OOOMETA/OS
← 返回洞察

2026 年 9 月 · 7 分钟阅读

你的下一次 SOC 2 审计会包含 AI Agent：证据清单

你的下一次 SOC 2 审计会包含 AI Agent：证据清单

关键定义

SOC 2 信任服务准则（Trust Service Criteria） AICPA 发布的服务组织控制审计标准，覆盖安全、可用性、处理完整性、保密性与隐私五类准则。2017 版准则与 2022 版修订要点仍是现行标准——审计师没有改写准则，而是开始把准则套用到自主 AI Agent 上。

Agent 清单（Agent Inventory） 2026 年审计中三类标准证据之一：一份带每个 Agent 身份、所有者、风险层级与认证状态的登记表。审计师期望拿到的是完整清单，包括未经 IT 批准、员工自建的影子 Agent。

SOC 2 审计正在变化——不是因为 AICPA 改写了信任服务准则，而是因为审计师开始把 2017 版准则套用到一套框架从未设计过的系统上：自主 AI Agent。如果你的 Agent 能访问客户数据、自主执行动作或连接外部系统，它就在 SOC 2 范围内，而你现有的控制程序大概率没有为它准备证据。

变化已经可测量

控制范围扩张有硬数据：报告里包含 150 项以上安全控制的 SOC 2 报告，一年内从 16% 升到 23%；保密性准则（Confidentiality）的覆盖从 2023 年的 34% 升到 64.4%，几乎翻倍；可用性出现在 75.3% 的报告里。范围在扩，因为在范围的系统在扩——AI Agent 是最新的组成部分。

为什么 SOC 2 对 Agent『失灵』

SOC 2 为确定性系统设计，Agent 打破了它的三个假设。第一，控制可以在某个时点被文档化并测试——传统控制（防火墙规则、访问策略）在有人主动改之前一直有效，Agent 的行为却会随模型更新、数据分布漂移、依赖工具改 API 而自行变化。上个月还合规的 Agent，这个月可能就不合规，而没人碰过它。

第二，系统按文档化逻辑『按预期』处理信息——传统软件给定 X 输出 Y，Agent 输出非确定性且表现出涌现行为，你无法像文档化数据库查询那样文档化它的『预期』处理逻辑。第三，访问由人中介——Agent 自主调用 API、查询数据库、执行代码、与其它 Agent 交互，没有人类逐个发起动作，访问控制模型必须扩展到非人类自主身份。

这些不是理论缺口。97% 遭受 AI 相关违规的组织缺少适当的访问控制；33% 的组织完全没有审计追踪，61% 的日志跨系统碎片化——审计师需要的证据根本不存在于可查询的形式。

2026 年审计默认的三类标准证据

三类 Agent 专属证据正在成为 2026 年审计的标准期望：一是 Agent 清单，带每个 Agent 的身份、所有者、风险层级与认证状态——审计师要的是完整清单，包括员工自建的影子 Agent；二是提示与完成日志，带时间戳、模型版本、用户身份与 PII 处理说明；三是漂移证据，有文档化的检测节奏，以及观察期内捕捉到的偏差样本。

三类都拿不出，你的 CC6.1、CC7.2、CC8.1 控制就有风险——无论其它程序多仔细。多数为 SaaS 基础设施设计的 SOC 2 程序，三类证据一项都没有。这就是治理团队把 Agent 合规认证当作独立于传统安全审查的工作流的原因。

每个信任服务准则对应什么

安全（CC 系列，强制）

每个 Agent 必须有唯一可验证身份（CC6.1），不是共享服务账号、不是开发者的个人 API key。工具访问遵循最小权限（CC6.3）：需要读客户库的 Agent 不该有写权限，调用一个 API 的 Agent 不该握着十个凭据。提示与完成日志现在是 CC6.1/CC7.2 的期望——每条提示与响应都要记录时间戳、用户身份与模型版本。

处理完整性（PI 系列）

用概率术语定义『准确』：分类任务『验证集上周度至少 95% 准确率』、生成任务『输出至少 98% 基于所给上下文』——门槛必须文档化、可测量、被监控。文档化不可接受的输出边界（金融 Agent 永不编造交易记录），用护栏强制而不是只写进政策。连续监测行为漂移，时点评估不够——审计师会测试你的漂移检测在整个观察期内是否有效运作。

可用性（A 系列）

Agent 必须明确 fail-safe 或 fail-open：连不上 LLM 供应商会发生什么？监控层宕机时 Agent 是停止还是无人监控地继续？需要可季度测试的终止开关与防级联失效的熔断器——Agent 超过违规阈值时自动停止，直到管理员审查并复位。

保密性与隐私（C / P 系列）

数据分类必须延伸到 Agent 可访问的每个数据源：公开/内部/机密/受限，Agent 的风险层级反映它能访问的最高分类。PII 会进入发给 LLM API 的提示吗？输出会不会泄漏机密？提示日志受数据保留政策约束，而隐私披露必须告知个人：如果 Agent 参与对个人的决策（资格评估、风险评分、客户路由），当事人必须被告知 AI 参与其中。

