企业用上AI智能体，安全预算该花在哪里？

企业给AI智能体算账，常把模型调用费、部署费和节省的工时放在前面。真正进入业务系统后，另一笔账会迅速浮现：谁允许它动手，操作出了问题谁能发现，谁有能力及时叫停。安全预算若仍停留在上线前的一次检查，很难覆盖持续运行的智能体。

英国政府10月12日公布的风险应对措施，以及Anthropic一周前调整的网络安全验证计划，提供了两个观察窗口。本文的判断是，企业采购正在需要一套更完整的成本口径：把授权、过程监督、独立检验和事故处置，与模型能力一起定价。

英国提出新议程，企业先看清适用边界

据英国政府10月12日公告，政府将扩大利用前沿AI加强网络防御的试点，并研究如何应对自主智能体的严重事故。公告还提出，探索强化《网络安全与韧性法案》及相关制度，研究严重事故与“险些发生的事故”的识别和报告。

这里的关键词是“探索”和“研究”。措施细节仍要与议员、技术专家及相关运营方讨论，不能据此宣称英国已经要求所有企业执行一套新的智能体事故报告义务。

同日，英国AI安全研究所AISI的技术议程聚焦前沿AI开发机构：风险可能在训练、评估和内部部署阶段出现，监督机制与评估方法需要跟上能力变化。AISI明确表示，这项工作旨在推动自愿技术实践，成熟后可能形成正式标准，并非给开发商设定强制要求。

对普通企业，这些文件更适合作为采购提问的依据。供应商能否说明模型上线前后如何被监督、事故怎样被发现，往往比一份笼统的“安全可靠”承诺更有用。

第一笔钱，应花在分清谁能做什么

Anthropic于10月6日公布的扩展版Cyber Verification Program（CVP），面向经过核验的网络安全专业人员，设置防御、红队和专门访问三档。防御档覆盖安全运营、事件响应等工作；红队档增加经授权的渗透测试；专门档面向获准测试可能影响生命安全或市场运行系统的少数机构，并与美国政府合作开展深入审查。

这不是普通企业购买一个更贵套餐就能全面解除限制。红队档仍限制可能造成物理伤害或大规模破坏的行为，个人研究者目前也不能申请红队档。权限跟随工作范围及核验结果，而不是仅由付费意愿决定。

借鉴这一思路，企业可以先给自己的智能体列一张动作清单：读取客户资料、生成修改建议、写入业务系统、执行生产变更，各自需要不同授权。预算应覆盖独立身份、短时凭证、最小权限及高风险操作审批。让一个通用账号同时连接邮件、数据库和运维平台，初期省下的接入成本，可能变成事后难以定位责任的代价。

过程监控要看动作，不能只留聊天记录

智能体完成一项任务，可能连续调用多个工具。最终回答看起来正确，并不能证明中间每一步都在授权范围内。因此，企业应为工具调用、权限变化、外部连接及数据写入保留可关联记录，并把告警交给真正有处置权限的人。

CVP的官方安全要求提供了具体参照：获准用户与工作空间需要可归因的使用记录；红队档涉及智能体或攻击性工作的环境，要限制并记录外连；还需具备凭证撤销与事件处置程序。这些是该计划的准入及持续使用要求，不能扩写成全行业通用法规。

对企业而言，可借鉴的重点是把控制落实到系统边界。比如，测试环境可以访问哪些目标，应由智能体无法自行改动的网络规则约束。监控费用也不只包含存储日志，还包括告警调优、值守和复盘。否则，日志越积越多，业务团队仍可能在客户投诉之后才知道出了问题。

独立评估和紧急停止，应当一起验收

AISI将独立评估者的能力、访问范围和资源列为待推进的技术议题。对采购方的启发是，安全评估需要足够的可验证证据，不能只复述供应商的演示。企业也不必把所有试验都交给昂贵的外部机构，可以按业务后果确定检验深度。

对于仅生成内部草稿的应用，重点可放在数据隔离和人工复核；对于能改订单、发付款指令或操作生产系统的智能体，则应安排与开发团队相对独立的测试。测试对象要包含真实工具权限、异常输入和失败恢复，模型或工具链发生重要变化后还要重新检查。

紧急停止尤其需要现场验证。采购方可以要求供应商在受控环境中演示：管理员叫停后，任务队列是否停止，外部工具权限能否撤销，已产生的变更如何定位和恢复。界面上有一个按钮，并不等于业务动作已经终止。

据此，验收指标可以增加异常发现耗时、权限收回耗时和恢复结果。这些是本文提出的采购建议，并非上述英国文件已经公布的统一技术指标。

事故响应也需要单独安排人力和演练经费。哪些异常必须升级，夜间谁能撤销访问，谁保存证据、通知受影响业务，都应提前明确。即使一次越权被及时拦下，也值得复盘它如何发生。把“没有造成损失”当成不必处理的理由，会错过修补控制缺口的机会。

国内企业的机会，在于把安全做成可交付能力

国内企业评估海外产品时，首先要确认服务可用范围、数据流向及合同条件。CVP不能被当作国内所有客户都可直接获得的能力。其帮助中心还说明，获准访问并不自动覆盖面向客户的产品或服务，相关产品化用途需要单独申请批准；数据保留也有专门要求和特定例外。安全服务商不能把内部使用资格直接当作对外转售授权。

更有普遍价值的，是把这些问题提前写进采购范围：谁负责身份系统对接，谁维护监控规则，异常由谁接报，停机与恢复由谁执行。国产模型与本地部署方案同样值得按这些问题验收。部署位置本身不能代替权限设计和事故演练。

预算有限时，可以优先保障高后果动作的权限隔离、撤权和恢复，再逐步完善评估与监控覆盖。每笔投入都应对应一个能演示、能复测、有人负责的结果，避免采购大量功能后仍无人处理告警。

这也给本土安全厂商、系统集成商和评估机构留下了商业空间：把智能体身份、工具调用审计、独立测试和应急服务做成可持续交付的能力。它们的价值最终要体现在减少误操作损失、缩短中断时间，以及帮助客户有把握地扩大应用范围。企业敢把关键工作交给智能体，安全投入才真正参与了生产力提升。

信息截至2026年10月13日北京时间。来源：英国政府公告、AISI技术议程、Anthropic CVP公告及其计划说明、安全要求。