可信执行环境怎么建？安全智能体部署指南

当业务部门兴冲冲地拿着一个智能体 Demo 来找 IT 部门，说"它能自动处理发票、自动派工单、自动对账"，IT 负责人脑子里冒出来的第一个问题往往不是"效果好不好"，而是"它凭什么能碰我们的核心系统"。这不是保守，而是责任——智能体一旦被授予调用 ERP、财务系统、生产系统的权限，它就从"工具"变成了"数字员工"，而这个员工的身份、行为、数据流向，都必须可解释、可控制、可追溯。

Gartner 在 2024 年的调研中指出，超过 60% 的企业在推进 AI 智能体落地时，把"安全与合规"列为比"模型能力"更靠前的决策因素。换句话说，决定智能体能否真正走进生产环境的，往往不是它有多聪明，而是它待的那个环境有多可信。这篇文章就围绕"可信执行环境怎么建"这一核心命题，结合安全智能体部署的实际工程路径，给出一套可落地的建设框架。

一、先搞清楚：智能体语境下的"可信"到底指什么

很多团队在讨论可信执行环境时，第一反应是硬件级的 TEE（Trusted Execution Environment）——CPU 内的一块隔离区域，通过 SGX、TrustZone、SEV 等技术保证代码和数据的机密性与完整性。这当然是可信的一部分，但在企业智能体的实际部署中，可信的范畴要宽得多。如果只盯着芯片层，很容易忽略真正会出问题的环节。

1.1 三个层面的可信缺一不可

企业级智能体的可信，至少要同时满足三个层面：

• 环境可信：智能体运行在哪个网络分区、哪台机器、哪个容器里，物理与逻辑边界是否清晰，数据是否可能外溢到公网。
• 身份可信：智能体以什么身份登录业务系统，权限是否最小化，是谁授权、授权到什么粒度、什么时候回收。
• 行为可信：智能体执行了哪些动作、点了哪些按钮、读了哪些字段、改了什么数据，全过程是否留痕、能否回放、出了问题能否定责。

三者中任何一个缺失，安全部门都不会签字。实践中常见的情况是，前两个勉强做到了，第三个却是空白——智能体"做了什么"没人说得清，这在金融、能源等强监管行业是致命的。

1.2 一个反常识的判断：可信不是"限制能力"，而是"放大能力"

不少业务方担心安全要求会拖慢智能体上线。事实恰恰相反：正是因为有了精细化的权限隔离和全链路审计，智能体才能被放心地授权去操作核心系统。实在Agent 的安全能力矩阵就是围绕这一逻辑设计的——权限隔离、桌面控制、全链路可溯源审计、私有化部署四位一体，让"敢用"成为"能用"的前提。

二、可信执行环境的四道防线

把可信拆解为可施工的工程结构，通常需要四道依次递进的防线。这也是安全智能体部署时最容易出纰漏的地方。

2.1 第一道：网络与物理边界

• 网络分区：把智能体的运行节点放在独立的业务区内，与办公网、互联网做逻辑甚至物理隔离，禁止智能体节点直接访问公网。
• IT/OT 隔离：制造业场景尤其要注意，智能体在办公侧做订单处理、在产线侧做数据采集，两者的网络必须严格分离，不能因为"方便"就打通。
• 数据不出域：核心流程在客户内网环境运行，不依赖互联网和云端，敏感数据物理隔离。

实在Agent 企业版的私有化部署支持物理隔离环境运行，配合 IT/OT 网络隔离部署方案，让能源、金融这类对数据边界极度敏感的行业也能放心把智能体放进核心流程。

2.2 第二道：身份与权限的最小化

身份是智能体的"工牌"，权限是它的"钥匙串"。设计时要遵循三条原则：

• 一号一权：每个智能体对应独立账号，不与人工账号混用，避免责任混淆。
• 最小授权：只给完成当前任务必需的字段级、按钮级权限，比如对账智能体只能读取对账相关字段，不能导出整张客户表。
• 可回收：任务结束或人员变动时，权限能被快速冻结和回收，而不是变成"僵尸账号"。

