引言：Agent 从「能干」到「敢不敢用」#

做数据这行的都知道，Agent 讲到现在，最不缺的就是「能」

能写 SQL，能跑脚本，能连集群，能扒日志，能翻出一些意想不到的问题

上一篇文章里我聊过给 Agent 装手脚，本地、数据集群、云运维三层权限一路放开，效率确实很爽

但爽归爽，每次它真的去 rm -rf ，真的去改线上文件的时候，我心里那条线是绷着的

这不只是我一个人的错觉

10 月 30 日，在 2026 腾讯全球数字生态大会 WorkBuddy 超级组织专场，腾讯发布了《WorkBuddy 企业版安全白皮书》

白皮书把企业应用 Agent 的核心顾虑归纳成了四类，我一看，简直是我心里那几根刺的逐字回放

这篇文章就不重复官方通稿了，我从一个工程师和数据人的视角，结合白皮书内容，把它的安全架构拆开看看，到底是怎么让「敢用」变成「放心用」

企业真正怕的四件事#

先看白皮书归纳的四个问题，问法特别直白：

会不会失控，或者背着我干坏事
会不会乱删我的东西，能拿回来吗
我能知道它做了哪些事情吗
会不会泄露我的数据和隐私

翻译成人话就是：失控、误删、黑盒、泄密

为什么企业会有这四怕，根本原因在于，Agent 的能力比以前的工具强太多了

它不光能帮你写 SQL，还能读写终端文件、在终端执行命令

为了完成任务，它还要拿到员工的账号、API Key、企业系统访问凭据

你以为你只是开了个聊天窗口，实际上你是给了Agent一把能进库的钥匙

更麻烦的是，Agent 的能力还能通过技能和连接器不断扩展

今天它只会查表，明天它能连你公司的 CRM、能访问云平台，外围能力越多，风险面越大

所以在企业场景里，安全不是「做完 Agent 之后补一个模块」，而是「Agent 能不能进来」的前置条件

深扒 WorkBuddy 的安全架构#

白皮书把这套防线拆成四道：事前识别、事中拦截、事后恢复、全程留痕

对应到日常路径，就是四道墙，我从底层到顶层一个个拆

第一道墙：行为可控，原生级沙箱#

这道墙解决的是「乱删乱改」和「执行危险命令」

WorkBuddy 客户端在 Mac、Windows、Linux 上提供原生级沙箱

关键在「原生级」三个字，它不是套一个软壳，而是把文件读写和命令执行收敛在授权的工作目录里，目录以外默认不可写

这招对数据的价值在于：你把 Agent 放进了一个边界清晰的「笼子」里再谈「自由」

具体到安全规则，几个数字值得记一下：

8 类敏感路径默认受保护：SSH 密钥、云平台凭据这一类，Agent 默认碰不到
内置预设文件规则 106 条：这些是沉淀出来的高频风险规则
rm -rf、sudo 等高危命令默认前置询问：不是不让你用，而是给你一个确认的机会

员工层面还能随时终止任务，关闭客户端时沙箱随之退出，并回收 Agent 拉起的全部后台进程

这一点从工程上讲非常关键

很多 Agent 安全问题出在「任务结束了，后台进程还活着」，一个挂在后台的 shell 是比模型幻觉更恶心的事故，沙箱退出即回收，等于把这个后门一起关了

白皮书还强调了一句：无论对话进行多少轮，执行层的硬性规则都不受影响

什么意思，就是这条底线是写死在执行层的，不归模型管

模型可以聊嗨了，执行层该拦的还是拦，这是架构上的硬隔离，不是策略上的劝导

第二道墙：过程可溯，统一审计中心#

第二道墙解决「黑盒」

Agent 到底干了什么，以前是说不清的，现在要求全程留痕、可查询、可导出

白皮书里两条最实在

一条是拦截与放行事件统一进审计中心

每次拦截，都说明拦了什么、依据哪条规则

这意味着你看日志的时候，能看到的不只是「一条权限被拒」，而是「为什么被拒、触发了哪条规则」，这对排查 Agent 的异常行为非常关键

对做数据的人来讲这很熟悉，它本质上就是一份带 context 的审计日志，比裸的 deny 记录有价值得多

另一条是管理端操作日志覆盖六要素：操作内容、操作人、IP、时间，再加上身份和调用链，一共六项

谁、在什么时间、从哪个 IP、发起了什么操作、调了什么能力，全对上

不要小看这六要素，它正是合规审计和事后追责的地基

出了问题不是跟 Agent「对质」，而是直接拉日志还原现场

第三道墙：数据可管，本地识别 + 可信计算#

这道墙解决「泄密」，也是跟数据人最相关的一道

核心思路是：敏感数据不出网

WorkBuddy 在三个入口做本地识别：

输入框，用户打字进去的东西
工具返回，Agent 从外部工具拿回来的数据
数据外发，Agent 要把数据发出去的瞬间

这三个点全部在本地完成识别，识别依据是「允许放行、加密保护、拒绝」三种策略之一

识别和脱敏过程全程不出网，敏感信息没必要送往云端去判断，本地就地解决

这一点在工程上特别值得抄作业

很多企业的数据防泄漏（DLP）都是靠网关抓流量，但它拦不住「模型自己拼一句话带出来」这种隐形出口，WorkBuddy 的做法是把检查点前移到 Agent 的输入输出边界，从源头掐

