企业 AI 安全治理落地指南：从可见性、围栏到 Agent 持续运营

资料说明：本文以《企业 AI 安全治理落地指南》（斗象科技，V1.0，2026 年）为唯一资料来源，按原文结构转写为 Markdown。为便于阅读，已将版式化文字、流程图和表格重排为标题、列表和 Markdown 表格；不额外补充未经原文验证的观点或产品能力。

文档信息

目录

1. 先把企业里的 AI 分清楚
2. 先定三件事，再建 AI 台账
3. 可控 AI 先接入围栏
4. 影子 AI 要分两边找
5. Agent 要管脑，也要管手脚
6. 治理要接进日常运营
7. 把方案落到产品能力上

一、先把企业里的 AI 分清楚

本章回答治理范围：企业中的 AI 至少可分为公网使用、内部应用和 Agent 三类；三类风险不同，治理方法也不同。

1. 可控调用先接入围栏

内部应用优先接入围栏。 自研和采购的 AI 应用应先接入安全围栏，在模型调用执行层获得运行时防护、提示词攻击拦截、数据脱敏、内容合规和审计。原文将 AISCC 定位为承载这部分落地能力的平台。

围栏之外依靠发现和组织机制补齐。 员工访问公网 AI、业务线私搭 AI 应用、外部 Agent 调用内部系统，通常不在围栏内；应分别通过流量发现、攻击面测绘与组织管理覆盖。

治理判断：可控调用先接入围栏；围栏外的公网使用和外部暴露资产，先发现再处置。产品部署应遵循这一路径。

2. 治理范围：三类对象

3. 治理路径

1. 发现 AI 使用：流量、暴露面、台账，并梳理使用场景。
2. 确认用途与数据等级：结合业务价值与数据分级。
3. 纳入围栏或访问控制：采用围栏、网络与终端管控。
4. 持续监测与告警：保留审计与流量证据。
5. 处置、复盘、规则更新：持续迭代。

二、先定三件事，再建 AI 台账

AI 治理开局不一定要成立专项委员会。原文建议先明确责任人、一页纸红线和例外流程，再通过台账摸清企业内部 AI 使用的实际情况。

1. 开局三件事

• 责任人：由安全负责人牵头，业务、IT、法务、数据管理按需参与。每个 AI 应用、每个 Agent、每类数据都应能找到负责人。
• 一页纸红线：客户身份、未公开财务、源代码、合同、密钥、重要经营信息不应输入公网 AI。红线要短，员工才看得完。
• 例外流程：业务确有需求时，应走快速审批与评估。流程慢到影响工作时，员工很容易绕开流程。

2. AI 台账需要回答的四个问题

每一项至少应标出：业务价值、数据等级、风险等级、当前控制措施、整改负责人。

三、可控 AI 先接入围栏

企业可以控制的 AI 应用，第一步是将模型调用统一接入安全围栏，在执行层建立运行时防护基线。

1. 四类运行时风险

2. 数据分级决定管控强度

3. AISCC 围栏的原文定位与接入方式

AISCC（AI Secure Computing Cloud，AI 安全计算云平台）负责 AI 调用的安全中转和运行时防护；输入、输出及工具调用均纳入管控。原文描述其技术架构由安全中转网关和清洗计算平台组成。

接入方式包括：网关、API、SDK、Dify 接入；原文标注支持“业务 0 改造”以及 SaaS 版/私有云版。

上线建议：先以观察模式上线，确认检测效果和误报率后，再逐步开启阻断。

四、影子 AI 要分两边找

影子 AI 应分为员工侧和资产侧：员工侧是个人访问公网 AI，资产侧是业务线私搭 AI 应用或 API。两者来源不同，发现工具和处置路径也不同。

1. 员工侧：先解决可见性，再分层处置

对员工访问公网 AI，不能只靠封禁。应先了解访问规模、上传行为和 API 调用，再通过收敛入口、内部替代和终端兜底，将高价值使用引回合规通道。

前置条件：先看得见。 PRS-NTA 全流量识别加云采集，可补齐云内东西向流量，盘清员工正在使用哪些公网 AI、访问规模和数据外发情况。缺少这一步，分级管理只是纸面动作。

Level 1：收敛入口与官方白名单

• 官方认可一到两个公网 AI 入口；其余入口通过 DNS、上网行为管理或浏览器控制进行提示、限流。
• 白名单管理的是通道；中敏以上数据必须走企业版 API 和围栏中转。
• 配套动作包括白名单公告、违规提示、上网行为管理与例外流程。

Level 2：内部替代与桌面 Agent

内部 Agent 的价值不在于替代所有公网工具，而在于承接需要内部数据的高价值场景：例如读取 OA 写周报、查询内部知识库、调用 CRM 生成纪要；公网 AI 无法取得这些上下文。