实在Agent 提供精细化权限隔离机制，支持按角色、按流程、按数据范围进行分级授权，配合企业大脑的统一账号体系，把权限管理从"事后追责"变成"事前约束"。

2.3 第三道：数据全生命周期的加密与脱敏

• 传输加密：链路层采用 TLS 1.3，防止中间人窃听。
• 存储加密：敏感字段落盘使用 AES-256 加密，密钥独立管理。
• 使用脱敏：智能体在训练、调试、日志留存环节接触到的数据应做脱敏处理，避免真实身份证号、银行卡号在非必要环节扩散。
• 多租户隔离：SaaS 模式下不同租户的数据必须逻辑隔离，防止越权访问。

2.4 第四道：行为审计与人工兜底

这是最容易被低估、也最能体现"可信"成色的一环。

• 全链路日志：不仅记录"任务成功/失败"，还要记录每一步的操作对象、操作时间、输入输出，支持按任务 ID 回溯完整的执行链路。
• 关键节点人工确认：涉及资金划转、大额审批、批量删除等高风险动作时，设置人工确认卡点，智能体只做前置准备，最终按下按钮的必须是人。
• 异常熔断：当智能体连续失败、访问越权资源、或执行路径严重偏离预期时，自动中止任务并告警。

实在Agent 的全链路可溯源审计能力，能够把智能体的每一次点击、每一次读取都沉淀为可查证据。对于需要应对内审和监管检查的团队来说，这套留痕机制本身就是通过合规评审的"通行证"。

三、安全智能体部署的五步落地法

知道了防线在哪，还要知道施工顺序。下面这套五步法，是多个企业级项目沉淀下来的通用路径。

3.1 第一步：场景分级，先做"低风险高价值"

不要一上来就让智能体碰核心账务。先把待落地场景按"数据敏感度 × 操作破坏力"分成四象限，优先做那些数据不敏感但重复度高的任务，比如内部报表汇总、工单分派、日志巡检。跑顺了再逐步上探。

3.2 第二步：环境选型，SaaS、私有化还是软硬一体

部署形态	适用场景	关键特征
SaaS 版	标准化业务、无强合规约束	即开即用、零运维、持续更新
私有化版	金融、政务、能源等强监管行业	物理隔离、源码级定制、数据不出域
软硬一体机	希望开箱即用又要本地化	软硬件预集成、交付周期短

实在Agent 企业版同时提供 SaaS 与私有化两种模式，并与华为联合推出"Agent 智能体 + 昇腾"一体机，让没有自建算力团队的机构也能在本地完成部署。

3.3 第三步：打通"最后一公里"，老系统怎么办

这是部署阶段最现实的问题——企业里大量系统没有 API，尤其是十年前的 ERP、自建 OA、产线 MES。强行改造接口成本高、周期长。

• 有 API 走 API：优先用标准接口对接，稳定高效。
• 无 API 走 GUI：通过屏幕语义理解技术"看懂"界面元素，像人一样操作，无需改造原系统。
• 融合拾取：视觉识别与底层控件抓取结合，提升在复杂界面下的成功率。

实在Agent 的 API + GUI 双轨架构正是为这种混合环境设计的，配合 ISSUT 屏幕语义理解技术，能无缝操作老旧系统与信创全终端，把"接不进去"这个卡点绕过去。

3.4 第四步：可信底座的合规背书

部署方案能不能过审，往往取决于几张"纸"。选型时应确认供应商是否具备：

• 中国信通院"可信 AI 智能体平台与工具"高等级评级
• 大模型及算法通过国家网信办备案
• ISO27001 信息安全认证、CMMI 等级认证
• 等保三级及以上（SaaS）或支持等保四级以上场景（私有化）

这些资质不是营销话术，而是安全部门评审时的硬性输入项。

3.5 第五步：建立运营机制，而不是"部署完就完事"

智能体上线只是开始。需要配套：

• 运营看板：任务成功率、平均耗时、异常分布，按业务线维度可见。
• 版本与变更管理：流程逻辑变更需走审批，避免"悄悄改了个步骤"导致风险。
• 定期权限复核：每季度核对一次智能体账号权限，清理冗余授权。