ISO 42001：可认证的 AI 治理层

SOC 2 证明安全控制有效运行，但它不评估 AI 治理。ISO 42001 是首个可认证的 AI 管理体系标准，覆盖 AI 全生命周期：政策、AI 风险评估、角色定义、持续改进循环，显式覆盖数据溯源、模型选择、偏见测试、透明度文档与人类监督。到 2026 年 1 月获证组织不到 100 家，但微软、AWS、谷歌云均已认证，企业采购正在把 ISO 42001 加入供应商问卷。对一个运行几十个 Agent 的企业，它是防止混乱的治理脚手架。

给企业的 9 项准备清单

审计师不会等待 Agent 专属标准——他们已经开始用既有控制族评估 Agent。要过审计，逐项核对：① 完整的 Agent 清单（含已批准 + 发现的影子工具）；② 每个实质 Agent 有具名所有者；③ 基于身份的最小权限访问；④ 高影响动作的人工闸门；⑤ Agent 决策日志标准；⑥ 按 Agent 层级的数据最小化规则；⑦ 按节奏进行的 AI 影响/风险评估；⑧ 漂移与异常的连续监测；⑨ 映射到 SOC 2 / ISO 27001 / ISO 42001 / NIST AI RMF 的自动化证据。

底线判断

框架在追赶，但方向已定：可归因与可回滚必须成为系统的结构属性，而不是事后流程。证据是模式而不是报告工件——生产环境里任何字段可选，审计师最终都会在事件抽样中索取它。对正在跑 Agent 的企业，最务实的起点是：从最高风险的工作流开始，追溯一次决策到它的 Agent、模型、数据源与授权规格，然后问输出能否无级联失败地回滚。任一答案是『不能』，架构就需要先改，而不是等审计季。

参考来源

常见问题

SOC 2 准则变了吗？+

没有。2017 版信任服务准则与 2022 版修订要点仍是现行标准，AICPA 没有改写 CC6.1、CC7.2、PI1.1 这些控制项。变的是审计师开始把既有准则套用到自主 AI Agent，并期望为每个控制项提供 Agent 专属证据。

2026 年审计默认要求的哪三类证据？+

一是 Agent 清单（每个 Agent 的身份、所有者、风险层级与认证状态）；二是提示与完成日志（带时间戳、模型版本、用户身份与 PII 处理说明）；三是漂移证据（有文档化的检测节奏，和观察期内捕捉到的偏差样本）。三类都拿不出，CC6.1、CC7.2、CC8.1 就悬了。

为什么说 SOC 2 对 Agent『失灵』？+

SOC 2 为确定性系统设计，三个假设被 Agent 打破：控制可定点测试（Agent 行为在没人改动的情况下随模型更新/数据漂移而变）；系统按文档化逻辑处理信息（Agent 输出非确定性且涌现）；访问由人中介（Agent 自主调 API、查库、执行代码，没有人类逐个发起动作）。

LLM 供应商算不算子处理器？+

算。CC6.6 要求记录子处理器的安全要求、每年审阅其 SOC 2 报告并保持合同安全义务。你的 Agent 调用 Anthropic、OpenAI 或任何模型供应商，这个关系就必须进入供应商风险管理程序。

审计师对『处理完整性』问什么？+

对非确定性系统定义『准确』：分类任务可以是『验证集上周度至少 95% 准确率』，生成任务可以是『输出至少 98% 基于所给上下文』——门槛必须文档化、可测量、被监控。同时问你怎么检测幻觉、怎么监测行为漂移、什么护栏阻止 Agent 越界行动。

ISO 42001 和 SOC 2 什么关系？+

SOC 2 是控制审计：证明安全控制有效运行，但对 AI 治理不提供保证。ISO 42001 是首个可认证的 AI 管理体系标准，覆盖 AI 全生命周期。到 2026 年 1 月仅不到 100 家组织获证，微软、AWS、谷歌云均已认证，采购问卷正在把 ISO 42001 加进去。两者互补：SOC 2 证明安全，ISO 42001 证明 AI 治理。

相关文章

美国第一部 Agent 专项法案：可追溯性正在变成投标条件

9月3日两党议员提出 Stop Rogue AI Act：NIST 一年内制定 Agent 安全标准——机器可读清单、动作验证、防篡改日志；联邦承包商须达标。自愿标准+承包商强制=CMMC 式采购杠杆，可追溯正从最佳实践变成合同义务。

欧盟把 ChatGPT 定为『超大型搜索引擎』：AI 搜索的 DSA 合规倒计时

8月31日欧盟依 DSA 将 ChatGPT 指定为 VLOSE——159.1M 欧盟月活、2027年1月前须建成系统性风险评估+独立审计+算法透明度+公开广告库。触发门槛看能力而非品类，Gemini、Perplexity、Claude 都盯着同一个 45M 用户时钟。

2026 年美国各州 AI 法规拼图——科罗拉多、加州、德克萨斯三州执法全景

2026 年是美国各州 AI 监管真正落地的元年。科罗拉多 AI 法案 6 月 30 日生效，加州前沿 AI 法案和透明度三法 1 月 1 日生效，德克萨斯 TRAIGA 同日启动。跨州企业合规策略全解析。

EU AI Act Article 50 透明度规则 8 月 2 日生效——企业不可忽视的合规陷阱

6 月 Digital Omnibus 将高风险 AI 合规推迟到 2027 年 12 月，但 Article 50 透明度规则按原计划于 8 月 2 日生效。AI 聊天机器人必须披露身份，合成媒体必须标注。企业被"推迟"标题误导，忽略了核心条款仍然生效。