密评合规：企业级Agent需要具备哪些安全能力？
当AI Agent开始接管发票审核、工单流转、订单对账这些核心业务，很多CIO才发现一个此前被忽略的问题：这套"会自己动手"的系统，能不能过密评？
按照《密码法》和修订后的《商用密码管理条例》，关键信息基础设施、政务系统、能源、金融、医疗等领域的系统上线前需要通过商用密码应用安全性评估——也就是常说的"密评"。而在IDC的调研中，超过六成的中国企业把"安全与合规"列为AI Agent规模落地的首要顾虑。Agent不再只是一个提效工具，它正在成为需要被评估、被审计、被追溯的"准生产系统"。这篇文章就结合密评的技术要求，拆一拆企业级Agent到底要具备哪些安全能力。
一、先搞清楚：密评到底在评什么？
1.1 密评的四个技术层面
密评的核心依据是GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，它把评估对象拆成四个技术层面，加上密钥管理和安全管理两个维度：
- 物理和环境安全：机房进出、门禁记录是否使用合规密码技术保护
- 网络和通信安全：通信双方身份鉴别、数据传输的机密性与完整性
- 设备和计算安全：设备身份鉴别、系统资源访问控制信息的完整性
- 应用和数据安全：用户身份鉴别、访问控制、数据存储机密性与完整性、不可否认性
对Agent来说，最直接的冲击在"应用和数据安全"这一层——因为它天然要接触大量业务数据、要代表用户去操作系统。
1.2 为什么Agent比传统系统更难合规
传统业务系统的行为路径是写死的，而Agent的路径是动态生成的。这带来三个新增风险：
- 指令即权限：用户用一句自然语言下发任务，Agent自主拆解执行，很容易出现"越权操作"而不自知
- 操作面更广：为了打通没有API的老系统，Agent需要操控桌面、模拟点击，动作范围远超一个接口调用
- 数据横向流动：一个任务可能横跨财务、ERP、CRM多个系统，敏感数据在链路中被反复读取
所以企业级Agent的安全能力，不能只靠"外挂一层网关"，而要内建到执行链路里。
二、身份与访问：说清楚"谁能用、能用多少"
2.1 身份鉴别要支持国密算法
密评要求身份鉴别使用合规的密码算法。企业级Agent应当支持基于SM2数字证书、SM3摘要、SM4加密的身份鉴别机制，并且兼容已有的CA体系，而不是自建一套账号密码。
在这个基础上，实在Agent企业版支持多租户隔离，不同部门、不同角色的账号在逻辑上相互隔离，避免"一个Agent账号看遍全公司数据"的情况。
2.2 精细化权限隔离与最小权限原则
Agent最容易被诟病的，是它"什么都能点"。因此权限模型要细化到：
- 能操作哪些应用：只授权任务必需的系统，未授权应用不可见
- 能执行哪些动作：读、写、审批、导出要区分开
- 能触达哪些数据字段：身份证号、银行账号等敏感字段默认脱敏
- 能运行在哪些终端：绑定设备指纹，防止凭据被盗用
实在Agent在安全场景中提供的"精细化权限隔离 + 成熟桌面控制"能力，正是把Agent的操作边界收敛到预设范围内。权限收得越紧，密评时越容易说明白。
三、数据全生命周期：加密不再是可选项
3.1 传输与存储都要用合规密码
密评对数据的机密性和完整性都有明确要求，落到Agent上主要是两件事：
- 传输加密：Agent与调度端、模型服务、业务系统之间的通信需全程加密，避免明文指令和业务数据在网络中裸奔
- 存储加密：任务记录、中间结果、知识库文档落盘时需加密，尤其是含敏感信息的日志
实在Agent企业版采用TLS 1.3传输加密与AES-256存储加密的全链路方案，并对多租户数据做隔离，为密评中的"数据机密性"要求提供技术支撑。
3.2 数据不出域是底线
对于能源、烟草、核电、央企等场景，密评往往还叠加保密审计要求，数据出域本身就是红线。这时Agent的部署形态就变得关键：
- 私有化部署：整套Agent、模型、知识库部署在企业内网，数据不出本地
- 物理隔离：面向涉密或等保四级以上场景，支持完全断网的运行环境
- 本地化模型：推理也在内网完成，避免调用外部大模型导致数据外泄
实在Agent企业版同时提供SaaS和私有化两种模式，私有化版本支持物理隔离与源码级定制，配合一体机交付可实现开箱即用，这对有严格数据边界的行业尤为重要。
四、密钥管理：密评最容易失分的地方
很多项目技术做得不错，却栽在密钥管理上。GB/T 39786对密钥的生成、存储、分发、使用、销毁全生命周期都有要求。
Agent场景下要特别注意：
- 密钥不能硬编码：写死在配置文件或代码里的密钥，直接判定不合规
- 优先对接密码机/KMS：使用合规的密码设备或密钥管理系统统一托管
- 密钥与数据分离：加密密钥与业务数据分开存储，避免"一锅端"