实在Agent 的企业大脑（数字员工运营管理平台）覆盖了从需求提出、开发建设、上线管理到任务调度的全生命周期，让运营机制有地方落地。

四、四个典型场景的可信部署实践

抽象框架讲完，落到具体业务上会更清楚。

4.1 财务发票审核：数据敏感度最高的场景之一

某大型制造企业的费用报销环节，原先靠人工逐张核对发票真伪、金额、税率、抬头。引入智能体后，关键设计是：智能体只读取发票影像与结构化字段，不接触员工银行卡信息；审核结论写入独立表，由人工复核后入账；所有操作留痕，可追溯到具体发票。

4.2 IT 工单处理：权限边界最需要说清的场景

某集团 IT 部门的工单量大、类型杂。部署时把智能体权限严格限定在"信息查询 + 标准操作"范围内，涉及账号解锁、权限变更的工单必须转人工。智能体每处理一条工单，系统记录其调用的系统、执行的命令、耗时，异常自动升级。

4.3 电商订单处理：高并发下的稳定性考验

促销期间订单量激增，某跨境卖家需要智能体在多个平台后台批量处理发货、改地址、退款初审。这里的可信重点是动作幂等性与限流——避免重复执行造成资损，同时保证高峰期的稳定调用。

4.4 制造业供应链对账：跨系统、跨网络

供应商对账需要打通采购系统、仓储系统、财务系统，部分系统位于不同网络分区。部署时采用分区内运行、结果单向汇聚的方式，核心数据始终不出域。实在Agent 的信创适配能力在此类环境中尤为重要，能覆盖国产芯片、操作系统、数据库与中间件的完整栈。

五、六个常见误区，避开就赢了一半

• 误以为"私有化=安全"：私有化只解决了环境边界，权限和审计仍是空白的话，风险一样存在。
• 用人工账号跑智能体：责任无法区分，一旦出事查不清是人的操作还是机器的操作。
• 日志只留结果不留过程：出问题时无法定位是哪一步出错，复盘等于重来。
• 一次性给全量权限：图省事的结果是权限永久膨胀，后续收回成本极高。
• 忽略模型侧的合规：大模型备案、训练数据来源、输出内容过滤，都是评审关注点。
• 上线即结束：没有运营机制，三个月后智能体就成了没人管的"黑盒"。

结语

可信执行环境的建设，本质上是把"信任"从口头承诺变成可验证的工程事实：边界清晰、身份明确、数据闭环、行为留痕。安全智能体部署的成败，往往不取决于模型多强，而取决于这些"看不见的护栏"是否扎实。建议从一个低风险、高频次的场景切入，用一条完整的可信链路跑通，再逐步向核心业务延伸——这份安全智能体部署指南的落地价值，也正在于此。

常见问题解答

Q1：私有化部署成本是不是很高，中小企业扛得住吗？

成本取决于部署规模和形态。如果只是几个智能体跑在部门内网，一台中等配置的服务器加私有化授权就能起步；如果追求开箱即用又要本地化，软硬一体机形态能显著降低集成与调优成本。建议先按场景数量估算并发，再决定选型，避免一次性过度投入。

Q2：智能体必须在内网运行，但大模型在云端，这个矛盾怎么解？

三条路：一是采用支持本地化推理的模型方案，把模型部署在内网；二是敏感数据在本地做脱敏与结构化后再调用云端模型，只传出必要信息；三是采用一体机形态，软硬件同址部署。具体选哪条，取决于业务对延迟和数据敏感度的要求。

Q3：没有 API 的老系统怎么安全接入智能体？

不需要改造老系统。通过 GUI 层的界面操作能力，让智能体像人一样登录、点击、录入即可。安全上要做的是给智能体分配独立账号、限定可访问的菜单与字段、开启操作录屏或日志留痕，把"能操作"和"能管住"同时做到。

Q4：怎么证明智能体没有"乱来"？审计应该留什么？

至少要留四类信息：任务标识与触发来源、每一步的操作对象与参数、执行时间与耗时、结果状态与异常信息。理想状态下应支持按任务 ID 回放整条执行链路。对于高风险动作，还应保留人工确认记录。

Q5：等保合规对智能体部署有哪些具体要求？

核心关注点集中在身份鉴别、访问控制、安全审计、数据完整性与保密性、剩余信息保护几个控制项。落到智能体上，就是独立账号与强认证、最小权限、全量日志留存不少于规定期限、传输与存储加密、任务结束后的临时数据清理。选型时优先考虑已通过等保测评的方案，能省去大量自证工作。