办公网AI Agent行动链治理与iOA安全落地方案

来源：2026腾讯云AI产业应用大会 (Tencent Cloud AI Industry Applications Summit)

分享人：王亚林，腾讯云安全高级解决方案架构师

第一章：AI Agent规模化带来的行动链失控风险

• 工具形态演变： AI工具正从“内容生成”（ChatGPT、DeepSeek、混元助手）向“代为行动”演变，具备调用MCP、Shell、文件及流程执行的能力。
• 安全边界转移： 传统办公网安全主要关注“人访问系统”的路径保护；智能体时代必须关注自动执行的行动链保护。
• 新风险模型： 风险不再是单点漏洞，而是行动链失控。恶意意图进入上下文后，经由合法身份继承权限，通过命令或API将错误放大为真实动作，最终导致敏感文件外发及责任归属不清。
• 治理核心： 必须从解决“人是否有权限”升级为解决“Agent”的每一次行动是否可信、可控、可追溯”。

第二章：构建基于身份与行动链的治理架构

• 治理五问框架： 建立覆盖全链路的治理逻辑，包括：谁在行动（身份可识别）、在哪行动（环境可信任）、能调什么（工具有边界）、能碰什么数据（数据受保护）、行为如何审计。
• L1 事前准入（谁在行动/在哪行动）：
  • 通过Agent身份与终端环境共同决定准入策略。
  • 执行Agent资产盘点，结合终端合规基线与风险评分进行准入判断。
• L2 事中控制（能调什么/能碰什么）：
  • 工具有边界： 实施Skill/MCP安全准入，检测安装变更，识别高危工具链并进行准入前置拦截。
  • 数据受保护： 针对AI访问防泄漏，实现识别上传敏感文件、阻断粘贴敏感信息并留存外发证据。
• L3 事后溯源（做过什么）：
  • 行为可追溯： 利用EDR进程链还原技术，还原Agent调用链、定位高危命令，支撑审计复盘。
• 统一策略面： 一套控制面承接准入、阻断、溯源和运营，形成“准入可控→行为可控→数据可控→风险可追溯”的闭环。

第三章：30天落地路线与核心控制指标

• 阶段一（0-10天）：看得见
  • 目标：解决“谁在行动/在哪行动”。
  • 动作：盘点分级、建立终端基线、发现Agent终端环境与软件策略。
• 阶段二（11-20天）：管得住
  • 目标：解决“能调什么/能碰什么”。
  • 动作：部署准入策略、DLP策略、高危行为监控、敏感数据识别。
• 阶段三（21-30天）：追得回
  • 目标：解决“做过什么/如何运营”。
  • 动作：建立行为审计模型、责任链还原、生成运营报表及策略优化。
• 关键业务指标（ROI）：
  • 高危工具链识别率： 覆盖Skill/命令/API的边界控制。
  • 数据外发阻断率： 针对浏览器上传及粘贴敏感信息的具体拦截能力。
  • 溯源还原效率： 利用EDR进程链还原Agent调用链的速度。

第四章：客户案例复盘与证据链闭环

• 事件背景： 某客户员工通过Agent处理办公任务，导致文件/代码/凭据进入上下文，并触发高危外发行为。
• 处置流程：
  1. 阻断告警： iOA策略命中，形成处置记录。
  2. 主证据链： EDR进程链完整看见Agent的真实动作路径，明确“谁在行动”及“执行了什么”。
  3. 数据风险管控： 浏览器上传敏感文件及粘贴敏感信息被系统识别。
  4. 审计复盘： 审计日志留痕支持行为记录事后复盘。
• 治理结果： 将一次Agent风险动作转化为一条可审计、可处置、可复盘的安全证据链。

第五章：行动链治理的技术确定性

• 技术架构： 采用三层治理架构（事前准入、事中控制、事后溯源），将Agent、工具/Skill/MCP、系统/API及数据/动作纳入统一安全体系。
• 核心能力： 强调可见、可控、可阻断、可追溯。通过终端合规与网络策略作为环境判断输入，确保Agent身份×终端环境=准入判断基础。
• 治理目标： 实现从“可用”到可信（身份与环境）、可控（工具与数据）、可运营（审计与复盘）的转变，保障AI能在企业里被放心地规模化使用。