2026 年春节前后，有研究团队扫了 8000 多个暴露在公网上的 MCP 服务器，结果吓一跳：大量服务器连认证都没开，管理员面板、调试端口、完整的对话历史全裸奔在外。

同年 7 月，开源 AI 智能体平台 Ruflo 被曝出 CVSS 10.0 的漏洞（代号 RufRoot，编号 CVE-2026-59726）：攻击者只用一个没鉴权的 HTTP 请求，就能接管整个 AI 环境，顺手拿走 API 密钥、用户对话和底层命令执行权限。

还有更离谱的演示：有人把恶意指令藏在发给 AI 的 PDF 附件里——白底白字、肉眼看不见——AI 照单全收，通过 MCP 去写了 SCADA 指令，把工厂里的一台泵直接启动。

三件事指向同一个问题：问题不在 AI 聪明，在它"什么都信"。

01 问题不在 AI 聪明，在它"什么都信"

制造企业这两年都在给工程师配 AI：写代码的助手、排工艺的智能体、答客户问题的客服机器人。为了好用，企业往往会给这些智能体接上一堆"工具"——读文件、连数据库、发邮件、调内部 API。这套机制，叫 MCP（模型上下文协议）。

麻烦就出在这：智能体默认无条件信任它遇到的每一个工具。

一旦某个工具的"说明书"被投毒，或者给它装了个来路不明的恶意技能，它就会乖乖按指令把图纸库、工艺参数、客户名单批量传出去。2026 年初某技能市场就曾被查出上千个伪装成文档处理、邮件管理的恶意模块，后台静默外传数据。

更麻烦的是，整个过程都是"合法操作"——文件确实是从受信任的账号、走的正常接口出去的。

而传统防泄密看的是"文件出网"，恰恰看不出 AI 正在"正常干活"。2026 年初一起被广泛报道的事件里，攻击者借助自主 AI 智能体，在约两个月内控制了墨西哥多个政府机构系统、窃取近两亿条公民记录——其中绝大部分动作，都是智能体自己跑的命令。它比人快、比人狠，还不会累。

02 给机器授权，得比给人更小心

智能体不是不能上，是得把它当成一个"权限极高的新员工"来管。四道闸门，缺一不可。

第一道闸门：最小权限，分工具给权

读图纸的别给发邮件的权限，写代码的别给删库的权限，客服机器人只准查知识库、不准碰生产数据库。智能体能调的工具列一张白名单，不在表里的，它碰不了。

第二道闸门：MCP 服务器别裸奔

所有 MCP 服务必须开鉴权、限来源 IP、留全量调用日志，绝不能绑在 0.0.0.0 上对外开放。那个 CVSS 10.0 的漏洞，根子就是默认把桥接端口敞开了。

第三道闸门：给智能体单独做行为治理

监控它的访问行为：异常批量读取、短时间高频外传、跨系统跳转，要能实时识别并自动阻断。它没情绪，但你可以给它设红线。

第四道闸门：透明加密兜底

本地源码、图纸库、训练数据继续用上邦透明加密——就算智能体被诱导去读、把副本落在别处，离开授信环境也打不开、带不走。

03 智能体是把双刃剑

管好它是生产力，管不好它就是"自动化内鬼"。过去我们防的是人会犯错、人会跳槽，现在还得防机器被一句话带偏、然后以千倍速度把家底搬空。

技术永远在前面跑，规矩得跟上。我们见过太多企业 AI 先上了、流程后补，最后补的是教训。

上邦做数据安全这些年，最大的体会是：给机器授权，得比给人授权更小心——因为它不会累，也不会愧疚。把智能体关进最小权限的笼子，它才是帮你干活的，不是帮你家底外流的。