要点系列收官篇。第一篇讲信任框架（能力/安全/责任三层），第二篇讲强制时代（全球首部智能体安全国标立项），这一篇回答最终问题：框架知道了，每天到底怎么做？
要点个人版五条纪律：最小授权、不可逆动作人工确认、行为日志留存、Agent 账号与个人身份隔离、不给「出事后无法追责」的 Agent 接关键流程。
要点企业版六大域自检：身份鉴别、权限管控、运行时防护、数据安全、供应链安全、行为审计与责任追溯——与《智能体应用安全基本要求》强制性国家标准的框架一致，今天自检就是未来合规。
要点治理正在从文件变成现实：法国冷柜事件后各国加速关键系统安全立法，模型滥用的风险报告开始点名开源模型武器化——Agent 治理的窗口期比多数企业预想的更短。
第一篇《信任成本》回答「该信谁」：Agent 从工具变成同事，信任要拆成能力、安全、责任三层分别建立，谁背书谁负责。第二篇《强制时代》回答「国家怎么管」：强制性国标立项填补国际空白，治理从软倡导转向硬约束，「说错话」的合规让位于「做错事」的合规。这一篇回答「我怎么跟上」：把框架翻译成个人每天能执行的五条纪律、企业能落地的六域清单。
治理实践的核心原则只有一句话：在监管文本落地之前，按最严假设自我约束——因为出事之后的追责，不会等你准备好。
这不是建议清单，是「少一条就可能在某个深夜后悔」的底线：
| # | 纪律 | 为什么 | 反例场景 |
|---|---|---|---|
| 1 | 最小授权 | 只给当前任务必需的权限，用完回收 | 让 Agent 读邮件，顺手给了通讯录和日历全权——一次提示注入，全量联系人被外发 |
| 2 | 不可逆动作人工确认 | 支付、删除、对外承诺，必须 HITL | Agent「自动化」回复客户邮件，承诺了做不到的交付日期 |
| 3 | 行为日志留存 | 每一步可回放，出事能自证 | Agent 删错了文件，但没有任何日志说明它为什么删、删了什么 |
| 4 | 身份隔离 | Agent 用独立账号，不共用个人身份 | Agent 用你的主账号执行任务，风控和事后追溯都分不清「是人还是 AI」 |
| 5 | 不可追责的不上线 | 无法回答「出事谁负责」的 Agent 不接关键流程 | 某 AI 工具出事后厂商免责条款拒赔，损失全在自己 |
五条纪律的共同底层是篇一的三层信任：1、2 对应安全信任（能力边界），3 对应责任信任（可追溯），4、5 对应责任信任（主体明确）。
企业的 Agent 部署（客服、研发、运营、数据分析），按《智能体应用安全基本要求》立项对应的安全域逐一自检。清单按「问题 → 达标证据」格式，方便直接拿去用：
| 安全域 | 自检问题 | 达标证据 |
|---|---|---|
| 身份鉴别 | 每个 Agent 有独立可追溯的身份吗？ | Agent 账号注册表；无共用个人账号 |
| 权限管控 | 权限是最小化的吗？有审批点吗？ | 权限矩阵文档；不可逆操作的 HITL 配置 |
| 运行时防护 | 提示注入、工具链劫持有防护吗？ | 输入过滤规则；多 Agent 交互的沙箱隔离 |
| 数据安全 | Agent 能读什么、外发什么、存哪里？ | 数据分级映射；外发白名单 |
| 供应链安全 | 第三方模型/插件/工具可信吗？ | 供应商安全评估记录；插件准入清单 |
| 审计追溯 | 行为日志完整吗？能还原现场吗？ | 日志留存策略；事件复盘演练记录 |
三个组织级动作，建议每季度至少一次：① 红队演练——故意对自家 Agent 发起提示注入和越权测试；② 事件响应预案——Agent 失控时的熔断、通报、追责流程预先写好；③ 供应商评估——采购任何 Agent 产品前，让对方回答六大域的问题，答不上的进不了采购清单。
① 强制性国标（计划号 20263116-Q-252）：立项于 2026 年 7 月，下一步是征求意见稿。征求意见期就是企业的窗口——提前按六大域布局的，征求意见时能对齐自家实践；等文本落地再补课的，成本翻倍。
② 提示注入入监管文本：安全要求在数周内进入监管文件的速度说明，监管机构对 Agent 攻击面的敏感度已经超过了多数企业安全团队。跟踪监管动态的成本，远低于事后整改。
③ 海外立法对照：美国国会的 AI「急停开关」法案动议、欧盟 AI Act 的 Agent 条款演进——出海企业尤其要建立两地合规的对照表。
模型滥用风险被点名：安全机构近期发布报告，指出部分新开源模型存在被用于网络攻击的风险——模型能力的开源扩散与滥用治理的张力首次以「点名」方式进入公共讨论。这印证了系列第二篇的判断：治理工具正在从「标准」扩展到「模型本身」。
物理 Agent 到来：某大厂官宣新一代模型同步推出机器人版本，Agent 从数字世界走向物理执行。数字世界的越权是数据损失，物理世界的越权是人身与财产安全——法国冷柜事件的「数字指令、物理后果」将从个案变成常态场景，运行时防护的重要性再上一个量级。
篇一《信任成本》——问题定义：Agent 是同事不是工具，信任三层（能力/安全/责任），谁背书谁负责 篇二《强制时代》——监管回应：全球首部强制国标立项，从「说错话」到「做错事」，软倡导变硬约束 篇三《治理实践》（本篇）——落地执行：个人五纪律、企业六域清单、合规日历、红队演练
三篇合起来是一个完整闭环：理解风险 → 跟踪监管 → 落地执行。Agent 安全不是一次性项目，是随部署规模增长的持续实践。系列完结，但实践刚开始。
Q：个人用户做到五条纪律，成本会不会太高？
A：恰恰相反——五条纪律省的是「事后救火」的成本。最小授权和人工确认各花 10 秒，换来的是避免一次数据外泄或错误承诺。真正的成本来自第六条没写的：「出事后的补救」。
Q：企业六大域自检从哪个域开始？
A：审计追溯。它是唯一「出事时能自证清白」的域，且不依赖技术改造——先把行为日志记起来，其他域的整改都有了证据基础。
Q：标准还没发布，现在自检会不会白做？
A：六大域框架与公开报道的标准方向一致，即使文本有出入，安全设计本身已经产生价值（防提示注入、防越权、可追溯）。合规是副产品，安全才是目的。
本文的政策信息基于公开报道与官方计划文件（《智能体应用安全基本要求》计划号 20263116-Q-252）；企业实践建议为作者基于公开框架的整理，不构成法律或合规意见；文中事件案例细节以官方通报为准。具体合规问题请咨询专业机构。
标准：国家标准化管理委员会《智能体应用安全基本要求》强制性国家标准计划（20263116-Q-252，2026-07）
事件：法国超市冷柜网络攻击多源报道（2026-10）；开源模型网络攻击风险相关安全报告（2026-10）；机器人版大模型发布报道（2026-10）
系列：Agent 安全系列第一篇（信任框架）、第二篇（强制时代）——见作者系列文章