Simon Willison提出“致命三要素”：AI代理若同时具备读取不可信输入、访问敏感数据、向外发送数据三种能力，易遭提示注入攻击导致数据泄露。该问题无法从模型层面修补，应在架构上缓解：进行威胁建模、采用双代理隔离模式、遵循最小权限原则、使用临时权限，并假设代理终会被欺骗，控制故障影响范围。

AI改变了软件开发流程，传统线性SDLC已被循环往复的“Jeremy Bearimy”模式取代。安全团队不能再固守某一阶段，而应随工作流动：将安全要求、设计模式和威胁模型做成智能体可主动获取的上下文与插件，并对智能体设置强制护栏。核心仍是信任、最小权限和“假设失陷”等原则。DigitalOcean曾发生沙箱逃逸，但因架构按不可信环境设计，影响有限。

AI代理若被授予多余权限，会忠实执行错误指令。测试中，Claude Haiku 4.5在六次退款任务中全部出错，限制权限后则执行失败。研究表明，基于角色的授权过宽或过窄，任务级最小权限可将风险降低15倍且不增加调用量。模型和提示词不可靠，唯一持久的安全控制是根本不授予的权限。

Databricks Apps 正式推出代表用户（OBO）授权，应用可以登录用户身份调用 API，由 Unity Catalog 自动执行该用户的数据权限，无需在代码中重建治理规则。应用可同时使用服务主体处理自有操作，并按需申请最小 API 范围（如只读查询）。管理员可限制范围，缺失用户令牌时应拒绝而非降级。

AI安全本质是工程问题，需明确需求、可执行控制、责任人和验证证据。智能体栈各层均需防护，运行时须独立限制文件、网络与进程，赋予可追溯身份和最小权限，关键操作需人工审批。部署前应测试越权、数据外泄等场景，失败须复现修复并转为回归测试。开源工具与共享研究有助于防御者持续加固系统。

GitHub 为 Copilot 新增集中权限管理，管理员可按团队对 Shell 命令、文件读写和网络域名分别设置阻止、审批或放行，企业策略不可被本地设置削弱。智能体风险来自动作组合，应按最小权限拆分能力，并定期审计权限与批准记录。

安全主管在代理式AI时代应管理风险而非追求零风险。通过四个问题评估代理风险：摄入内容、可执行操作、影响范围、可观测性。采用最小权限原则，区分服务账户与人类凭证，实施身份管理、连接器白名单、沙箱执行、出口白名单、遥测监控等控制措施。治理不应成为瓶颈，需设计适应模型演进的协议，主动接受可控风险。

本文介绍如何为GitHub Actions工作流设置最小权限以降低安全风险。默认工作流权限过宽，可能被攻击者利用。建议先审计工作流实际需求，设置只读默认权限，仅在特定作业（如发布）添加写权限，并使用OIDC获取云访问凭证。最后验证工作流在受限权限下仍能正常运行。

ADK的上下文架构通过细分ReadonlyContext、CallbackContext、ToolContext和InvocationContext等上下文类型，提升了智能体的安全性和可用性。每种上下文遵循最小权限原则，确保组件在安全范围内执行，避免了早期框架的安全漏洞和认知过载。这种结构化设计使智能体能够安全、可观察地执行任务，推动了从原型到生产级系统的转变。

零信任（Zero Trust）是一种安全理念，强调“永不信任，始终验证”，要求对每个访问请求进行身份验证和授权。其原则包括假设已被攻击、身份中心安全、微分段、最小权限访问和持续验证。实现零信任需监控和分析基础设施、应用和网络，以快速做出风险评分和决策。Elastic的搜索AI平台支持零信任操作的有效实施。

专家讨论了零信任原则在API安全设计中的重要性，强调传统安全模型已不足以应对当前挑战。开发者需从设计阶段考虑安全，确保每个API的最小权限和数据保护，并与安全团队积极沟通，以提升整体安全性。