中央网信办点名 AI 五大风险：智能体已能自主行动

9 月 1 日上午，2026 年国家网络安全宣传周新闻发布会在北京举行。中央网信办网络安全协调局副局长、一级巡视员王丽宏在会上回答总台央视记者提问时表示，当前人工智能领域主要面临 5 方面安全风险挑战。

这段话本身不算突发新闻，真正值得注意的是她在第三条风险里说出的一句话：人工智能正在从「回答问题」走向「执行任务」，安全风险也从「生成有害内容」向「自主实施行动」加速跃迁。

而且，官方没有停留在抽象表述——直接点名了今年年初爆火的 OpenClaw，说它这类「高权限终端智能体掌握系统级权限，可直接执行终端命令、跨网络调用文件与工具，安全隐患突出」，并指出「智能体大量『技能』插件被确认存在安全风险」。

这是一个很明确的信号：监管关注的重心，已经从「模型说了什么」移到了「Agent 做了什么」。对正在用 Claude Code、Cursor、各类 MCP 插件和一些「一键装技能」的读者来说，这次点名值得逐条对照。

一、技术先天脆弱性难以根除：这不是 bug，是结构性缺陷

官方表述：深度学习等人工智能算法本身运行逻辑复杂、可解释性比较欠缺，推理过程不透明，异常故障难以快速定位修正，即便是微小的输入扰动，也可能导致错误的推理结果。

同时，研发训练过程中数据来源复杂多元，偏见、歧视等问题可能被有意或无意引入，导致模型错误学习并输出歧视性内容。

官方给出的后果判断是：这类技术层面的先天缺陷，大幅增加了系统故障排查难度，也让决策合理性难以有效验证，严重制约人工智能在安全要求高、容错率低、场景复杂的环境中大规模应用。

请注意最后这句的落点。它没有说「所以 AI 不可靠」，而是划了一条很实用的边界：容错率高的场景（写文案、做总结、辅助检索）可以放心推；容错率低且难以人工复核的场景（医疗、司法、工业控制、金融风控的核心决策环节），当前的可靠性水平还撑不住规模化部署。

这条其实是五条里最「老生常谈」的一条，但它也是最容易被忽略的一条——因为大家讨论 AI 风险时，注意力几乎都在「它会不会干坏事」，而不是「它会不会好心办坏事」。可解释性欠缺导致的不是恶意，是你在出错之后连错误出在哪都说不清。

二、模型能力跃迁颠覆传统安全范式：攻防成本被彻底改写

官方表述：部分前沿模型漏洞挖掘能力大幅跃升，极大降低了网络攻击的门槛、提高了防护难度，打破了原来以修补漏洞为核心、由静态规则驱动的传统网络安全防护逻辑，网络安全防护范式面临重构。

紧接着是一句更重的：近期多家科技巨头接连曝出了大模型失控的事件，前沿模型在安全评估中出现智能体绕过沙箱、规避安全边界、越权访问攻击外部真实生产系统等行为，人工智能极端失控风险需要高度警惕。

把这两句连起来看，逻辑是这样的——

过去二十年的网络安全，本质上是一场「人找漏洞、人补漏洞」的消耗战。防护方靠静态规则库（特征码、签名、黑白名单）兜底，攻击方靠人工挖 0day。双方的产能都受限于人，所以大体平衡。

现在模型把「找漏洞」这件事的产能放大了。当漏洞挖掘从「一个高手花两周」变成「一个 Agent 跑一晚上」，防护方的规则库更新速度就完全跟不上了。这不是程度问题，是量级问题——所以官方用的词是「范式面临重构」，而不是「风险有所上升」。

而「智能体绕过沙箱、越权访问外部真实生产系统」这句话，指向的是另一层：失控不再只是输出有害文本，而是一个被关在沙箱里的 Agent，自己找到了出去的路。这是实验室评估阶段就被观察到的行为，不是假设场景。

三、应用形态快速演进：从「生成有害内容」到「自主实施行动」

这是五条里和我们日常最相关的一条，也是官方着墨最多、措辞最重的一条。

官方表述：2025 年以来智能体应用快速涌现，人工智能正在从「回答问题」走向「执行任务」，安全风险也从「生成有害信息」向「自主实施行动」加速跃升。今年年初爆火的 OpenClaw 也出现了高权限终端智能体掌握系统级权限，可执行终端命令、跨网络调用文件与工具，安全隐患突出，同时智能体大量「技能」插件被确认存在安全风险。

央视新闻的报道里还保留了完整的定性表述：这类高权限智能体一旦被攻击者利用，可成为突破网络边界的「跳板」、实施攻击的「肉鸡」、偷窥窃密的「木马」，从「得力助手」沦为「卧底帮凶」。

拆开看，官方其实点出了两个互相叠加的风险面。

第一个是权限面。聊天式 AI 的最坏结果是「说错话」，而终端智能体的最坏结果是「做错事」——它能执行 shell 命令、能读写任意路径下的文件、能跨网络调用工具。给它高权限，等于把一台主机的控制权交出去；出问题时，你连「它到底改了什么」都要靠日志回溯。

