通用方法 · 熟练
强制性国标来了：你的智能体过得了这八条吗？
八条不是八个功能，是八个「能不能进市场」的开关
《智能体应用安全基本要求》已经立项，计划号 20263116-Q-252 —— 由中央网信办归口、中国移动等牵头起草，项目周期 18 个月，是全球首部面向智能体安全的强制性国家标准。它和以往那些安全指引的区别只有一个字：强制。推荐性标准你做不到只是「不够好」，强制性标准你做不到就是「进不去」—— 不满足即无法通过检测、认证与准入审核，安全从上线前的一笔开销变成了一张门票。这一页把那八条强制核心条款翻成你今晚就能对着勾的自查表：身份标识、系统权限调用、工具调用、数据收集使用、高风险操作人工介入、输入输出安全防护、日志留存与动态监测、异常阻断与紧急关停。判据一句：这八条问的都不是「你有没有做这个功能」，而是「出事那一刻你拿不拿得出来」。
方法 · 一图看懂
1
身份标识 — 不是「有一个账号」，是每个智能体实例、每个动作都能追到是谁发起的；⛔ 共用一把密钥 = 这一条不成立
2
系统权限调用 — 权限按需给、用完收（有租期），⛔ 不一次性发下去也不长期不收
3
工具调用 — 调了什么工具、以什么参数调、谁批的，三样都留得下
4
数据收集使用 — 收哪些字段、用在哪、留多久，先写清再收；⛔ 不边收边想
5
高风险操作人工介入 — 把「必须人点头」的动作列成清单并落进系统（付款 · 发信 · 删除 · 发布 · 改权限），⛔ 不靠人记得
6
输入输出双面防护 — 加日志留存与动态监测与异常阻断与紧急关停：出事时能停、停了能查、查完能复测
原理 · 为什么有效
这八条为什么不按「功能」组织、而按「环节」组织：传统 AI 应用的风险停在内容输出层（说了什么），智能体的风险扩散到自主行动层（做了什么）。信息泄露不再只是数据库被拖走，而是智能体在自主行动中把敏感数据发给了不该接收的对象；权限失控不再只是账号被盗，而是它被诱导执行了高危操作；工具滥用不再只是 API 被刷，而是它调用了支付、通信、调度这类关键接口。⇒ 所以这八条里的每一条，都对应一个「你能不能在事后回答清楚」的问题：谁做的（身份）· 凭什么能做（权限）· 做了什么（工具调用）· 动了什么数据（数据收集使用）· 谁同意过（人工介入）· 进来和出去的东西对不对（输入输出防护）· 有记录吗（日志与监测）· 停得下来吗（阻断与关停）。一句话：这八条不是八个要开发的功能，是八个要在架构里留出的位置。
适用场景
三类人最该现在就看：① 正在把 agent 用进生产流程的人（哪怕只是自家的定时任务与自动化）—— 你不做产品也要能回答「它出了事我停得下来吗」；② 做智能体产品、或准备上架的团队 —— 标准实施配套的是检测认证体系，@ 现在把八条对齐，验收时会省一轮返工；③ 采购 / 集成第三方 agent 的负责人 —— 这八条正好是一张问供应商的问题清单。一个前提要说清：本页做的是「对标标准框架的架构自查」，⛔ 不替代专业安全测评与渗透测试；标准正式实施后仍以官方发布的条款与配套检测要求为准。
自测 · 6 问
随便挑一个智能体动作，我能说出它是「哪个实例、以什么身份」发起的吗
我的 agent 用的密钥 / 凭据，是每个实例一份，还是几个人共用一把
它调用过的工具，我能调出「调了什么 · 参数是什么 · 谁批的」这三样吗
它收的数据里，有没有哪一项我自己也说不清「存在哪、留多久」
付款 / 发信 / 删除 / 发布 / 改权限这五类动作里，有哪些是它现在可以自己做、不需要人点头的
如果它此刻正在做一件危险的事，我能在多长时间内把它停下来；停下来之后，我拿什么复测它恢复正常了
怎么上手 · 验证步骤
先做一次只花二十分钟的分级：把上面八条各标成三档 —— A 已经能回答、B 知道去哪查、C 现在答不上来。多数人第一次做会发现自己卡在「工具调用」和「日志留存」两条上（因为这两条平时没人问），而「身份标识」和「权限」往往被误判为 A（其实是共用密钥）。标完之后只动一个 C：优先做「高风险操作人工介入」那一条，因为它是八条里唯一一条纯约束、不需要新基础设施就能落地的 —— 把五类动作列成清单，改成需要人点头，一个下午能做完，而且立刻降低最坏情况的上限。
每次改动 agent 的能力之后，回头只问三件：它的身份变了吗 · 它多拿了什么权限 · 它新调了哪些工具。三件都能一句话答上，说明你的八条没有随功能漂走。另一条更硬的判据：随手挑一次最近的真实操作，试着把「谁（身份）· 凭什么（权限）· 做了什么（工具与参数）· 谁批的（人工介入）· 留下了什么（日志）」五格填满 —— 能填满，说明这套机制是真的在跑；填不满的那一格，就是下一轮要补的位置。