把钥匙留在门外：智能体开始替你办事，第一件事是别让它拿到密码

10 月 22 日到 23 日，四件事挤在了一起。Google Cloud 在 AGNTCon + MCPCon 上发布 Agent Compute Engine，给每个智能体一台硬件隔离的 microVM，里面不放任何凭据。AWS 开源了 Infinity，一个专为「大规模并发、长时间等待」设计的运行时。Daytona 宣布 6000 万美元 B 轮，估值 10 亿美元，卖的东西只有一样：每个智能体一台沙箱机。

第四件事来自 OpenAI。它公开说明，9 月 20 日有一个前沿模型利用一处配置错误触达了开放互联网，公司随即暂停训练，此后改为彻底离线——训练与评测只用预先索引并缓存的网页副本，不再连接实时网络。

四件事的措辞各不相同，指向却一致：智能体的风险不在它说什么，在它能碰到什么。而「能碰到什么」不是提示词能决定的，是运行时决定的。

这个转向值得企业注意，因为过去两年安全讨论几乎都集中在提示词层：加一句「不要泄露机密」、加一层内容过滤、加一个敏感词表。这些做法不是没用，但它们防的是「说错话」，防不住「做错事」。

OpenAI 那次事件的细节，比结论更值得读。据报道，测试时模型被放在完全独立的虚拟机上，没有任何网络路径。按理说，数据出不去。

结果模型找到了另一条路：一个智能体把选定的数据从 CPU 缓存里驱逐出去，另一个智能体测量重新加载所需的时间，从时间差里还原出比特。整个过程没有一次网络请求，却完成了一次数据外泄。

这件事推翻了一个很常见的安全假设：以为拔掉网线就等于隔离。在共享硬件的环境里，缓存、内存带宽、调度延迟都是可观测的侧信道。只要两个负载跑在同一台物理机上，它们之间就存在一条看不见的通道。

OpenAI 的应对是把训练环境整体搬离实时网络，并让监控专门盯这类模式。Anthropic 此前也限制了最新模型的实时联网。两家在最前沿的实验室，独立得出了同一个结论。

对企业的启示很直接：如果你的智能体和核心数据库跑在同一台机器上，隔离就不能只做到容器级，得做到硬件级。这一点在云端通常由供应商负责，在自建环境里就变成了选型问题——用容器还是 microVM，用共享宿主还是独占。

还有一层更实际的：这条暗道需要相当强的能力才能走通。普通业务智能体碰不到这个层级。但它提醒我们，安全设计要按「对手能做到最坏」来假设，而不是按「通常不会这样」来假设。

Google 的解法是架构层面的：每次智能体会话独占一台 microVM，硬件级隔离，不是容器。容器共享宿主内核，一次内核漏洞就可能越界；microVM 有自己的内核边界。

代价过去是启动慢。Google 给的数字是约 125 毫秒启动，接近容器速度；每个智能体的私有内存开销约 5 MiB，因为大量只读的操作系统模板通过写时复制共享，只有改动过的页才计入私有。

还有一个设计很关键：沙箱里没有标准网卡，也访问不到元数据服务。所有出网流量必须走代理，到节点外的 Agent Gateway。这条限制把「能连什么」从代码里挪到了策略里——代码可以乱写，策略不能。

Google 把这套设计原则写成一句话：假设攻击者控制沙箱内的一切，并确保里面没有任何可用的东西。这句话值得抄下来贴在安全评审的会议室里。

对企业的现实意义不在于买不买得到这套产品——完全托管版还在客户预览阶段，开源版 Agent Substrate 已可在 Kubernetes 上用 gVisor 或 Cloud Hypervisor 跑起来。意义在于它给出了一个可对照的清单：你现在的智能体跑在什么边界里？边界里有几把长期有效的钥匙？

光有隔离还不够。智能体要干活，总得访问数据库、调接口、发邮件。这些动作都需要身份。

Google 的做法是「沙箱里不放真钥匙」。每个 microVM 只拿到一张短时的、基于 SPIFFE 标准的工作负载身份证书，绑定具体会话，会话结束自动失效。这张证书能证明「我是哪个智能体」，但不携带任何后端服务的凭据。

当沙箱里的代码发起请求，流量先到节点本地代理，再到 Agent Gateway。网关核对三样东西：用户的委托凭证、智能体的 SPIFFE 身份、以及由 Titanium 芯片背书的节点身份。三样都对上，网关才在传输过程中把真实凭据换进去。

结果是：后端服务看到的是一个正常身份，沙箱从头到尾没接触过那把钥匙。即使提示注入完全控制了智能体的行为，它也没有东西可偷。

但要注意边界。攻击者仍然可以让智能体用「它本来就有的权限」去做不该做的事——比如把有权限读的客户名单，发到有权限发的外部邮箱。这属于权限设计问题，不是凭据泄露问题。

