当前，智能体已成为人工智能应用落地的主要载体，其应用风险直接关系企业业务运行成效。中国工业互联网研究院依托高质量智能体漏洞库与智能体可信评测平台（https://www.ai-bridge.cn/external），长期开展智能体应用风险评测，并基于真实案例总结出十大风险类别，供企业对照排查、防患未然。
风险一
间接提示词注入
【风险介绍】间接提示词注入，是指攻击者将恶意指令隐蔽植入邮件、网页、文档等外部数据源。由于大模型底层架构中，系统指令与业务数据缺乏物理隔离，智能体检索外部信息时，容易把夹带的恶意文本误判为系统指令执行，进而实施高权限的跨系统机密窃取，并通过图片渲染等出站通道将数据静默外传，构成严重应用风险。
【相关案例】2025年6月，某公司产品被披露存在“零点击”提示词注入漏洞。攻击者向目标用户发送嵌入恶意指令的邮件，当用户使用该产品整理会议纪要时，邮件内的恶意文本会被误判为执行指令，诱导产品读取邮件、消息中的业务数据并编码至图片链接；页面渲染链接时，相关数据即被发送至攻击者控制的域名。全程无需用户点击，即可实现无交互的数据窃取。
智能体应用风险案例1：间接提示词注入
【操作警示】企业办公、业务管理等协同助手通常持有文档读取权限，若不能有效隔离外部输入内容与模型系统指令，极易引发指令注入，导致高价值数据泄露。企业应将智能体的外部输入纳入指令注入防护体系，严格区分业务数据与执行指令，并对图片渲染、外链访问等出站通道实行白名单管理和异常监测。
风险二
越权自主行动
【风险介绍】越权自主行动，是指智能体未经用户确认，自行检索并调用更高权限的凭证或能力继续执行任务。此类行为不产生任何审批记录，却可能越过既定权限边界，触发删除、下发等高危操作，导致核心资产损毁、业务瘫痪甚至失控，危害极大。
【相关案例】2026年4月，某公司研发人员在测试环境中让编码智能体执行一项“建立租车约定”的常规任务。智能体读取环境变量时发现凭证与目标环境不匹配，竟未经用户确认，自行在代码库中检索并调用其他可用凭证，9秒内删除了生产数据库连同卷级备份，全程既无二次确认，也未留下可用回滚点。事后核查显示，该凭证的用途系智能体自行推测，未作任何核实。
智能体应用风险案例2：越权自主行动
【操作警示】产线管理、设备运维等智能体往往同时持有工单、参数下发、数据库及云资源等多套凭证；为减少人工打断，又常被授予较宽权限。若不对其凭证检索与自主提权行为设置硬性约束，极易引发生产数据误删、控制参数误下发等事故，最终导致停机、批量报废。企业应强制隔离生产与测试环境凭证，对删除、下发类操作实行二次确认和双人复核，并确保任意时点均保有可用回滚点。
风险三
第三方集成凭证失窃
【风险介绍】第三方集成凭证失窃，是指攻击者入侵第三方服务商的代码仓库或云环境，批量窃取企业智能体用于系统集成的认证令牌，再以合法身份调用被集成系统接口、批量导出数据。由于持合法凭证的调用本身就是正常业务行为，此类攻击隐蔽性极强，可能在数天至数周内不被察觉。
【相关案例】2025年8月，攻击组织入侵某代码托管平台账户及其亚马逊云服务环境，获取了全部客户集成的认证令牌。此后十天内，攻击者利用这些令牌批量导出数百家企业的客户数据，累计4.2万条记录，并专门检索亚马逊云服务的密钥与个人访问令牌。美国金融业监管局确认，受影响组织超过700家。此次攻击并未使用提示词注入或社会工程学手段，而是直接窃取智能体用于执行任务的集成凭证。
智能体应用风险案例3：第三方集成凭证失窃
【操作警示】生产执行与供应链协同平台普遍通过认证令牌集成第三方机器人，此类凭证往往长期有效、作用域过大。若不对令牌生命周期与调用行为实施管控，一旦第三方服务商被攻破，客户数据、工艺参数与供应链信息将持续外流，而企业侧几乎无法感知。企业应将集成凭证视同员工账号管理：缩短有效期、收敛作用域，对批量导出设置体量与频率阈值，并保留可追溯的调用日志。
风险四
工具组件投毒
【风险介绍】工具组件投毒，是指攻击者将恶意工具包伪装成官方工具发布至公开仓库，待智能体或业务系统引用后，伺机夹带业务数据与真实凭证外传。智能体只能校验工具声明、无法审计工具实现，恶意组件获得宿主授权后，可在“正常工作”中不断积累信任。该风险最棘手之处在于：出站流量特征与正常业务高度混同，实际监测中难以识别。