再往上，是推理侧的 Trusted Execution Environment，也就是可信计算

白皮书里可选 TC-AICC 可信计算，它的承诺是：明文只在客户端与可信执行环境内可见，云服务商和运维人员都无法访问，传输环节用 TLS 1.2+ 加密

对金融、政企这类明文敏感的场景，这条基本是把「模型偷偷把数据记下来」这条路也堵上了

兜底：误删误改的回滚机制#

前面几道墙挡的是「还没发生」，这道墙处理的是「已经发生了」

白皮书给了一套完整的兜底：

Agent 每轮修改文件前自动备份
删除操作默认移入系统回收站
一次删除或修改的文件数量超过阈值时自动暂停，等待确认
一轮任务产生的全部改动可整体回滚

这套设计最聪明的地方在于「每轮备份 + 整体回滚」

我自己的体会是，Agent 出错往往不是单个文件，而是一连串操作一起错

如果只做单文件快照，一旦它跑了十几轮，你很难手动拼出「出错前的那一刻」，按轮备份、按轮次整体回滚，等于给时间机器打了个版本区间，一个命令就能回到故障点之前

生态安全与终端防线#

Agent 的能力是靠技能和连接器扩展的，第三方生态就是最大的活水，也是最大的风险口

白皮书对第三方生态有一套全生命周期检测：

提交上架时，先过风险文件检测 + 沙箱行为检测，确认不含恶意文件和高危行为
然后再进开发者实名与资质核验
接着是真实任务能力评测
上架后持续接受动态检测

这不是一次性的上架检查，而是持续盯着的

白皮书给了一个很能说明问题的数字：过去三个月，拦下了超过 300 个问题技能与专家上架

300 个听起来不多，但想想这些如果都放进来，每条都是一根接入你企业数据的管道，你就知道这道闸门多值钱了

另外，WorkBuddy 还联合腾讯 iOA 把防护延伸到终端环境：识别并管控未经审批的「影子 AI 应用」，检测终端病毒与漏洞，防止企业敏感数据通过 Agent 外泄到互联网

「影子 AI」这个词值得单独记一下

企业内部员工自己装的、绕过 IT 审批的 AI 工具，往往是数据外泄的高发区，把终端也纳入管控，等于补上了「人不经意间开的后门」

用数据说话：落地与认证#

讲完架构，看看这套东西是不是只是 PPT

数据是硬凭证：

自 2026 年 3 月初上线以来，WorkBuddy 已迭代 100 个大版本
累计完成 90 亿次用户任务请求
企业版落地政务、教育、零售、金融、传媒、出行等 50 多个行业
覆盖到 50% 的中国企业 500 强

行业案例里，金融最值得参考，因为金融对安全的敏感度最高

能过金融的，基本在别的行业也能站住，白皮书里提到，WorkBuddy 已入职中信建投证券、中金公司、华泰保险集团、泰康保险集团、渤海银行等超 250 家金融机构，进入对公信贷尽调、投研投顾、合规审查、客户经营、财富资配等上百个业务场景

政务侧，依托广东省政数局打造的全国首个省级政务智能中枢「湾擎」，湾擎·WorkBuddy 已成为广东公务员的数字助理

认证层面的含金量也够：

首批通过中国信通院「可信 AI-智能助理智能体（Claw）」评估
全国首个、且目前唯一获颁 CCIA「自动化决策-智能助理（Claw 类）二星+ 级标识证书」
通过国家互联网应急中心安全众测，获评 Claw 类智能体应用优秀产品
内置的 TC-AICC 可信计算，获评信通院「企业级大模型推理安全成熟度」最高等级「引领级」
参编了深圳《人工智能可信办公智能体标准体系》

对冷静的工程师来说，认证和落地案例加在一起，才构成「这套架构不只是演示」的信心来源

给做数据和做 Agent 的同事，几点能抄的#

拆完别人的白皮书，我自己的收获其实不在「WorkBuddy 多安全」，而在于一套可复制的 Agent 安全设计原则，这几条谁做 Agent 都值得抄：

1. 安全边界放在 Agent 动手之前，还必须是硬性的

不是靠提示词「请谨慎操作」，而是靠执行层的硬隔离

目录边界、命令白名单、高危命令前置确认，这些是架构写死的，不依赖模型自觉

我上一篇文章里说「读操作放开，写操作必须过确认」，跟这套思路是一致的，只是 WorkBuddy 把它做得更系统

2. 审计日志要带 context，六要素打底

操作内容、操作人、IP、时间，这四样是最低配

建议你加上「调用链」和「生成的可执行命令」两样，追事故的时候能直接还原现场

3. 敏感数据本地处置，别什么都送云端判

把 DLP 检查点前移到 Agent 的进出边界，识别、脱敏在本地做完，需要强保障再上 TEE

这个思路不挑产品，任何接敏感数据的 Agent 都适用

4. 误删误改要走「版本区间回滚」，不是单文件快照

按轮备份、按任务整体回滚，比逐文件恢复实用得多

真出了连锁错误，一条命令回到故障点，比手工拼状态香十倍

5. 第三方生态要有全生命周期闸门

上架前静态、动态检测，上架后持续盯

别只看「今天的技能」，要看「这条管道一直开着」

最后说两句#

回到文章开头那句话：Agent 不缺「能」，缺的是让人「敢用」

这次白皮书的价值，不在于给 WorkBuddy 加了多少宣传噱头，而在于它把「企业级的 Agent 安全」从一句口号，拆成了可落地的四道防线：事前识别、事中拦截、事后恢复、全程留痕，并且每个环节都给了可量化的承诺

对做数据、做平台、做 Agent 应用的我们来说，这其实是一份很实用的「安全基线清单」

当 Agent 越来越接近真实业务、真实数据的时候，安全就不再是附加题，而是规模化落地的必答题

而解开这道题的关键，不在模型本身，在于我们能不能把「敢用」和「放心用」之间的那道防线，老老实实地修好

历史相关文章#

以上是自己实践中遇到的一些问题，分享出来供大家参考学习，欢迎关注微信公众号：DataShare ，不定期分享干货