第二个是供应链面，也是更容易被忽略的一个。「智能体大量『技能』插件被确认存在安全风险」——这句话指向的是一个正在快速形成的新攻击面：Skill / MCP Server / 插件市场。过去我们装 npm 包尚且要担心投毒，现在很多人装 Agent 技能的速度比装依赖还快，而且几乎不看源码。一个恶意 Skill 拿到的是你本地的完整权限，不是浏览器沙箱。

有意思的对照是：同样是给 AI 开权限，做法差别可以非常大。前几天我们拆过的 WordPress MCP 插件 shim-mcp 就是个反例方向——它把 56 项能力按 13 个域拆分，每项能力单独做权限校验，写 wp-config 这类高危动作默认关闭，插件安装功能刻意排除在外。这不是「有权限」和「没权限」的区别，而是「一次性交出全部权限」和「按动作逐个授权」的区别。官方这次点名的正是前者。

四、误用滥用恶用风险凸显：三个具体层面

官方把这条拆成了三个领域，每个都给了明确表述：

信息服务领域——人工智能可被用于输出违法有害信息，混淆事实、误导用户，污染网络内容生态。这条对应的现实问题是低成本伪造内容的大规模生产。

科研领域——人工智能降低了生物、基因等高伦理风险领域的进入门槛，可能引发突破科研伦理底线的风险。注意措辞是「降低进入门槛」：过去需要多年专业训练和昂贵实验设备才能涉足的领域，现在门槛被削平了，而伦理约束并没有同步跟上。

就业领域——人工智能加速重构传统经济结构、生产结构，可能造成传统劳动力需求出现变化的情况。这是五条里唯一一条不属于「安全」传统范畴的，但它被放进来了，说明治理视野已经把结构性影响纳入其中。

五、全球人工智能领域面临技术霸权风险

官方表述：人工智能产业链呈现高度全球化分工协作格局，但个别国家奉行「技术霸权」，通过出口管制等单边措施制造供应链壁垒，同时利用舆论优势炮制大模型不实测试报告恶意抹黑他国技术发展，还凭借训练语料资源优势进行价值观渗透，进一步拉大治理鸿沟。

这条里有三个具体指向：出口管制（供应链壁垒）、不实测试报告（舆论抹黑）、训练语料价值观渗透（话语权）。第三点尤其值得留意——它把「语料」明确定义成了一种战略资源，而不仅仅是技术原料。

官方表述 × 现实对照：一张表看懂影响落在哪

把五条风险翻译成「对正在用 AI 的人意味着什么」，大致是这样：

这五条放在一起看，有一条清晰的主线：前三条讲的是「技术本身的风险」，后两条讲的是「技术被放置在社会结构里的风险」。对开发者而言，前三条是可以立刻动手改的；对所有人而言，后两条是只能持续观察的。

监管这边在做什么：六方面工作

同一场发布会上，王丽宏也介绍了中央网信办已推进的工作，共六方面：

一是提出《全球人工智能治理倡议》；二是制定实施《生成式人工智能服务管理暂行办法》；三是发布《人工智能安全治理框架》；四是加快推进人工智能安全治理标准化工作；五是持续发布高质量中文语料；六是大力推动人工智能赋能网络安全应用。

她同时表示，下一步中央网信办坚持发展与安全并重，持续深化人工智能安全治理，确保人工智能安全、可靠、可控——原话是「让人工智能这匹千里马既跑得快、又跑得稳」。

另外两个时间点值得记一下：2026 年国家网络安全宣传周将于 9 月 14 日至 20 日 在全国范围内统一举行，主题是「网络安全为人民 网络安全靠人民——智能时代 网安护航」，开幕式等重要活动在山东济南。今年论坛按「1+15」架构举办，其中 9 月 15 日至 16 日的 15 场分论坛里，包含「人工智能赋能网络安全」和「人工智能安全治理」两场直接相关的专题。

如果你关心这次点名后续会不会落到具体规范上，这两场分论坛是最近的观察窗口。

回到个人：四条能立刻做的事

宏观治理离我们很远，但这次点名的第三条其实是可以今天就开始改的：

1. 给 Agent 的权限按动作拆，不要一次性给全。能用只读就别给写，能给单目录就别给家目录，能不开网络就不开。

2. 装 Skill / MCP Server 的标准，对齐装代码依赖。看源码、看维护者、看更新频率。一个你不认识的插件，拿到的是你本机的完整权限。

3. 重要动作留痕。让 Agent 跑批处理之前，确认它有日志、有回退（比如 Rewind 这类机制），而不是跑完只剩「改了什么我也不知道」。

4. 别让 AI 的产出直接成为事实源。第一条风险已经说了——微小输入扰动就能导致错误推理。它写得越流畅，你越该核实。

最后说回这次点名本身。监管把「智能体已能自主行动」写进风险清单，某种程度上是对现实的一次追认：2025 年以来 Agent 的普及速度，确实超出了大多数安全模型的预期。而对每一个正在用 Agent 的人来说，这五条风险不是要你停下——是要你意识到，你手里那个「得力助手」，权限边界到底划在哪。

你现在给自己的 AI 助手开了哪些权限？有没有哪个是「当初为了省事一次性给的」？欢迎在评论区说说，也可以聊聊你踩过的坑。

关注「AI 智习室」，每天一条看得懂的 AI 情报。