十五小时是给智能体内部人用错了的那只钟

概览

Trellix 在 2026 年 10 月 13 日前后发布了《Mind of the CISO: The New Insider》。Vanson Bourne 于 2026 年 8 月至 9 月间访问了 600 位 CISO；下面的事件归因拆分覆盖报告了事件的 587 家机构。数字均按原文所载。

这些数字底下还压着两个治理数据：52% 的受访者没有一套完整落地的内部风险策略，68% 表示现有政策并未充分覆盖与 AI 相关的风险。与此同时，92% 报告今年个人问责加重，69% 担忧个人责任。这个组合——类别扩展了、政策没跟上、签字的人暴露在外——就是眼下的真实处境。

两只钟，只有一只动了

十五小时并不是丑闻。对人类内部人来说它站得住脚：信号慢是因为行为本身慢——一个人花几天拷文件、给竞争对手发邮件、周五打印了点东西。七小时注意到、八小时采取行动，仍落在损害还在累积的那个窗口里，而正是这一点让检测成为一项控制，而非一份事后复盘。

智能体的事件形状不同。从「智能体读到攻击者可控的文本」到「智能体已用它合法的凭据触达那段文本点名的每一个系统」，这个窗口的长度由工具延迟决定，而不是由人的胆量决定。你可以从自己的轨迹里取数：一次检索、一次摘要、四次工具调用，一两分钟而已。要一个由外部测出来的数字：Booz Allen 的工控实验室记录到，从初始网络沦陷到在控制环境内部采取动作，只用了十六分钟出头——而那次运行里每一步漏洞利用都由人类批准，也就是说十六分钟是被放慢过的版本。我们在《互锁扛住了，网络没有》里单独读了这个结果。

把两者并排一放，那个令人不适的结论就是算术，而不是观点。如果你的平均检测时间是七小时，而事件在两分钟内完成，那你的检测器并不是闭环里的控制；它是一项报告职能，还配着一个关于自己为何存在的好故事。它仍然有价值——定范围、做通知、应付监管、知道这事是不是又来了，都要靠它——但你方案里每一句写着「我们会抓到」的话，都该改写成「我们会得知」。

内部风险方案里哪些能平移过来，哪些悄悄平移不过来

扩展类别是对的直觉；错在以为那套机器会跟着一起来。一套成熟内部风险方案里有三个部分几乎可以原样平移，而其中最贵的两个部分则完全平移不过来。

能平移：身份生命周期

入职—调动—离职是这门学科里最可移植的东西，而且它套在智能体上比套在外包人员上更贴合。一个智能体会被开通，有人给它加个工具它的作用域就变了，项目结束时它应当被回收。多数机构目前答不出自己到底存在多少个智能体身份，而这正是身份治理方案替人类补上的那个缺口——见智能体清册与登记与智能体凭据的访问复核。真正咬人的是离职这一档：一名已离职工程师的智能体，仍握着一枚服务令牌，是这类失效最干净的现实版本。

能平移：损害分类与通知路径

被拿走了什么、那是谁的数据、要通知哪个监管方、欠客户什么——这些都不在乎动手的是人还是循环。如果你已经有这套东西，留着它，并把智能体的运行 id 加成一等字段，这样一次事件可以从轨迹里重建出来，而不是靠访谈拼出来。

平移不过来：按动机分流

内部风险方案按意图给事件分类——无意、疏忽、恶意——因为意图能预测你的下一步：培训、处分、法务。Trellix 的拆分在这件事上很诚实，把 43% 归给受信任用户的无意动作、29% 归给人为故意滥用。而那 28% 没有任何意图可供分类。一个被注入的智能体既没有怨气，也谈不上粗心；它完全照着它上下文窗口里的那段文本所要求的做了，用的是你授予的权限。把它丢进动机分流，得到的答案是「无意」，于是被路由去给一个无法听课的系统安排意识培训。

