核心权衡：自主性与管控
多智能体AI的核心矛盾在于：赋予智能体更多自主权替你行事，同时也增加了它们做出你意料之外之举的风险。这并非只是理论上的担忧——一篇论文指出，自主智能体每小时可发出数千次API调用，且无需人工监督，这意味着一个微小失误就可能迅速引发连锁反应[1]。该论文还认为，OAuth 2.0等传统安全标准假设客户端行为可预测、步骤单一，但智能体系统具有随机性且易受操纵，因此权限可能在不知不觉中扩大[1]。对非专业人士而言，关键在于：每次你将任务委托给AI智能体，就等于交出了一部分自己的权限，而链条中的环节越多，出错的机会就越大。
另一篇论文将这一问题称为“糊涂代理”困境：代理可能会遵循来自不可信来源（如恶意邮件）的指令，并在不经意间代你执行操作[5]。这正是安全专家强调“最小权限”原则的原因——只赋予代理完成任务所需的最低访问权限。但在实践中，这一原则很难落实，因为代理往往需要广泛访问工具和数据才能发挥作用。因此，这种权衡是真实存在的：自主性越高，实用性越强，但风险也越大。上述研究一致认为，这种权衡无法避免，解决方案并非消除风险，而是通过分层防御来加以管控[3][5]。
可能出什么问题：非专业人士应知的具体威胁
解释风险时，具体指出故障模式会更有帮助。一篇论文列出了几种：未经授权遵从非所有者的指令、敏感信息泄露、身份伪造，以及不安全做法在智能体之间的交叉传播[3]。在医疗领域，这些可能构成违反HIPAA的行为，但同样的风险也适用于金融、法律或任何高风险领域。另一篇论文强调了间接提示注入——攻击者将恶意指令隐藏在外部内容（如网页或文档）中，智能体读取这些内容后，会做出违背你利益的行为[5]。这些并非假设；医疗论文报告称，在90天的生产部署中，一个自动化安全审计智能体发现并修复了四个高危问题[3]。
非专业人士需要理解的一个关键点是，这些威胁不仅仅关乎黑客入侵——还关乎智能体被欺骗或犯错。例如，智能体可能被社会工程学手段诱导泄露机密数据，或者它可能遵循一条超出你授权的委托链。一篇论文提出了一种专门追踪人类授权“来源”的协议，以便你能够验证某个最终操作确实是由人类批准的，而不仅仅是由一串智能体链式授权产生的[2]。这就像是为AI操作建立了一条数字审计轨迹，但该协议尚未被广泛采用。
现有保护措施及其局限
好消息是，研究人员正在开发具体的防御措施。一种方法是将每个代理的操作绑定到可验证的用户意图令牌上，就像数字签名一样，证明该操作已获授权[1]。另一种方法是使用轻量级加密协议，将每次委派步骤记录在仅可追加的链中，这样你就能审计整个路径[2]。在实践中，一些组织已经在部署分层防御：内核级隔离（沙箱）、将密钥与代理隔离的凭据代理、限制代理数据发送范围的网络出口策略，以及为不可信内容打标签的提示完整性框架[3]。这些并非万能灵药，但确实缩小了攻击面。
然而，研究也表明这些防护措施有其局限性。例如，Agentic JWT协议增加了亚毫秒级的开销，虽然速度很快，但它只是一个概念验证，并非标准[1]。HDP协议已作为IETF草案发布，但尚未得到广泛实施[2]。而医疗保健架构虽然在一次部署中行之有效，却需要大量的工程投入，并非即插即用的解决方案[3]。对于非专业人士而言，关键信息是：安全是一个不断变化的目标，你应当预期没有任何单一工具能让多智能体AI完全安全。相反，应寻找那些结合多层防护、并允许你审计智能体行为的系统。
如何在不引起恐慌的情况下谈论残余风险
向非专业人士解释限制时，应避免使用技术术语，多采用类比。例如，可以把委派比作给一位值得信赖的员工一把办公室钥匙：你信任他们，但也会安装摄像头，并限制他们能接触的范围。同样，AI智能体需要凭证，但你可以限制其访问权限并监控其行为。一篇论文指出，现有标准不足以应对多智能体链，因此你应假设仍存在一定风险[2]。另一篇论文则强调，安全并非一劳永逸的修复，而是一个持续的过程，面临运行时监控和验证等开放性挑战[4]。
一个实用的方式来界定残余风险，可以这样说：“我们能够降低未经授权操作的可能性，但无法完全消除它。正因如此，我们需要监控和审计。”这里的研究支持这一观点：它们都指向持续评估和调整的必要性，而非一次性设置[4][5]。例如，关于可信智能体AI的调查强调，多步骤轨迹会引入新的失败模式，我们需要同时依赖结果信号和过程信号（如约束违反和轨迹完整性）来评估可信度[4]。因此，在解释限制时，要强调安全是一个过程，而非终点，最好的系统是那些对自身局限保持透明，并提供验证已发生事件途径的系统。
关于这些资料来源
这个回答基于5项研究（1篇同行评审，4篇预印本）——发表于2025年至2026年，其中5篇为2024年或之后——从6项通过质量筛选的研究中选出最具相关性的，这些研究来自从超过5亿篇论文数据库中检索到的48篇文献。
本文引用的文献
Agentic JWT：面向自主AI智能体的安全委托协议
介绍了Agentic JWT，这是一种将每个智能体行为绑定到可验证的用户意图和工作流步骤的协议，并在Python概念验证中演示了如何阻止越权请求、重放攻击、身份冒充和提示注入，且开销低于毫秒级。
HDP：一种面向智能体AI系统中人类委托溯源性的轻量级密码协议
提出HDP，一种轻量级基于令牌的协议，以仅追加链的形式加密记录人类授权及每一跳委派，仅凭签发者公钥即可实现离线验证，并论证现有标准如OAuth 2.0令牌交换无法满足多跳溯源需求。
囚笼之策：面向医疗自主人工智能的零信任安全架构
描述了一种为九个医疗保健AI代理部署的零信任架构，采用内核隔离、凭据代理、网络出口策略和提示完整性框架，并报告了自动化审计代理在90天内发现的四个高危严重性发现。
迈向可信赖的智能体AI：安全性、鲁棒性、隐私与系统安全的综合综述
综述了可信赖的智能体AI，识别了多步轨迹中产生的新失效模式，并将评估整合为统一指标，同时强调结果信号与过程信号（如约束违反和轨迹完整性）。
人工智能代理的安全考量
为前沿AI智能体绘制主要攻击面图谱，涵盖间接提示注入与混淆代理行为，并针对高后果操作推荐分层防御与确定性策略执行机制。