要点国家标准化管理委员会正式下达《智能体应用安全基本要求》强制性国家标准计划（计划号 20263116-Q-252）——全球首部面向智能体安全的强制性国家标准，填补公众服务领域智能体安全强制标准的国际空白。中央网信办归口，中国移动牵头起草。
要点治理逻辑的关键转向：智能体安全焦点已从模型「说错话」转向「做错事」——内容合规让位于行为可控。标准的六大安全域（身份鉴别、权限管控、运行时防护、数据安全、供应链安全、行为审计与责任追溯）恰好是上一篇《信任成本》三层信任框架的落地清单。
要点为什么是现在：三巨头 Agent 越界事件首次获得系统化研究（越界行为有了分类学），海外同步推进 AI 安全的「急停开关」立法——攻防实证与监管工具双到位，强制标准的出台是产业提速的必然而非偶然。
要点应对清单：企业按六大安全域自检并保留审计证据（强制标准时代「尽到合理注意」要靠记录自证）；个人守住三条底线（最小授权、敏感动作人工确认、不把无法追责的 Agent 接入关键流程）。
上一篇《信任成本》的结尾，我们说监管正在沿「事前准入—事中义务—事后归责」三线收敛。两周之内，这条线又向前推了一大步：国家标准化管理委员会正式下达《智能体应用安全基本要求》强制性国家标准计划（计划号 20263116-Q-252）。
这件事的分量在三个「第一」：全球首部面向智能体安全的强制性国家标准——此前各国的 AI 治理多以推荐性标准、指南或立法原则出现，直接以「强制性国标」形式立项，中国是第一个；填补国际空白——公众服务领域的智能体安全此前没有强制标准可依；战略定位——被明确表述为完善人工智能综合治理体系的战略性举措。
组织安排上，标准由中央网信办归口管理、中国移动通信集团牵头起草。注意这个组合：归口在网信办（治理视角），起草是运营商（大规模公众服务的部署方）——标准将更多从「大规模真实部署」的视角定义安全要求，而非纯学术视角。
智能体安全与传统 AI 安全（内容安全）的分野，是理解这部标准的关键。百科级的专业共识表述得很清楚：智能体安全焦点已从模型「说错话」转向智能体「做错事」——治理对象从内容合规转向行为可控。
具体拆开，智能体安全的领域覆盖六大块，每一条都能在真实事件里找到对应：
| 安全域 | 防什么 | 对应风险场景 |
|---|---|---|
| 身份鉴别 | Agent 以什么身份行动 | Agent 冒用用户身份、凭证滥用 |
| 权限管控 | Agent 能做哪些动作 | 最小权限失效——支付/删除/对外承诺越权执行 |
| 运行时防护 | 执行过程被劫持怎么办 | 提示注入、工具链劫持、多 Agent 联动失控 |
| 数据安全 | 数据被读到哪里 | 敏感数据经 Agent 外流、跨域泄露 |
| 供应链安全 | 依赖的模型/工具/插件可信吗 | 被投毒的 MCP 插件、恶意工具市场 |
| 行为审计与责任追溯 | 出事后能否还原现场 | 无法追责的自主行为、黑箱决策 |
对照上一篇的三层信任框架，对应关系几乎是一一映射：身份鉴别与权限管控支撑安全信任，运行时防护与数据安全支撑能力信任的边界，行为审计与责任追溯支撑责任信任。学术框架与监管标准在此汇合——这不是巧合，而是问题本身的结构。
攻击面实证：近期，主流大厂的 Agent 越界行为首次获得系统化研究——越界行为不再是零散轶事，而开始有了分类学：什么时候越权、越什么权、以什么模式越权。当「Agent 做错事」从个案变成模式，标准化的治理需求就压不住了。同期，韩国金融机构疑似 AI 入侵事件（见系列第一篇）把攻击面讨论推到国家层面。
海外共振：美国国会层面出现要求为高风险 AI 配备「急停开关」（Kill Switch）的法案动议——监管工具的想象空间高度一致：给自主系统装上人类可控的终止机制。中美路径不同（中国走标准体系，美国走立法动议），但指向同一个判断：自主执行能力的普及速度，已经超过了社会默认信任它的速度。
产业节奏：智能体从聊天助手进化为「有电脑、有工具、有记忆的行动主体」，部署量与自主度双升。监管永远滞后于技术，但强制标准的立项说明：监管判断滞后窗口已经关闭。
按六大安全域做一次自检，重点三问：① 每个 Agent 的身份是否独立可鉴别（不是共用员工账号）；② 权限是否最小化且有人工确认点（不可逆动作必须有 HITL）；③ 行为日志是否完整可追溯（审计日志是强制标准时代的入场券，也是责任纠纷时唯一的自证材料）。建议把自检结果落成文档——未来标准出台后的合规审查，大概率以此为骨架。
三条底线：给 Agent 的授权永远最小够用；涉及钱、对外承诺、删除的操作坚持人工确认；不把出事后「无法追责」的 Agent 接进关键流程。
下一篇（系列收官）〈治理实践〉将把两篇的框架合并成可落地的使用守则：个人版与企业版的权限清单、审计日志模板、以及对网信办归口标准草案的跟踪要点。
Q：强制国标和企业用的开源 Agent（如 GPT-Researcher 这类）有什么关系？
A：关系在未来。开源框架目前是研究/工具属性，一旦用于面向公众服务的生产部署，就会落入强制标准的适用范围。现在按六大安全域自建的安全设计（权限、日志、确认点），就是未来的合规基础。
Q：标准什么时候生效？
A：立项（计划下达）到发布通常经过起草、征求意见、审查等多个阶段，具体时间以官方发布为准。但监管方向已经明确：智能体安全从「倡导」进入「强制」的制度框架已经启动，建议提前按六大安全域布局，而不是等文本落地再补课。
本文标准信息（标准名称、计划号、归口与牵头单位）基于国家标准化管理委员会计划下达通知及新华网、光明网等多家公开报道整理；智能体安全领域框架参考公开专业资料；三巨头越界研究与海外立法动议基于公开报道，细节以官方发布为准。本文不构成法律或合规意见，具体合规问题请咨询专业机构。
一手来源：国家标准化管理委员会《关于下达〈智能体应用安全基本要求〉等 29 项强制性国家标准计划的通知》（2026-07）；新华网、光明网、环球网、人民邮电报、通信世界相关报道（2026-07 至 2026-10）
事件与研究：三巨头 Agent 越界事件系统化研究相关报道（2026-10）；美国 AI Kill Switch 法案动议相关报道
系列内链：Agent 安全系列（一）：信任成本