关键条件：所选桌面 Agent 最好支持自定义模型端点 BaseURL。员工通过统一界面发起请求，经围栏转发至模型服务，才能纳入提示词拦截、数据脱敏和内容审计。

Level 3：兜底防线，避免数据外泄

• 个人手机、账号截图、复制粘贴和文件上传，总会有人绕过前两层，因此需要数据防护兜底。
• 终端 DLP 类产品可在浏览器输入框、剪贴板和文件上传位置，拦截客户名单、源码、合同、身份证等敏感内容。
• 网络侧可由网关和 EDR 对流量再做一次校验。
• PRS-NTA 记录违规行为，支持事后复盘与追责。

原文指出：终端 DLP 可复用现有资产，并非强制引入新产品。

落地形态：一到两个官方入口、一个内部桌面 Agent，再增加一层数据防线。入口收敛后，审计范围和数据外发面才更容易管住。

2. 员工侧影子 AI：PRS-NTA

PRS-NTA（全流量安全存算分析平台）的原文能力包括：

• AI 域名/API 流量识别与分类；
• 会话与元数据保留 6 个月（原文标注“网安法合规”）；
• 跨会话行为分析，并通过 Syslog/API 上送 SOC/SIEM；
• 对全网流量做长周期存算分析，识别 AI 域名、API 与文件上传行为，支撑影子 AI 持续运营。

该能力在方案中的位置是：从流量侧发现员工访问的公网 AI 域名、API 调用和文件上传行为，为影子 AI 台账与处置提供证据。

补盲提示：加密流量与终端本地行为，仍需 DLP 或 CASB 配合补齐。

3. 资产侧影子 AI：APTP

APTP（攻击面检测管理平台）从外部视角发现企业暴露的 AI 应用 URL/API 端点，识别仿冒企业 AI 站点，开展 AI 越权与常见漏洞探测，并对暴露面持续巡航。其目标是解决“围栏内已管控、暴露面失守”的问题。

从发现到纳管的路径：外部测绘/AI 爬虫 → 发现未报备 AI 资产 → 归属确认 → 越权/漏洞探测 → 接入 AISCC 或整改下线。

五、Agent 要管脑，也要管手脚

Agent 往往先理解任务，再调用工具和系统。因此治理应覆盖身份、权限、工具、确认和审计。

1. Agent 控制四要素

1. 独立身份：Agent 使用自身的身份和凭证，不复用管理员或员工个人高权限账号。
2. 工具白名单：禁止任意访问数据库、文件系统或外部网络。
3. 人工确认：高影响动作需二次确认，包括发送外部邮件、修改生产配置和批量导出。
4. 完整审计：模型请求、工具调用、返回结果与最终动作全程留痕。

围栏平台可提供恶意提示、工具调用异常和敏感内容检测；但身份与权限治理仍需 IAM、业务系统和 Agent 平台共同承担。

2. 审计必须回答的四个问题

1. 谁在什么时间使用了哪个 AI 工具或应用？
2. 输入了什么类型的数据，模型返回了什么结果？
3. Agent 是否调用工具、调用了哪个工具、实际执行了什么？
4. 风险发生后，影响了哪些账号、数据、系统和后续会话？

3. 双证据来源

六、治理要接进日常运营

AI 安全事件最好接入企业既有安全运营体系：按风险补齐能力，而不是为了方案完整性堆叠产品。

1. 三级响应

如需网络侧联动，则按既有安全接入与响应体系执行：网关、SASE、SSE、上网行为管理用于在线阻断；SOAR 与 IAM 用于事件联动和账号处置。

2. 三阶段建设路线

3. 投资优先级

4. 用四类指标判断效果

七、把方案落到产品能力上

原文认为，真正需要新建的能力主要有三块：AISCC 承担围栏，PRS-NTA 发现员工侧影子 AI，APTP 测绘资产侧影子 AI；其他能力按企业存量补齐。

1. 三项核心能力

2. 完整产品能力映射表

结语：先把今天能管住的 AI 管好

AI 安全治理不会一次完成。原文的收束建议是：先盘清 AI 使用，守住高风险数据；把可控应用接入围栏；为 Agent 的身份、权限和动作留下记录。

AI 仍会快速变化，治理方案也应跟随真实使用逐步升级。先让机制运行起来，再让它伴随 AI 一起成长。

原始资料与版权说明

• 原始资料：《企业 AI 安全治理落地指南》，上海斗象信息科技有限公司，白皮书 V1.0，2026 年。
• 原始文件：斗象科技_企业 AI 安全治理落地指南 _ 20260805(1).pdf。
• 文档版权声明（原文）：除另有特别注明外，文中任何文字叙述、文档格式、插图、照片、方法、过程等内容的版权均属于上海斗象信息科技有限公司，受有关产权及版权法保护；任何个人、机构未经书面授权许可，不得以任何方式复制或引用该文件的任何片段。
• 联系信息（原文）：上海市浦东新区张衡路 200 号 1 号楼；电话 400-156-9866；官网 www.tophant.com；邮箱 mkt@tophant.com；FreeBuf；漏洞盒子。