平移不过来：行为基线

用户行为分析之所以有效，是因为人乏味地稳定，所以一次偏离意味着某件事。而智能体天生异常：它读上千个文件、碰人类不会碰的主机、在凌晨三点干活。它的基线就是那个偏离，在一支智能体队伍上跑通用分析，产出的是一个月内就会被静音的噪声队列——这就是检测智能体沦陷里那条基础比率论证。真正有区分力的信号更窄，而且得自己建：一个任何任务都不该触及却被调用的工具、一个在出口策略之外的目的地、一个顶着固定单次运行预算的用量尖峰。

如果检测当不了控制，那就得把决策挪位置

这不是在呼唤一个新的产品品类。内部风险方案会去伸手拿的几乎每一项控制，智能体这边都已经有了；只是它得在动作之前被求值，而不是在日志行之后。四个动作，由便宜到贵。

• 让「信封」在运行前就是机器可校验的。哪些系统、哪些操作、多大用量、哪些目的地。系统提示里的一句话不是信封；执行器会强制执行的一份清单才是。这是策略即代码的结构性论点，也是把「我们会注意到」换成「它做不到」的那一步。
• 把凭据的作用域绑到这一趟差事，而不是绑到这个智能体。内部风险方案最难的问题是：权限授予一次，却用上好几年。智能体让这个修法变容易而非变难：令牌可以按次签发、只给一个作用域、只活几分钟。见面向智能体的受限凭据与凭据存活期。
• 把不可逆的动作放到另一重权限之后。不是给每一步都加审批弹窗——那一周之内就会被点击疲劳消化掉——而是为那少数几个撤不回来的操作做一道硬隔离，如智能体的职责分离所述。检验方法：在你的栈里点出那些「十五小时延迟确实致命」的操作，然后看看其中有没有哪一个能被单条轨迹触达。
• 按预算跳闸，而不是按行为跳闸。给单次运行的工具调用数、出站字节数与花费设上限，是一个能在秒级触发的检测器，因为它不需要任何「什么算正常」的模型。它也是这四项里唯一一个能抓住「谁都没预料到」的那种情况的。

检测器要留着。只是别再把它当成预防来投钱，并且在给董事会的材料里讲清楚：你的哪些控制在毫秒级起作用，哪些在小时级起作用。

真正会挪动预算的，是那个责任数字

这些 CISO 中有 92% 报告内部事件上的问责加重、69% 担忧个人责任——而这最可能改变行为，因为它是唯一一个带着名字的发现。问题在于，个人问责需要一个你能指得出来的凭证，而对智能体来说，这个凭证多半还不存在。

对人类内部人，记录是清楚的：一份劳动合同、一条带审批人的访问申请、一份政策签认、一张入职工单。对智能体，把这些问题照样问一遍，多数机构没法从任何系统里答出来。是谁授权这个智能体去动这个系统的？它在 02:14 持有那枚令牌，凭的是谁的权限？哪个人类承担它这次运行的后果？这道缺口是问责与角色的主题，而它现在就要紧、而不是等审计时才要紧的原因是：缺少权限记录的责任，默认会落到当初在部署上签字的那个人头上。

务实的版本并不光彩，而且一周就能做完：为每一个在产的智能体留下一名具名的人类负责人、一份它可触达系统的明确声明、它持有的凭据及其到期时间，以及把每次运行链回那条记录的链接。这大体就是决策收据与审计在单次动作粒度上所描述的东西，也是保险方与监管方都会索要的证据——见智能体动作的保险与责任。

延伸阅读

本站：

• 智能体的内部滥用——反方向：人类借智能体越过自己的权限。
• 检测智能体沦陷——基线失效时，有区分力的那五个信号。
• 凭据存活期——为什么按次签发的令牌是这份清单上最便宜的控制。
• 问责与角色——把责任迟早会索要的那份权限记录建起来。
• 智能体的事件响应——快的那一段结束之后，接下来几小时该做什么。

来源：

• Trellix — Research reveals the true cost of ungoverned AI（Mind of the CISO: The New Insider）
• Help Net Security — Most companies count AI agents as insiders
• Help Net Security — Frontier AI cleared every OT attack goal Booz Allen set in its lab