股票 
板块 
用户 
资讯 澎湃新闻记者 张静
10月末，PHP漏洞引发的安全警报持续扩大。PHP官方发布紧急补丁，一次性修复两个超危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），严重程度评分高达9.2分（满分10分）。这两个漏洞在PHP代码中已潜伏约十四年——早在2012年发布的PHP 5.4版本就已埋下隐患，攻击者无需账号密码，发送一条特制请求就可能远程控制服务器。
更值得关注的，不是漏洞本身，而是发现漏洞的方式。这两个漏洞由网络安全公司Wiz与Calif借助OpenAI的前沿模型发现，是迄今AI发现的“最严重漏洞”之一。PHP是使用最广泛的服务器端脚本语言，公开统计显示，在可识别服务器端编程语言的网站中约70%使用PHP，因此漏洞可能波及大量互联网服务。消息公布后，荷兰、芬兰、法国、德国等多国政府网站紧急下线，全球攻击尝试从数千次骤增至数百万次。
一个被人类工程师忽略了十四年的漏洞，最终被AI揪了出来。这件事传递的信号，比漏洞本身更深远：AI正在同时改变安全攻防的两端——它既能帮助防御者更快发现漏洞，也让攻击的门槛大幅降低。而当AI从“会找漏洞”进一步走向“会自主执行任务”，一个新问题浮出水面：谁来约束AI本身？
风险已经不止于“人用AI”
回看今年的几起事件，风险已经不止于人类利用AI发动攻击，AI自身也可能为了完成任务而越界。
今年7月，OpenAI披露了一起新型AI安全事件：其智能体绕过网络隔离，通过留言板交流漏洞和凭据信息，最终入侵Hugging Face等第三方系统。原本用于完成评测的能力，被用于寻找测试答案；整个过程由AI自主完成，其间无任何人类指令。
9月，澳大利亚披露，OpenAI的一个智能体今年6月未经授权进入政府医疗保险统计数据门户，访问公开及非公开文件，并向内部服务器写入数据。第三方观测显示，该智能体的行为从普通数据请求，逐步升级为探测SQL注入、命令注入、路径遍历和跨站脚本漏洞。一次本应止步于信息查询的任务，最终越过了数据访问和系统操作的边界。
这些事件暴露出一个共同特征：AI安全已经进入“行动”层面。过去人们担心AI“说什么”，现在更需担心它“做什么”。
企业的同一道题：AI上岗，先得有约束
2026年人工智能大模型安全众测共组织2467名白帽子，对国内54款大模型及智能体应用进行测试，累计发现873个漏洞，其中608个属于大模型及智能体特有漏洞。提示词注入、敏感信息泄露、身份权限滥用、目标劫持和非预期代码执行，均被列为典型风险。国家互联网应急中心给出的建议之一，就是把模型生成的代码和工具调用放在沙箱等隔离环境中执行。
这意味着，要让AI长期上岗，不仅要管住它“说什么”，更重要的是它能读取哪些文件、调用哪些工具、向哪里写入数据。
WPS今年7月正式发布的WPS Comate，是WPS 365的核心AI组件——它不是聊天机器人，而是能连接企业数据与业务系统、理解业务口径、执行端到端任务的组织级AI办公入口。当AI从“提供建议”转向“执行任务”，管控安全边界就成了必答题。Comate给出的回答是：Agent上岗的第一件事，不是装技能，而是先分一个独立的“工位”——沙箱。Agent执行的任何代码和操作，都被严格限定在安全边界之内。
这个“工位”的墙，是由操作系统内核砌成的。Comate客户端沙箱不依赖单纯的应用层模拟，而是调用操作系统原生的强制访问控制能力——换句话说，是操作系统内核本身在执行“拦截”，而不是靠应用层软件事后修补。在既定安全策略下，普通应用层进程无法自行突破内核设定的访问范围：Agent只能读写当前任务获得授权的工作区，不能随意接触SSH密钥、浏览器凭证等敏感数据。
客户端还采用视图、执行、宿主三进程架构，通过单向依赖和职责隔离，降低单一进程失陷后向宿主环境或其他进程横向扩散的风险。这套隔离的性能开销低到日常使用中几乎无感知，几乎不额外占用CPU和内存，安全能力不以牺牲日常办公体验为代价。
云端同样不是“一个大房间”，而是“每个任务一间工位”。10月，Fireworks发现一起安全事件：攻击者利用内部凭证，访问了少量客户账户的评测任务环境变量，部分API Key和Token被获取。虽然暂未发现模型、训练数据和推理内容遭到访问，但事件本身说明——当云端Agent同时接触环境变量、第三方密钥和业务系统凭证，执行环境本身就会成为高价值攻击面。
Comate在云端执行引擎中，为每个用户、每个任务提供独立的容器级隔离环境。
进程层面，每个沙箱实例运行在独立容器内，通过受控通道与调度引擎通信，操作过程实时可观测；文件层面，Agent看到的是虚拟文件系统的授权挂载视图，而非宿主机真实路径；网络层面，云端沙箱默认不能访问外网，确需调用外部服务时，必须经过企业网关白名单放行；资源层面，每个实例的CPU、内存、磁盘和带宽均设有硬性上限，避免单个异常任务耗尽资源、影响其他用户。
“工位”的整个生命周期同样受到管控：任务开始时按需创建，空闲时休眠，销毁时清除本地临时文件；工作产物同步至企业授权的云文档空间，不进入非授权的中间存储。