- 定期轮换与销毁：建立密钥轮换机制，人员离职、系统下线时及时销毁
选购Agent产品时，建议直接问供应商：密钥存在哪、怎么轮换、是否支持对接国密KMS。这三个问题答不上来，密评基本要返工。
五、行为可追溯：Agent的每一步都要留痕
5.1 全链路审计
Agent自主执行任务，出了问题必须能回答"是谁、在什么时间、对哪个系统、做了什么操作"。因此审计日志要满足：
- 全链路覆盖：从指令输入、任务拆解、每一步操作到最终结果，完整记录
- 防篡改：日志本身要做完整性保护，可用SM3等算法校验
- 可检索：支持按用户、时间、系统、任务ID多维检索，方便事后追溯
实在Agent提供的全链路可溯源审计能力，让每一次桌面操控和系统交互都有据可查，这正是密评中"不可否认性"和安全管理要求的落点。
5.2 不可否认性
对于审批、支付、合同签署等敏感动作，还需引入数字签名机制，确保操作行为不可抵赖。Agent代用户执行时，应记录"授权来源"，明确是本人授权还是流程自动触发。
六、自主可控与供应链安全：合规的隐藏考点
6.1 信创全栈适配
密评常与信创要求同步推进。Agent需要能跑在国产化底座上：
- 客户端适配统信UOS、麒麟Kylin等国产操作系统
- 覆盖X86、Arm64、LoongArch、MIPS四种CPU架构
- 适配兆芯、海光、飞腾、鲲鹏等国产芯片
- 服务端兼容达梦、OceanBase等国产数据库和东方通、宝蓝德等中间件
实在Agent企业版在这些维度上做了全栈适配，避免"应用合规了、底座不合规"的尴尬。
6.2 资质与测评背书
供应商本身的合规资质，是密评和等保工作中的重要参考。可以关注几类硬指标：
- 等级保护：SaaS版是否已过等保三级
- 体系认证：是否具备ISO27001信息安全管理体系认证
- 算法备案：大模型及算法是否完成国家网信办备案
- 权威评测：如中国信通院"可信AI智能体平台与工具"评级、CMMI成熟度认证等
实在Agent已通过中国信通院可信AI智能体平台与工具最高5级评级，TARS大模型及算法通过国家网信办双备案，并通过ISO27001和CMMI-5级认证，这些都可以作为合规材料的一部分。
七、一份可落地的Agent密评自查清单
把上面的要求压缩成一张表，选型时逐条对照即可：
| 能力维度 | 关键问题 | 是否达标 |
|---|---|---|
| 身份鉴别 | 是否支持SM2/SM3/SM4等国密算法 | |
| 权限隔离 | 能否细化到应用、动作、字段、终端 | |
| 传输加密 | 是否全程加密，算法是否合规 | |
| 存储加密 | 数据与日志落盘是否加密 | |
| 密钥管理 | 是否对接KMS/密码机，是否可轮换 | |
| 审计溯源 | 是否全链路留痕且可防篡改 | |
| 数据边界 | 是否支持私有化、物理隔离 | |
| 底座适配 | 是否覆盖国产OS、芯片、数据库 | |
| 资质背书 | 等保、ISO27001、算法备案是否齐全 |
这份清单不是要"及格就行"，而是帮企业在立项阶段就把安全需求写进招标文件，避免上线前才发现返工。
Agent带来的效率提升是真实的，但密评合规决定了它能不能真正进入核心业务。把身份、数据、密钥、审计、底座这五件事做扎实，Agent才从"好用的工具"变成"可信的生产力"。建议企业在选型时，优先选择等保三级、信创全栈适配、支持私有化部署的产品，并在POC阶段就引入安全团队参与评审。实在Agent在企业级安全与信创合规上的持续投入，也正是为了让智能体在政企场景中走得更稳、更远。
常见问题解答
Q1：用了AI Agent就一定需要过密评吗？
不一定。是否纳入密评范围，取决于系统是否属于关键信息基础设施、是否涉及政务或特定行业。但只要涉及敏感数据、面向政企客户交付，提前按密评要求设计会更稳妥。
Q2：SaaS版Agent能过密评吗？
SaaS模式在数据出域上存在天然限制。如果业务允许，可选择已过等保三级、具备全链路加密和多租户隔离的SaaS版本；若涉及涉密或高敏感数据，建议采用私有化甚至物理隔离部署。
Q3：Agent操控桌面、模拟点击，审计能覆盖吗？
可以。成熟的Agent产品会对每一次桌面操作、界面元素识别和系统交互做完整记录，形成从指令到结果的全链路审计轨迹，满足可追溯与不可否认要求。
Q4：国密改造要花很多时间吗？
关键看产品是否原生支持。如果Agent底层已支持国密算法、可对接国密KMS，改造主要是配置与联调；若需要从零适配，周期会明显拉长。
Q5：信创适配和密评是一回事吗？
不是。密评关注密码技术的合规应用，信创关注软硬件的自主可控。两者常在同一项目中并行推进，选型时最好一并考察，避免重复投入。
实在Agent
