企业 AI 智能体数据安全边界：哪些数据不能出内网

“我们想把财务发票审核交给 AI 智能体来做，但发票上有供应商名称、金额、税号，这些东西能不能传到外面的大模型上去？”这是过去一年里，企业 IT 负责人和业务主管问得最多的一个问题。问题的背后，其实是一个更根本的判断题：在企业 AI 智能体的落地过程中，数据安全边界到底划在哪里，哪些数据不能出内网？

这个问题不解决，智能体就只能停在 Demo 阶段。Gartner 此前的调研显示，超过半数的企业 AI 项目因数据安全与合规顾虑而推迟或缩减范围；在国内，《数据安全法》《个人信息保护法》以及等保 2.0、行业监管要求叠加，让“数据不出域”从技术偏好变成了硬性约束。本文将围绕“企业 AI 智能体数据安全边界”这一核心命题，系统梳理四类绝对不能出内网的数据、五条容易被忽视的“隐形外流通道”，以及一套可落地的分层防护方案，帮助企业把智能体真正用起来，而不是用出风险。

一、为什么“数据边界”是智能体落地的第一道门槛

很多企业做数字化转型时，习惯性地把 AI 能力等同于“调用一个云端大模型”。这个认知在消费级场景没有问题，但在企业级场景里，它几乎是致命的。

1.1 数据一旦离开内网，控制权就转移了

企业内部数据有一个基本特征：它的价值与它的敏感性成正比。一份普通的会议纪要泄露出去可能无伤大雅，但一份包含成本结构的报价单、一份客户合同、一份核电设备运行参数，一旦流出就可能直接造成商业损失甚至触发监管责任。

• 不可逆性：数据被传输到外部后，即使服务方承诺“不留存”，企业也无法真正验证和撤回。
• 责任主体不变：无论数据流转到哪一方，监管追责的第一主体始终是数据的持有企业。
• 合规链条变长：每多一个外部环节，就多一份需要评估的合规风险。

1.2 监管要求已经从“倡导”变成“硬约束”

金融、能源、烟草、核电等行业的监管要求普遍明确：核心业务数据应当本地化存储、核心系统应当在内网运行、关键操作应当可审计可追溯。这意味着，智能体如果要进入这些企业的核心流程，私有化部署不是加分项，而是准入门槛。

实在Agent在这类场景中的定位很清晰：支持私有化部署，核心流程可在客户内网环境运行，不依赖互联网和云端，从部署形态上先把“数据不出域”这条底线守住。

二、划清红线：这四类数据，原则上不该出内网

要回答“哪些数据不能出内网”，首先要做的是数据分类分级。不同行业的敏感项不同，但归拢起来，大体可以分为四类。

2.1 第一类：涉及国家安全与行业命脉的数据

这类数据的特征是“一旦泄露，影响范围超出企业本身”。典型代表包括能源调度数据、电网负荷数据、核电运行参数、烟草专卖相关数据、关键基础设施拓扑信息等。

• 这类数据通常有明确的行业监管清单，企业往往已经建立了内部管理制度。
• 判断标准很简单：如果这份数据出现在公开渠道，是否会引起监管问询？ 答案是肯定的，就必须留在内网。
• 此类场景对系统的要求通常还包括信创适配与保密审计能力。

2.2 第二类：个人敏感信息与客户隐私数据

姓名、身份证号、手机号、银行卡号、住址、生物识别信息、医疗记录等，属于受法律严格保护的个人信息。

• 即使经过一定处理，只要仍具备“可识别到具体个人”的可能性，就仍在保护范围内。
• 客户名单、会员消费记录、员工薪酬明细，都属于这一类。
• 电商、零售、金融行业在处理订单和客服场景时，最容易在这里踩坑。

2.3 第三类：企业经营核心数据

这一类最容易被低估，因为它“看起来不敏感”。但实际商业价值极高：

• 财务数据：成本结构、毛利率、未公开的财务报表、发票明细
• 商务数据：合同条款、报价策略、供应商底价、招投标文件
• 研发数据：工艺参数、配方、设计图纸、测试数据
• 战略数据：并购计划、组织调整方案、未发布的产品路线图

