一句话看懂：Cato Networks 首席信息安全官 Yaniv Toledano 在 TechRadar 撰文指出，对自主 AI Agent 的安全管控不能止于登录验证，而应贯穿其获得权限后的每一次决策；他提出按自主性分三级配置管控，权限越高、边界越严。
事件核心：发生了什么
2026 年 10 月 28 日，TechRadar 刊发 Cato Networks CIO 兼全球 CISO Yaniv Toledano 的评论文章。核心观点是：传统安全框架假设“进入内网即可信任”，云端与远程办公已经打破这条边界，于是行业把重心转向登录时的身份验证。但 AI Agent 是读取人类指令、从公司数据库调取上下文、自行选择工具、连接外部接口并触发自动化流程的软件实体，验证登录只确认“它被系统认可”，并不保证它下一步动作的安全、合规或正确。
文章把问题放回机器身份的老难题：服务账号、安全令牌和数字证书常因临时项目获得永久权限，项目结束后被遗忘，成为无人监控的后门。AI Agent 的不同在于具有独立判断——传统服务账号按预写代码执行，Agent 则自行解读目标、分析实时上下文并选择做法。作者据此提出两个维度：自主性有多高、文件访问权限有多大，二者的组合决定管控强度。
三档分级为：会话型 GenAI 助理，按员工和团队做 RBAC 授权、限制在非敏感数据、保留日志并校验输出；带半自动/人工护栏的 Agent，例如代拟邮件或准备数据库变更，须校验工具参数，凡写入、删除、花钱或外发信息都要人工批准；完全自主的 Agentic AI，例如自行重置密码或触发复杂流程，需要最严格边界，原文此处内容被截断，目前公开信息显示作者在文末并未完整展开该档细节。
为什么重要
Agent 正从演示走向企业工作流，权限往往一给就是一整片。若安全体系只盯登录关口，一旦 Agent 被提示注入误导或判断失误，它可能以合法身份做出越权操作。文章的意义在于把“零信任”从身份层延伸到行为层：对可访问的每个内部数据和算力资产分别设限，对每次决策留痕。此前业内已有类似讨论，但由安全厂商高管系统提出分级框架，说明企业在采购和部署 Agent 时，权限治理正成为与技术能力同等重要的评估项。
对用户/开发者/创作者的影响
对企业用户，部署 Agent 前应先分级：总结文档类只给读权限，接入生产数据库、代码仓库或改写业务流的必须先设人工审批与可回滚路径。对开发者，设计 Agent 时要把 RBAC、工具参数校验、操作日志当作默认组件，而非上线后补丁；调用外部 API 和写入类动作应显式收窄。对内容创作者，若使用自动化分发或素材抓取类 Agent，同样要限制账户权限并保留操作记录，避免一次误配置造成账号外发或数据外泄。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Cato Networks 是否将这套分级落到自有产品或安全策略白皮书中；二是主流 Agent 框架和云厂商是否跟进默认权限分级与人工审批钩子；三是监管层面对自主软件行为的审计要求是否细化，进而影响企业上线节奏。
来源：TechRadar