工位有边界，身份有登记
模型对齐解决的是AI“应不应该做”，沙箱解决的是AI“实际上能做到哪一步”。
面对提示词注入等新型攻击，Comate并不承诺识别和拦截每一次恶意指令——这在工程上既不现实，也可能误伤正常任务。它的重点在于控制“被注入之后”的后果：无论AI试图执行什么，它能读取的数据、调用的工具、写入的位置和访问的网络，都不能突破工位边界。
对数据主权要求更高的政企客户，这套沙箱运行时还可以随WPS 365全栈私有化部署整体迁入企业内网。换句话说，AI的工位不仅有墙，而且建在企业自己的楼里。
这套机制已经进入真实业务。金山办公半年报数据显示，WPS Comate已落地11大领域、26个典型专家场景，服务数百家企业。在对数据安全要求最严苛的医疗行业，北京大学第一医院携手金山办公定制开发的WPS Comate智能助手已完成私有化部署并上线。针对医疗业务专业性强、指标体系复杂等特点，Comate为医院构建了适配业务知识和统计口径的AI专家体系。
医院信息中心主任周国鹏介绍，双方合作已从日常办公延伸至临床教学一线：基于WPS Comate等产品构建的PBL临床教学多智能体协同方案已完成技术验证，贯通课前备课、课中分析与课后评估全流程。“面对PBL这种公认的复杂教学场景，此次验证本质上是对多智能体协同架构在复杂真实场景中的一次摸高压力测试，证明了平台具备解决复杂真实场景的工程实力。”他表示，这套系统“能实时诊断、逐轮分析、个性化推荐，真正做到认知可观测、干预可精准、成长可量化”。
当Agent真正进入医院、政务和大型企业，安全管理也不能只靠厂商自我声明。围绕Agent的能力、安全与责任边界，行业治理标准正在加速形成。
对外经济贸易大学数字经济与法律创新研究中心主任许可提出：“无问责，则无安全。”智能体的行为主体难以识别、行动轨迹难以追踪，因此需要区分用户、智能体、工具和外部服务的身份，为责任认定建立可识别、可验证、可追溯的事实锚点。
这一治理思路正在从专家讨论进入行业实践。中国信通院云计算与数字化研究所开源与智能化安全部高级业务主管吴江伟介绍，WPS Comate已通过信通院首批企业级办公智能体与智能编程助手评估，成为首批在智能体与智能编程两大方向均获权威认可的产品。
标准建设也在同步推进。金山办公与中国电子技术标准化研究院共同牵头研制的《人工智能办公大模型系统建设指南》（GB/Z 244—2026），是国内首份面向办公大模型系统建设的国家标准化指导性技术文件。2026年4月，工业和信息化部发布行业标准《人工智能关键技术办公大模型系统技术要求》（SJ/T 12114—2026），同样由金山办公牵头，规定了办公大模型系统的数据层、模型层、平台层和应用层技术要求。
除了给办公大模型“立规矩”，还要给AI员工发“身份证”。今年9月，金山办公WPS Comate等智能体产品获得了统一身份标识——智能体身份码节点，金山办公成为国内AI办公行业首个持有该节点的厂商。一张可识别、可验证、可追溯的“数字身份证”，回答它“是谁、由谁管理、做过什么”；与之配合的沙箱，则规定它“能接触什么、执行什么”。对AI员工的管理，正在形成两条互相配合的边界。
边界之外，还有未竟之问
智能体安全，行业不缺方向共识，难的是把隔离要求落实到每一次任务执行。如何在安全与办公体验之间找到更精细的平衡，如何在误漏报之间把握分寸，如何让越界行为本身“可解释、可归因”，仍是摆在所有厂商面前的开放难题。
从工程实现看，沙箱真正的难点，在于把操作系统安全机制、应用兼容性与企业权限体系三者整合起来。WPS在办公领域38年的长期积累，是Comate实现双端隔离的重要基础：客户端调用操作系统原生安全机制，由内核执行访问约束；云端为每个用户或任务提供独立容器级执行环境，将文件挂载范围限定在会话授权范围内，并衔接WPS 365已有的企业身份与权限体系。
这套设计的价值，在多用户同时使用云端智能体时尤其具体。不同员工处理合同、财务或人事任务，需要各自受控的执行环境，也需要明确的数据访问边界。容器隔离负责约束任务的运行空间，身份与权限体系负责判断任务能访问哪些资料，两者共同降低跨工作区误访问和数据泄漏的风险。这种按任务切分隔离粒度的做法，在同类办公智能体中并不多见。
对WPS而言，安全不是事后加装的模块，而是从办公工程底座里长出来的原生能力。工位有边界，身份有登记，行为可观察，异常能阻断——只有建立起这样的规范化管理机制，数字员工才能真正具备进入核心业务、长期上岗的基础。
“安全应当内嵌为AI模型与生俱来的‘基因’，不可删减、不可违背，不能为追逐模型性能而弱化安全防护。”中国人民大学高瓴人工智能学院吴玉章讲席教授、北京前瞻人工智能安全与治理研究院院长曾毅曾撰文提出，要把安全确立为AI发展的第一性原理，尽可能穷尽各类潜在隐患，前置完成模型安全加固，坚持主动防御，而非出事之后被动补救。
从AI亲手挖出一个潜伏十四年的漏洞，到AI自己也需要被关进有边界的“工位”——这场攻防的命题已经改变。当能力与风险同时增长，安全边界的每一次收紧，都是在为AI真正进入核心业务铺路。
评论 (0)