2.4 第四类：账号凭证与系统配置类数据

这类数据本身可能“不敏感”，但它是一把钥匙。

• 系统账号密码、API 密钥、数据库连接串
• 内网拓扑、服务器地址、端口配置
• 权限矩阵与角色配置

一旦这些信息随提示词一起被发送到外部，攻击面会被直接放大。

一个实用的判断口诀：“对外公开会不会出事”看第一类，“能不能定位到人”看第二类，“竞争对手想不想知道”看第三类，“能不能拿来当钥匙”看第四类。 四问中有一个是“是”，就应当默认不出内网。

三、比“主动上传”更危险的，是这五条隐形通道

大多数企业已经知道“不要主动把文件传给外部大模型”，但真正造成数据外流的，往往不是这条显性路径。

3.1 通过提示词夹带数据

业务人员在向智能体提问时，习惯性把整段原始材料贴进去。“帮我总结这份合同”“帮我核对这些发票信息”——这些操作在无感知的情况下，就把核心数据送出了内网。

3.2 通过插件与第三方工具扩散

智能体为了完成一个任务，可能调用搜索、翻译、OCR、邮件等外部工具。每一次调用都是一次数据出境。

3.3 通过日志与埋点回流

部分 AI 产品默认开启使用数据回传，用于“模型优化”。企业如果没有在合同和技术层面明确关闭，数据就可能以日志形式持续外流。

3.4 通过微调与语料上传

为了让模型“更懂业务”，把内部文档打包上传做微调，这是数据外流规模最大、也最容易被忽视的一条路径。

3.5 通过人工搬运

截图、复制粘贴、导出 Excel 再上传网盘。技术手段再严密，也挡不住这条最原始的通道，因此必须配合制度与审计。

对应的治理思路是：技术上加白名单与出网管控，流程上做操作留痕，最终依靠全链路审计形成闭环。实在Agent提供全链路可溯源审计能力，所有操作可追溯，配合桌面控制与权限隔离，能把这些“看不见的出口”变成“看得见的记录”。

四、分层防护：让智能体在内网里把活干完

把边界划清楚之后，接下来的问题是：怎么在不牺牲效率的前提下，把边界守住。实践中比较有效的是一套四层结构。

4.1 部署层：能内网的，绝不外联

这是最彻底也最有效的一层。

• 核心流程在客户内网运行，不依赖互联网与云端
• 数据物理隔离，实现真正意义上的“不出域”
• 满足金融级安全要求与能源行业核心数据资产管控要求
• 支持信创环境适配，满足审计与保密要求

通过实在Agent的私有化部署方案，企业可以把智能体的“大脑”和“手脚”都放在自己的机房里，业务人员使用的仍然是熟悉的浏览器界面和桌面应用。

4.2 权限层：最小权限，按角色分配

内部风险往往大于外部风险。一个能访问全部财务数据的智能体，本身就是风险源。

• 按角色（业务、共享、管理）与组织架构划分数据权限，实现严格的数据隔离
• 分级权限管控，敏感模块单独授权
• 支持按业务类型配置审核规则说明与流程指引，避免“越权操作”
• 桌面控制能力可限定智能体可操作的应用范围

实在Agent在权限层采用 RBAC 模型，把“谁能看什么、谁能做什么”固化成配置，而不是靠人的自觉。

4.3 数据层：先用脱敏和清洗削掉敏感度

并非所有数据都必须以原样进入智能体。很多场景下，脱敏后的数据足以支撑业务判断。

• 字段级脱敏：身份证号、手机号、银行卡号做掩码处理
• 结构清洗：只提供任务所需的字段，而非整张表
• 分级过滤：根据任务等级动态决定可访问的数据范围

例如在发票审核场景中，智能体真正需要的是金额、税率、开票方校验结果等结构化字段，而不是完整的发票影像与全部供应商档案。通过实在Agent的数据清洗与脱敏处理，可以在保留业务价值的同时大幅降低数据敏感度。

4.4 审计层：所有操作都要能倒查

边界是否被守住，不能靠感觉，要靠记录。

• 记录智能体的每一次数据访问、每一次外部调用、每一次人工干预
• 审计日志本地留存，支持按人员、时间、任务维度回溯
• 异常行为（如大批量数据读取、异常时间操作）可触发告警

