The Agent Security Gap：企业让 AI Agent 上线太快，防线却没跟上

VentureBeat 这篇文章的标题已经把问题说得很直白：The agent security gap。

它引用的是一轮针对 107 家企业的 Pulse Research，结论并不乐观：

• 54% 的企业已经发生过一次 AI Agent 安全事件，或者至少遇到过一次险情；
• 只有大约 三分之一 的企业给每个 Agent 单独分配了受限身份；
• 大多数 Agent 仍然在共享凭证；
• 只有 三成 左右的组织把最高风险的 Agent 真正隔离起来。

先说结论

这不是“Agent 还太新，所以大家先试试”的正常过渡期，而是一个很明确的安全落差：

Agent 在拿真实权限，控制却还停留在传统应用时代。

如果身份、隔离、授权和审计没有跟上，Agent 越多，风险不是线性增加，而是会被自动化放大。

这篇报道真正暴露了什么

从这组数据里，最值得关注的不是某一个百分比，而是三个结构性问题：

1. 共享凭证仍然是默认状态

大多数企业还在让多个 Agent 共用同一组凭证。这样做的直接问题是：

• 无法精确追责；
• 无法按任务最小化权限；
• 一旦某个 Agent 被提示注入、供应链污染或工具滥用，横向影响会迅速扩大。

2. Agent 身份还没真正独立

只有少数企业给每个 Agent 配了独立且受限的身份。也就是说，很多组织其实还在把 Agent 当成“自动化脚本”，而不是一个需要单独治理的执行主体。

3. 高风险 Agent 没有被充分隔离

只有少数组织隔离了最敏感的 Agent。问题在于，Agent 一旦接触到生产系统、内部数据、凭证或代码仓库，它的失控半径会比普通 SaaS 用户大得多。

为什么这是安全问题，不只是管理问题

如果把 Agent 看成一种“会自己调用工具的软件劳动力”，那它至少需要三层约束：

现在的问题是，很多企业先把 Agent 接进了系统，再回头补这些边界。结果就是：业务先跑起来，安全后补课，但补课的代价通常更高。

这类风险会怎么爆发

这篇报道本身讲的是企业现状，但它和前几天关于 Agent 安全的研究是同一条线上的：

• 只要 Agent 能读外部内容，提示注入就有机会发生；
• 只要 Agent 共享凭证，泄露半径就会扩大；
• 只要 Agent 直接接触生产动作，误操作就会变成真实变更。

所以，问题不在于“Agent 会不会出事”，而在于出事时能不能把影响限制在一个很小的范围内。

这篇文章给出的信号

如果把 VentureBeat 这组数据当成一个温度计，它说明企业当前大致处在这样一个阶段：

1. 已经开始大规模部署 Agent；
2. 已经出现过安全事件或险情；
3. 但基础治理还远没标准化。

这意味着，接下来真正拉开差距的，不一定是谁先上 Agent，而是谁先把这些底层控制补齐：

• 每个 Agent 独立身份；
• 每个任务最小权限；
• 高风险 Agent 独立隔离；
• 凭证不共享、可回收、可审计；
• 关键动作必须有人类确认或外部校验。

我的判断

这篇报道的价值不在于它告诉你“Agent 有风险”——这件事大家都知道。

它真正有价值的地方在于：它用企业样本把“风险已经发生”这件事量化了。

当超过一半企业已经撞过墙，继续把 Agent 当普通自动化工具来管，就不太成立了。下一步竞争点，应该是Agent 安全工程化能力，不是单纯的功能堆叠。

参考资料

• VentureBeat：The agent security gap: 54% of enterprises have already had an AI agent incident, and most still let agents share credentials，2026-07-16
• VentureBeat Pulse Research，样本：107 家企业