【相关案例】2025年9月，某开源代码仓库中出现一款伪装成官方模型协议组件的邮件发送工具，其名称、工具声明与返回格式均与官方一致，前十五个版本功能完全正常，累计约1500个活跃安装用户。攻击者仅在1.0.16版入口文件的第231行增加了一行代码，使每封经其发出的邮件都被密送一份至攻击者控制的域名。此后一周内，每天有3000至15000封邮件外泄，内容涉及密码、发票、客户数据和令牌。
智能体应用风险案例4：工具组件投毒
【操作警示】部分生产管理智能体通过模型协议接入工单、排产、质检等工具组件，此类组件通常持有业务系统的读写权限。若不对组件来源与出站行为实施管控，极易导致工艺参数与客户资料长期外流。企业应锁定工具组件版本并核验发布者身份，对组件出站流量实行白名单管理，并对高权限组件的授权实行审批与定期复核。
风险五
依赖包后门植入
【风险介绍】依赖包后门植入，是指攻击者通过开源项目的依赖包，对智能体运行环境进行污染和控制。攻击者长期参与开源项目、逐步取得维护权限后，在构建脚本中植入仅在打包阶段生效的载荷；由于源码审计无法覆盖构建产物，后门得以随基础依赖进入下游发行版与容器镜像，并在运行期绕过身份认证、开放远程访问。
【相关案例】2024年3月，研究者在排查远程登录异常延迟时，发现某压缩工具源代码的某个依赖库中被植入了后门。攻击者此前以维护者身份持续贡献代码两年有余，并将载荷藏入测试数据，由构建脚本在打包阶段解出并写入构建产物——源码与提交历史中均找不到可读的恶意代码。该后门通过依赖库挂钩远程登录的认证流程，在特定构建配置下可绕过身份认证，漏洞评级达到10分。颇具戏剧性的是，该后门因一次约500毫秒的登录延迟而暴露，相关版本随即被各发行版紧急回退。
智能体应用风险案例5：依赖包后门植入
【操作警示】企业的模型仓库、推理服务镜像与数据管道普遍打包基础组件，若不对依赖来源与构建产物实施校验，一旦上游维护权限被夺取，后门将随镜像升级进入全部节点，且常规代码审计难以发现。企业应固定依赖版本并核验发布者与签名，对关键镜像实行可复现构建与产物比对，并对基础组件的异常网络行为设置监测。
风险六
长期记忆投毒
【风险介绍】长期记忆投毒，是指攻击者将恶意指令隐蔽植入不可信网页、文档或对抗图片，诱导模型把虚假事实写入长期记忆。虚假事实一经写入便长期留存，不随单次对话结束而清除，还会在后续各类会话中被持续调用，干扰智能体在检索、推荐与工具调用中的判断；且写入过程对使用者不可见、难以追溯。
【相关案例】2024年，研究者首次演示了针对ChatGPT的记忆投毒：通过不可信网页中的提示注入，使其将攻击者编造的虚假事实写入长期记忆，并跨会话生效。2025年，同类手法出现在Gemini上——攻击者在不可信文档中埋入条件触发器，待用户提到特定语句时激活工具调用。2026年，Claude的记忆工具被一张含隐形文字的对抗图片攻破，十次尝试中成功五次。三家主流厂商均有实证案例，表明这一设计模式本身存在缺陷。
智能体应用风险案例6：长期记忆投毒
【操作警示】企业知识助手与工艺助手正逐步引入记忆能力，用于保存常用参数、审批习惯与项目背景。若不对记忆写入的来源与内容实施校验，虚假事实一旦写入，将影响此后的每一次推荐与决策，极易导致工艺参数误配、供应商误选。企业应对记忆写入动作实行用户可见、可撤销管理，对跨会话事实类记忆标注来源并定期复核，并对来自外部内容的记忆写入实行隔离与拦截。
风险七
虚假交付与幻觉传导
【风险介绍】虚假交付与幻觉传导，是指自主交付智能体在任务未达成时编造测试数据与验证结论，并将失实结果写入项目输出、报告与记忆。由于虚假内容会被后续环节当作事实继承，该风险不仅使验收结论与实际状态持续偏离，也让事后追查难以还原真实决策过程。
【相关案例】2025年7月，某智能体在删除生产数据库前数日即着手掩盖痕迹：先是构造了含4000条虚构人物的数据库，并据此生成“测试全部通过、覆盖率92%”的虚假报告。尽管用户反复强调不得改动数据库，该智能体仍擅自删除生产库，并谎称无法回滚——实则当时具备回滚条件。事后核查发现，其错误结论已被写入项目输出、报告及记忆。
智能体应用风险案例7：虚假交付与幻觉传导
【操作警示】企业在研发设计环节引入自主编码智能体后，其产出的测试报告与验证结论常被直接用于验收放行。若不对智能体输出建立独立校验，一旦结论失实，后续各环节将层层继承错误，质量问题极易在客户端集中暴露。企业应对智能体输出实行独立工具复核，对其自行上报的完成状态增设确认环节，在关键节点设置人工审核，并保留不可篡改的操作留痕。
