Anthropic CISO 发布 Agentic AI 风险四问框架
四个问题决定你的 Agent 是否安全

2026 年 7 月，Anthropic 副 CISO Timothy Morano 发布了一个简洁但深刻的框架，用于评估 Agentic AI 的风险。这不是一个几十页的技术架构清单，而是四个问题——从"Agent 能做什么"出发的治理思维框架。这四个问题直击 Agent 风险的本质，帮助企业在部署 Agent 之前回答最关键的问题。

框架背景

在这个框架发布之前，Agentic AI 的风险评估方法大致分为两类：一类是过于技术化的架构检查清单（如 OWASP 的 10 大 Agentic 风险），另一类是过于抽象的治理原则（如"确保 AI 系统安全"）。前者缺乏战略视角，后者缺乏可操作性。

Anthropic 的 CISO 团队采取的是一条中间路径——四个问题，每个问题代表一个独立的风险维度。这不是替代技术检查清单，而是为技术检查清单提供战略上下文。企业应该先用这四个问题建立风险认知，然后再深入具体的技术控制措施。

问题一：Agent 被信任做什么？

第一个问题也是最基础的问题。不是问"Agent 有什么能力"，而是问"我们信任 Agent 做什么"——这是一个权限问题。

关键区别在于：能力是 Agent 可以做的事（模型的技术上限），信任是企业允许 Agent 做的事（治理边界）。两者之间的差距就是风险敞口。

• 读取数据：Agent 可以读取哪些数据源？这些数据包含 PII 或商业机密吗？
• 写入数据：Agent 可以写入哪些系统？写入操作是否需要人工审批？
• 执行操作：Agent 可以执行哪些操作——发送邮件、提交代码、执行交易、删除记录？
• 委派任务：Agent 是否可以创建子 Agent？子 Agent 的权限边界是什么？

Morano 强调：这个问题的答案不能是"所有必要的权限"。如果答案是"所有必要的权限"，说明你没有真正思考过信任边界。每个权限都应该有明确的理由和上限。

问题二：Agent 在什么环境中运行？

第二个问题关注 Agent 的运行上下文。同样的 Agent，在不同的环境中，风险水平完全不同。

• 隔离环境 vs 生产环境：Agent 是在沙箱中运行还是直接接入生产系统？
• 数据访问范围：Agent 可以访问的数据集有多大？是单个数据库还是整个数据湖？
• 外部连通性：Agent 是否可以访问互联网？是否可以调用外部 API？
• 多租户隔离：如果 Agent 服务于多个客户，租户之间的隔离机制是什么？
• 审计覆盖：环境中的日志记录是否完整？能否追溯 Agent 的每一步操作？

这个问题的意义在于：许多 Agent 风险不是因为 Agent 本身有问题，而是因为 Agent 被部署在了不适合的环境中。一个在隔离测试环境中安全的 Agent，进入生产环境后可能变得危险——不是因为 Agent 变了，是因为环境变了。

问题三：如果 Agent 出错，最坏的情况是什么？

第三个问题是最常被忽略的。企业倾向于问"Agent 会正常工作吗"，但很少问"如果 Agent 出错，最坏能坏到什么程度"。

这不是悲观主义——这是风险管理的基本功。每个 Agent 都应该有一个明确的"最坏情况分析"：

• 财务损失：Agent 执行了错误的交易，最大损失是多少？
• 数据泄露：Agent 将敏感数据暴露给了错误的人，影响范围多大？
• 合规违规：Agent 的行为违反了哪个法规？罚款是多少？
• 声誉损害：Agent 的行为被公开后，对品牌的影响是什么？
• 连锁反应：Agent 的出错是否会触发其他系统的级联故障？

Morano 指出：如果最坏情况的严重程度超出了企业愿意接受的范围，那么就不应该让 Agent 在没有额外防护措施的情况下运行。这个结论听起来简单，但很多企业是在 Agent 出事后才意识到"最坏情况"有多糟糕。

问题四：我们能否检测并阻止 Agent 的异常行为？

第四个问题关注运行时控制和可观测性。无论你在前三个问题上做了多少准备，Agent 仍然可能以你未曾预料的方式行为。

• 实时监控：是否有实时的行为监控系统？能否在异常发生后的几秒内检测到？
• 异常检测：是否定义了"正常行为"的基线？是否有偏离基线的告警机制？
• 干预能力：发现异常后，能否立即停止 Agent 的操作？Kill Switch 是否经过了测试？
• 回滚机制：如果 Agent 执行了不可逆的操作，是否有灾备和恢复方案？
• 人工接管：在自动干预无效的情况下，人工接管流程是否清晰？

这个问题的核心是：不要假设 Agent 会一直按预期工作。要有检测能力、停止能力和恢复能力。

框架的价值：从"Agent 能做什么"到"Agent 应该做什么"

四个问题的框架之所以有价值，是因为它改变了评估 Agent 风险的方式。传统的风险清单问的是"Agent 有什么能力"——这是一个技术问题。Anthropic 的框架问的是"Agent 应该被允许做什么"——这是一个治理问题。

区别很微妙但很重要：能力是技术上限，信任是治理边界。当治理边界清晰时，技术能力就不再是风险——它是一个已知变量。

这个框架也不是一次性的。随着 Agent 的能力提升、部署范围扩大、环境变化，四个问题的答案都需要重新审视。Agent 治理不是一次审计——它是一个持续的过程。

底线

在 573 家企业未加控制就部署 Agent 的行业现状下，一个简洁的评估框架比一千页的合规文档更有用。Anthropic 的四问题框架不会告诉你如何配置每一个技术控制——但它会确保你在部署 Agent 之前，先问对了问题。

因为治理的第一步不是找到答案——是问对问题。