走进建恒信安，四位专家共话 AI 安全与关基数据安全实战

10月14日下午，中关村华安关键信息基础设施安全保护联盟（以下简称"关保联盟"）主办的"CSO成长计划"第十一期沙龙活动在北京举办，以"数筑生态·共护数字化时代安全屏障"为主题，关保联盟带领参加活动的会员单位代表走进北京建恒信安科技有限公司，邀请四位行业专家围绕 AI 安全治理、关基数据安全监测、AI 原生安全与智能体安全等议题作专题分享，并在圆桌讨论与自由交流环节，围绕一线工作中的实际技术问题展开了深入探讨，现场问答互动热烈。

 

<<  滑动查看下一张图片  >>

当前，人工智能、大模型、智能体深度融入各行业业务流程，加速催生数字化新生态与新业态。各单位数字化转型不断走向纵深，跨机构、跨领域数字化生态逐步形成。与此同时，数字化生态具备脆弱性、风险性、长期性和复杂性特征，建设难而破坏易——网络攻击仍是主要安全威胁，AI 既是安全防御升级的重要抓手，也被用于实施各类网络攻击，给关键信息基础设施防护、网络安全、数据安全带来全新的风险挑战。

正基于此，关保联盟围绕数字化基础要素安全、数据流通安全、数据应用安全、业务场景安全，持续打造"CSO成长计划"沙龙这一常态化技术交流平台，聚焦前沿技术、实战场景与落地痛点，让关键信息基础设施行业的安全负责人和技术骨干坐到一起，把问题讲透、把经验对齐、把方法带走。

活动走到第十一期，本期在组织形式上又做了一次尝试——把沙龙开到企业一线：由会员单位支持举办，关保联盟带着参加活动的会员单位代表一起走进企业，在真实的业务与技术场景中开展交流。

本期沙龙由关保联盟会员单位北京建恒信安科技有限公司支持举办。把 CSO 沙龙办进会员单位，是关保联盟对本项活动的一次组织形式创新。联盟希望让交流不止停留在讲台与课件上，也可以把本单位在安全建设与运营中遇到的真实问题直接带到现场。后续联盟的 CSO 活动将持续举办，欢迎更多会员单位参与支持；联盟也将通过活动，带着会员单位代表走进更多企业。

他首先梳理了 AI 与安全关注度的演进曲线：从 Transformer 论文发表、ChatGPT 发布，到 2025 年 DeepSeek-R1 开源推动开源普惠与垂直行业落地，再到 2026 年以 OpenClaw 为代表的开源框架赋予智能体对操作系统的直接控制权。AI 安全的重心，也正从"防范有害内容生成"升级为"防范有害操作执行"，成为 AI 应用落地的前置必备条件。他同时列举了近期公开披露的风险事件，说明大模型生成有害内容、智能体突破安全隔离等新型威胁已持续涌现，AI 安全治理已成为产业发展必须直面的核心课题。

在治理动向层面，他系统梳理了国内外进展：我国已形成《人工智能应用伦理安全指引 1.0》《智能体规范应用与创新发展实施意见》以及《生成式人工智能服务安全基本要求》等系列规范与标准；2026 年 5 月，澳大利亚、美国、加拿大、新西兰、英国五国网络安全主管机构联合发布《审慎部署代理式人工智能服务》，明确指出代理式人工智能不是"会说话的软件"，而是具备目标分解、工具调用、环境交互和长期计划能力的自主执行主体，一旦接入敏感数据、生产系统或关键基础设施，其错误、被劫持或被过度授权的行为将直接转化为服务中断、数据泄露、越权操作和安全事件。

在实践层面，中国联通作为网络安全现代产业链链长单位，联合产业合作伙伴共同提出人工智能安全治理体系，形成多模态大模型安全评测与增强一体化解决方案，并探索可解释 AI 关键技术：自主构建百万级多模态大模型安全评测数据集，融合海量安全风险样本与前沿对抗攻击策略，实现从单模态合规检测到跨模态联合风险的深度评测；裁判模型历经三代技术演进，实现判定结果可量化、可追溯、可审计；以智能体驱动的大模型安全评测替代固定评测工作流，将评测周期从5—7 天压缩至 1 天，脆弱点检出程度同步提升。

同时，中国联通深度参与 ITU-T 国际标准制定，累计牵头 12 项 ITU-T 国际标准，其中包括多项"首个"框架性标准，并在 GB/T 45654 等国家标准制定中贡献技术力量。