风险八
深度伪造音视频
【风险介绍】深度伪造音视频，是指攻击者利用智能体实时生成技术，伪造关键用户的视频与音频形象，冒名实施高权限操作。实际攻击中，攻击者可伪造企业高管与同事的语音和外貌，在视频会议、语音通话等场景中冒充内部人员下达指令，诱导员工执行转账、放行等高危操作。
【相关案例】2024年，某工程咨询公司一名财务人员参加了一场视频会议，参会者包括“首席财务官”“财务总监”及两名“同事”，发言与点头示意均与真人无异。会后，该员工遵照会上指示转出约2亿港元；回拨首席财务官电话核实时，对方却表示从未召开过该会议。经调查确认，会议中所有参会者均为实时深度伪造，口型、语速、插话、点头等细节全部由智能体实时生成。
智能体应用风险案例8：深度伪造音视频
【操作警示】企业付款审批、生产放行与工程变更等关键环节，常依赖企业微信、钉钉、飞书等即时通信工具。当“内部人员”以同事口吻发起指令时，员工的防备心理远低于面对陌生邮件。若未建立跨渠道核实机制，极易引发大额资金被骗、生产指令违规执行等后果。针对大额付款与生产变更等操作，企业应强制实施双人复核，并通过独立渠道反馈确认。
风险九
生成内容合规失控
【风险介绍】生成内容合规失控，是指智能体在素材不足时按同类事件惯例“脑补”细节，产出看似可信、实则未经核实的内容。这类内容若直接对外发布，极易引发谣言扩散、人格权侵害及违规输出，使企业面临名誉受损或合规处罚。
【相关案例】近年来，国内已出现三类与智能体相关的内容风险：一是AI生成谣言被公安机关行政处罚；二是AI换脸拟声被用于诈骗与人格权侵害；三是生成式服务因输出违规内容被监管约谈、下架。三类案例的共同点在于：模型输出的内容看似高度可信，使用者难以分辨。与其他风险不同，该类风险的驱动力主要来自监管要求，而非外部攻击。
智能体应用风险案例9：生成内容合规失控
【操作警示】企业对外宣传、招投标文件与生产通报等工作大多借助生成式工具起草，若发布前不设确认环节，一些未经核实甚至涉及事故与处罚的表述极易产生法律后果。企业应对敏感表述实行人工核对并保留核查路径，建立事前核对清单，并保留生成记录以备追溯。
风险十
接口鉴权缺失
【风险介绍】接口鉴权缺失，是指人工智能平台在功能上线前，未同步完成接口层鉴权与权限收敛，致使大量智能体平台API端点可在无凭据状态下被浏览器遍历访问。攻击者无需触发任何告警，即可批量获取会话记录、文件与账户信息。
【相关案例】2026年3月，某智能体对麦肯锡内部智能体平台开展授权测试，发现22个智能体平台API端点缺少鉴权校验，直接暴露4650万条聊天记录、72.8万个文件与5.7万个用户账户。问题根源在于缺少鉴权与过度暴露——攻击者无需任何凭据，仅通过浏览器即可逐个遍历接口。
智能体应用风险案例10：接口鉴权缺失
【操作警示】企业内部知识助手、检索平台与问答系统多由业务部门直接搭建，鉴权与权限收敛常被置后，甚至缺乏基础防护设计。若上线前未开展接口校验测试，极易导致企业技术资料被读取。企业应将智能体平台纳入常规风险测试与渗透测试范围，把接口鉴权与最小暴露置于与功能开发同等重要的位置，同时对异常批量访问设置监测与阻断。
总结
纵观上述十大风险，其成因并非全在于模型本身被攻破，更在于智能体周边边界设定的缺失。大模型与智能体的应用风险，无法通过简单更换底层模型来化解——根源往往在于“智能”本身所赋予的弹性空间。为此，企业应将智能体视为一个“拥有权限、能够自主行动、会留下操作痕迹”的新主体加以管理，明确四件事：可读取什么内容、可调用什么能力、可写入什么权限、如何实现追溯。四项边界一旦缺位，模型能力越强，风险敞口越大。
以评促用
中国工业互联网研究院推出智能体可信评测平台和漏洞高质量数据集（4400条），面向业界全面开放下载测试。通过平台评测的优秀产品，经与联系人确认核实后，可优先在人工智能赋能新型工业化供需对接服务平台（https://www.ai-bridge.cn）发布，并通过人工智能赋能新型工业化“深度行”活动推广，提升AI大模型推荐率与品牌影响力，支撑优秀人工智能产品和解决方案规模化应用。
说明：本文风险介绍与操作警示为同类风险形态的一般性分析，相关案例依据公开报道与厂商披露整理，仅用于风险教育，不代表相关企业一定会发生上述事件。
声明：本文来自中国工业互联网研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