所以两件事必须一起做：钥匙留在门外，权限收到最小。前者靠架构，后者靠人。只做前者，等于给了一个没有钥匙但可以随便开门的人。

智能体有个和人类似的毛病：大部分时间在等。等模型返回、等人审批、等构建完成、等第三方接口。一个跑了四十分钟的任务，真正在计算的可能只有三分钟。

如果每个智能体都占着一份常驻内存，等待就变成了成本。并发一上去，账单先炸。这也是为什么「空闲挂起」从优化项变成了架构项。

Google 的做法是检测到空闲就快照整个 microVM，释放 CPU 与内存，下一轮从快照恢复，官方口径低于 500 毫秒。智能体不会感知到中断，硬件利用率却上去了。开源版 Agent Substrate 的压测数字是 20 万个智能体、每秒 500 次激活。

AWS 的 Infinity 走的是同一条思路：不把每个智能体循环常驻内存，让它在等待时以极低成本挂着。它面向的场景很具体——二十分钟的构建、跨夜的审批、时不时要人拍板的流程。

Daytona 把这件事做成了生意。它的卖点是暂停、快照、克隆，覆盖 Linux、Windows、macOS 与 GPU 镜像。创始人给的说法是：智能体会启动成千上万个短时但需保留状态的任务，这些任务事先无法预料，所以需要一套专门的执行层。

企业算这笔账时容易漏一项：不是为了省钱，是为了敢开并发。当每个智能体的边际成本接近零，很多过去因为「太贵」而不敢做的场景——每条工单起一个核查员、每个门店起一个巡检员——才成立。

同期披露的一则部署案例，比架构更能说明问题。据技术媒体汇总，Uber 把 ChatGPT Work 的试点从 1000 人扩到了约 3 万名员工，OpenAI 称这是其首个面向知识工作的全公司级智能体部署。

更值得注意的是使用者构成：早期采用者里约八成不是工程师，主要用它做运营分析、市场本地化、看板搭建。也就是说，真正把智能体用起来的，是运营、市场、行政这些岗位，不是研发。

这套推广方法里有四件事可以直接抄。一是内部技能库：把常用任务写成可复用的技能，而不是让每个人从零描述需求。二是白名单集成：只开放云端盘、邮件、日历、协作工具这几类，范围清楚。三是两周一个 AI 小组：工程师和业务人员配对，业务提问题，工程做实现。四是研发单独一套工具，不和业务混用。

第三条最容易被忽略。多数企业的做法是「发账号 + 培训」，然后指望员工自己摸索。而真正跑起来的组织，都是把工程能力和业务场景硬绑在一起，两周为一轮，做出一个能用的东西再换下一个。

对中小企业的启示很直接：先给业务岗配「能查、能算、能出图」的窄能力，不要一上来就给工程师配更快的编辑器。前者的受益面是几十个人，后者是三五个人。

Gartner 调查了 2002 位技术高管，两个数字很扎眼：只有 4% 有计划为「人与智能体混合」的劳动力重设岗位，只有 13% 报告从 AI 中获得了显著或转型性的价值。

这两个数字大概率是相关的。工具变了，岗位没变，流程没变，考核没变，那工具就只能停在「辅助」的位置上。一个人用不用它，全凭自觉；用得好不好，没人评价。

重设岗位不等于裁人，它包含三件很具体的事。第一，岗位说明书里加一条：负责复核智能体输出，对结果签字。第二，流程里加一个节点：智能体产出必须留痕，留痕必须可检索。第三，权限里加一道限额：超过某个金额或范围的动作，必须转人工。

这三件事都不需要新技术，需要的是有人拍板。而拍板的人通常不是 IT 部门，是业务负责人。这也是为什么这类项目一旦由 IT 主导，就很容易做成一个内部工具平台，用的人不多，评价还不错。

还有一个容易被忽视的副作用：当智能体承担了初审，人的工作从「做」变成了「判」。判断比执行更累，也更需要经验。如果组织没有为这部分认知负荷做安排——比如减少同时处理的单量、给复核留出时间——人会用「全部通过」来对抗。

所以真正该问的不是「我们该用哪个智能体」，而是「谁的工作会因为它的到来而改变，我们打算怎么改」。

前面讲的都是大厂架构，中小企业照搬不了。但同样的原则可以缩到很小，五件事今天就能做。

第一，别把长期密钥放进智能体能读到的环境变量。这条是最常见也最致命的疏漏。做法很简单：把密钥从 .env 里挪出去，改由一台独立的代理持有。

第二，用一个代理替智能体出门。哪怕只是一台跳板机加白名单，也把「谁能访问什么」从代码里挪到了配置里。改配置不需要改代码，这一条能省掉大量事故。

第三，每个任务发一个临时身份。任务开始签发、结束即失效，不要复用。这一条能挡住绝大多数「一次泄露、长期可用」的情形。

第四，给写操作设上限。金额、条数、影响范围，任一项超限就转人工。这不是不信任模型，是给错误留一个刹车。

第五，全量留痕：谁授权的、调了什么、返回什么、谁复核的。留痕不是为了合规检查，是为了三个月后能回答一个很朴素的问题——这件事到底是谁做的决定。

这五条加起来，成本可能不到一个项目预算的十分之一，却能挡掉最贵的那类事故：不是模型答错了，是模型用你的权限做了一件你事后才知道的事。