"数据安全要做到可感、可知、可控、可追溯，而日志与 API，是数据安全的'双眼'与'闸门'。"他提出，数据安全监测首先要解决"基础条件标准化"问题，日志标准化建设应按"依据层定规矩、条件层建能力、应用层出成效"三层递进推进，把采集—标准化—关联—留存四要素做实——采得全、字段齐、标识通、留存完整，任一要素缺失都会造成监测链路断点。

实践表明，深夜时段的账号"成功登录"、短时间内连续登录失败 20 余次、陌生设备登录后的批量查询（涉及敏感数据记录一千余条）等风险行为，都可以通过"登录—操作"日志关联被完整还原并命中规则告警——"传统设备看不到的风险，日志标准化之后就能看到"，这正是补齐"合法身份、异常行为"监测盲区的关键。

▍API：数据交互的主通道，也是攻击的主要目标

他引用行业报告数据指出，平均每家机构 API 接口数已达10,926 个，其中敏感数据传输 API942 个。对此应当先摸清家底——通过自动化资产发现结合人工核对，理清接口数量、责任人、使用方与风险等级；建立以"数据分级 × 业务影响"为轴的接口分类分级矩阵，聚焦高敏感性、高并发性、高权限性、弱认证性"三高一弱"接口实施重点防护；并以 PDCA 方法组织 API 安全评估，形成"框架—落地—验证—优化"的持续改进闭环。

他指出，AI 时代给企业安全带来了两个变化：一是攻防能力进一步失衡——自动化挖掘漏洞与自动化利用漏洞大幅压缩了防守方的响应窗口；二是AI 本身成为新的企业安全暴露面。两个变化带来两个增量需求："AI 原生安全（Security for AI）"与"AI 赋能安全（AI for Security）"，二者共同构成一个双向防护闭环。

▍AI 原生安全：风险不在模型能力，而在身份与权限边界

他分享了多个真实案例：某券商智能体出现系统提示词泄露、内部知识库泄露；某股份制银行 MCP 服务缺乏认证保护，平台记录到202 个工具调用无需认证即可成功执行，另有工具响应中暴露云元数据地址与回环地址。这些问题的共同特征是——风险不在模型能力，而在身份认证与权限边界。

▍AI 赋能安全：在不改动现有体系的前提下验证能力

他介绍了"堆叠式 AISOC"的落地思路：在不改动现有安全体系的前提下，完成流量、主机、邮件、终端四大场景的 AI 研判能力验证。以邮件与 DLP 场景为例，AI 研判智能体能够识别出邮件网关漏判的钓鱼邮件、发现嵌套在 Word 附件中的 Excel 表格里10 名员工的完整敏感个人信息，也能排除"仅出现'机密'字样、实为考试题库选项"这类误报——检测从关键词与正则匹配，走向语义与上下文理解。在流量告警场景，智能体可对 WebShell 命令执行探测、SQL 注入等攻击行为给出准确研判，并输出处置建议。

他指出，AI 的交互范式已经改变——模型开始调用工具、访问系统、修改数据，安全的目标对象第一次从"内容"变成了"行为"。CSA 与 Zenity 联合开展的调研数据印证了这一判断：

"把 Agent 当成应用来治理，是当前绝大多数安全体系失效的根因。"王安宇提出，Agent 同时具备四重身份——非人类身份、自动化决策主体、资源访问主体、数据操作主体，传统的"用户—应用"二元模型已经不够用。由此衍生出五类新增风险：目标偏移、身份链失控、记忆投毒、工具滥用、多智能体信任传播；这与 OWASP《Top 10 for Agentic Applications 2026》所列的十项智能体应用风险高度呼应。

在企业落地路径上，他建议按发现（Discover）→ 治理（Govern）→ 控制（Control）→ 运营（Operate）四阶段推进，并给出第一个 90 天的行动清单：先止血，再治病。分享最后，他给在座的安全负责人留下三句话：把 Agent 当员工一样管（身份与责任），当成特权账号一样防（权限与行为），当成业务系统一样运营（指标与流程）。

在圆桌讨论与自由交流环节，与会代表围绕主题分享中的方法与工具，结合各单位在安全建设与运营中遇到的实际情况，与嘉宾作了充分交流。从 AI 安全治理的体系化路径，到数据安全监测的日志基础条件与接口治理，再到 AI 原生安全与 AI 赋能安全的双向闭环，以及智能体的身份与权限管控，现场提问接连不断，讨论气氛热烈。

多位参会代表表示，这类"带着问题来、拿着方法走"的交流形式比单向宣讲更有收获——嘉宾讲的是方法论，大家问的是真问题，一问一答之间的碰撞，往往正好触达落地过程中最难啃的那一层。围绕嘉宾分享中的具体做法，现场还就本单位推进中的可行性、投入节奏与组织协同等问题进行了延伸探讨。

<<  滑动查看下一张图片  >>