这一层在很多企业是缺失的，但恰恰是应对监管检查和内部追责的关键证据链。

五、从边界到落地：企业可以这样分步推进

有了边界定义和防护框架，落地路径同样重要。一次性把所有场景都搬上智能体，风险不可控；只做边缘场景，价值又体现不出来。比较稳妥的推进方式是“三步走”。

5.1 第一步：做数据分类分级清单

先由 IT 与业务部门联合梳理，把现有数据按前述四类打标签，明确哪些“严禁出内网”、哪些“脱敏后可出内网”、哪些“可以出内网”。这份清单是所有后续工作的基准。

5.2 第二步：从“数据不出内网”刚性最强的场景切入

优先选择业务价值高、但数据敏感度可控的场景，例如：

• 财务发票审核：结构化字段为主，脱敏空间大，人工投入高，效果易量化
• IT 工单处理：知识库在内部，流程标准化程度高
• 电商订单处理与客服：可通过脱敏与权限隔离控制风险
• 制造业供应链对账：数据在 ERP 内部流转，边界清晰

5.3 第三步：建立常态化的审计与复核机制

上线不是终点。建议按季度复盘：哪些数据被访问了、哪些外部调用被拦截了、哪些权限需要收回。把安全能力当作持续运营的机制，而不是一次性的项目交付。

六、几个必须澄清的认识误区

• “用了大模型就一定要上公有云”：不成立。私有化部署的智能体同样可以具备理解、推理、操作执行的能力。
• “脱敏之后就可以随便传”：不成立。多字段组合仍可能重新识别到个人或企业，需评估重识别风险。
• “内网部署就没有安全问题了”：不成立。内部越权、账号共享、日志缺失依然是主要风险来源。
• “安全投入会拖慢业务”：短期看是成本，长期看是前提。没有安全边界，智能体根本无法进入核心流程。

总结

企业 AI 智能体的价值，取决于它能接触到多深的业务数据；而它能不能接触到这些数据，取决于企业敢不敢把数据边界划清楚。企业 AI 智能体数据安全边界的本质，不是给技术设限，而是给规模化解锁。涉及国家安全与行业命脉的数据、个人敏感信息、经营核心数据、账号凭证类数据，应当默认不出内网；在此基础上，通过私有化部署守住形态、通过 RBAC 权限守住范围、通过脱敏清洗守住内容、通过全链路审计守住过程，智能体才能从“试一试”走向“用起来”。边界清晰，才敢放权。

常见问题解答

问题1：私有化部署的智能体，还能用上大模型的能力吗？

可以。私有化部署指的是模型与运行环境部署在企业自有服务器或专有云上，模型的推理、理解、执行能力不受影响，区别只在于算力由企业自行承担。对于绝大多数企业流程类场景（如单据审核、工单分派、数据核对），私有化环境下的效果完全可以满足业务要求。

问题2：数据脱敏之后，是不是就可以出内网了？

不能一概而论。脱敏只能降低单条数据的敏感度，但多个字段组合后仍可能重新识别出具体对象。正确做法是先做重识别风险评估，再决定“可出、限出、禁出”，并把结论固化到规则里，而不是由业务人员临时判断。

问题3：员工私自用个人账号调用外部大模型，怎么管？

这类问题技术手段只能解决一半，需要“技术 + 制度”双管齐下。技术上可以通过网络出口管控、应用白名单、终端审计限制外联；制度上需要明确数据分级要求与违规责任，同时提供一个“够好用”的内部替代工具——如果内部智能体体验足够好，员工自然没有动力去外部找工具。

问题4：全链路审计会不会影响智能体的执行效率？

影响很小。审计记录的是操作元数据（谁、何时、访问了什么、结果如何），而不是复制业务数据本身，存储与性能开销可控。相比事后追责无据可查的风险，这点开销是值得的。

问题5：中小企业也需要做这么完整的数据边界设计吗？

需要，但可以简化。中小企业可以先做两件事：一是明确“哪三类数据绝对不出内网”，二是选择支持私有化或本地化部署的工具。不必一开始就搭建完整的分类分级体系，但边界意识必须从第一个智能体上线时就有。

实在Agent