代码的别给删库的权限，客服机器人只准查知识库、不准碰生产数据库。智能体能调的工具列一张白名单，不在表里的它碰不了。

MCP 服务器别裸奔。所有 MCP 服务必须开鉴权、限来源 IP、留全量调用日志，绝不能绑在 0.0.0.0 上对外开放。那个 CVSS 10.0 的漏洞，根子就是默认把桥接端口敞开。

给智能体单独做行为治理。监控它的访问行为：异常批量读取、短时间高频外传、跨系统跳转，要能实时识别并自动阻断。它没情绪，但你可以给它设红线。

透明加密兜底。本地源码、图纸库、训练数据继续用上邦透明加密——就算智能体被诱导去读、把副本落在别处，离开授信环境也打不开、带不走。

智能体是把双刃剑

管好它是生产力，管不好它就是"自动化内鬼"。过去我们防的是人会犯错、人会跳槽，现在还得防机器被一句话带偏、然后以千倍速度把家底搬空。

说到最后，技术永远在前面跑，规矩得跟上。我们见过太多企业 AI 先上了、流程后补，最后补的是教训。上邦做数据安全这些年，最大的体会是：给机器授权，得比给人授权更小心——因为它不会累，也不会愧疚。把智能体关进最小权限的笼子，它才是帮你干活的，不是帮你家底外流的。