WorkBuddy企业版安全白皮书 AI Agent全链路安全管控体系

WorkBuddy企业版安全白皮书AIAgent全链路安全管控体系WorkBuddy产品团队WorkBuddy企业版·安全白皮书©2026腾讯云计算（北京）有限责任公司版权所有。本白皮书著作权归腾讯云计算（北京）有限责任公司（以下简称“腾讯云”）单独所有，未经腾讯云事先书面许可，任何主体不得以任何形式或理由复制、修改、抄袭、传播、公开全部或部分内容。“腾讯”“腾讯云”“WorkBuddy”“CodeBuddy”及其他与腾讯云服务相关的商标、标识均为腾讯云及其关联公司各自所有。本白皮书涉及的第三方主体的商标，依法由其权利人所有。本白皮书旨在向读者介绍本白皮书撰写时WorkBuddy产品与服务在安全方面的整体概况，仅供参考。对于本白皮书中所描述的信息和内容，腾讯云不作明⽰或默⽰的保证。部分产品能力可能因技术调整、版本迭代或项目设计等原因发生变化，恕不另行通知；文中标注“规划中”的能力为产品路线图信息，不构成交付承诺。您所购买、使用的产品与服务的种类、内容、服务标准等，应以您与腾讯云之间签署的合同约定为准。本白皮书未授予您任何腾讯产品的任何知识产权的法律权利。如对本白皮书有任何疑问、建议或投诉，请联系WorkBuddy团队（workbuddy@或通过腾讯云工单系统与我们联系；涉及个人信息与数据隐私的问题，可发送至dataprivacy@。2026年10月29日第一版，后续将跟随安全能力升级持续刷新。WORKBUDD>01序言0102Agent时代企业安全边界的变化032.1风险从内容扩展到行为032.2传统安全手段不够用032.3从风险变化到四类关切0403WorkBuddy安全理念063.1安全理念063.2安全目标063.3安全内建于架构073.4安全责任共担建议083.5WorkBuddy产品形态093.6WorkBuddy整体安全架构0904合规性124.1权威安全资质124.2数据使用承诺1205国产适配1406企业用戶关切一：会不会失控，或者背着我干坏事？166.1WorkBuddy客戶端安全176.2WorkBuddy-AIGC内容安全196.3WorkBuddy-访问MCP安全226.4WorkBuddy-自定义模型出站访问安全2207企业用戶关切二：会不会乱删我的东西，能拿回来吗？257.1把影响范围限制在授权目录内257.2把可恢复作为默认能力2608企业用戶关切三：我能知道它做了哪些事情吗？288.1WorkBuddy安全审计日志298.2网关与终端侧的补充审计3009企业用戶关切四：会不会泄露我的数据和隐私？329.1数据隔离与使用边界339.2WorkBuddy-DLP敏感信息保护339.3WorkBuddy-TC-AICC可信计算359.4WorkBuddy网络传输安全3710WorkBuddy云端沙箱安全3910.1适用场景与安全要求3910.2入站与出站防护3911终端纵深防御：WorkBuddy×iOA4211.1影子AI识别管控4311.2终端病毒与漏洞防护4311.3业务安全访问4411.4Agent数据防泄密4511.5企业与个人账号访问治理4711.6安全运营与效能分析4812企业专享版安全介绍5212.1定义与部署架构5212.2架构安全四要点5212.3企业专享版与企业旗舰版安全功能差异5212.4从四类关切看企业专享版5213企业私有化版安全介绍5513.1定义与部署架构5513.2架构安全要点5513.3企业私有化版和企业旗舰版安全功能差异点5513.4从四类关切看企业私有化版5513.5三种形态安全能力对照5614企业安全使用建议5814.1上线前：划清边界5814.2上线时：收紧默认策略5814.3日常运营：持续治理5814.4按四类关切的配置检查清单5915常见问题解答6115.1关于关切一：会不会失控6115.2关于关切二：会不会误删6215.3关于关切三：能不能追溯6215.4关于关切四：会不会泄露6215.5其他问题6316结语65012025年以来，AI从“能对话”快速演进到“能干活”。以DeepSeekR1为代表的推理模型突破，让模型具备了自主规划与多步推理能力，以OpenAI、CodeBuddy为代表的编码智能体，以OpenClaw为代表的桌面通用智能体，则Engineering，行业共识愈发清晰：决定AI生产力上限的，不再是单一模型的参数规模，而是承载模型持续、稳定、安全地完成真实工作的那套运行系统。2026年3月WorkBuddy发布，企业AI工作台形态成型，AI从个人助手走向组织级生产力平台。这一转变带来的最直接后果是：安全边界变了。传统AI应用的风险主要集中在“说错话”—内容合规、幻觉、口径偏差；AIAgent继承并放大了这些风险，同时把风险扩展到了“做错事”—删错文件、执行危险命令、把敏感数据外发、加载被投毒的第三方能力包、越权访问企业系统。破坏半径从“一段文本”扩大到“一台终端+一批企业系统”，且多数操作一旦发生便难以回滚，Anthropic在发布其桌面智能体Cowork时，同步发布了安全使用指引，明确提⽰提⽰词注入与误删文件的风险。这意味着，传统SaaS的安全评估维度—传输加密、多租戶隔离、身份认证、可用性与资质—依然是必要条件，却已不足以覆盖AIAgent的真实风险。企业在评估一款Agent产品时，真正想问的是什么？经过梳理，我们发现企业与员工的安全顾虑高度集中，可以归纳为四个朴素的问题：“会不会失控，或者背着我干坏事？”、“会不会乱删我的东西，能拿回来吗？”、“我能知道它做了哪些事情吗？”、“会不会泄露我的数据和隐私？”,这4个问题的关键本质分别是：“越权访问、恶意访问与失控”、“数据完整性与可恢复”、“审计与取证”、“数据资产与敏感数据防护”。其中，企业用戶最集中的担忧是“失控”，接近三分之二；其次是“泄露”。四个问题背后，是Agent安全的两条主线“行为可控”和“数据安全”，行为可控指的是：“不能干坏事→干高危的事要先授权→干了什么我要能知道”，数据安全指的是：“数据不被别人看到→数据不能丢失→丢失了可以找回”。过去20多年，腾讯始终把安全放在最高优先级，组建了国内最顶尖的安全实验室矩阵。在AI发展布局中，安全依然是我们的首要考量。安全不能靠事后补丁，也不能只靠提⽰词约束，而要从产品设计之初就成为原生能力。具体来说：一是行为可控。AI代表谁、能看什么、能做什么，必须先定义清楚；运行过程中，也要能监控、能干预、能叫停。在WorkBuddy中，用戶输入会先经过安全检测，隐藏的恶意指令会被识别和清洗；Skill、MCP等扩展能力加载前，也要通过安全校验；删除关键数据、修改业务记录、越权访问等高危操作会被直接拦截，不确定操作则交给用戶确认。二是过程可溯。未来Agent作为数字员工在企业场景，也需要分级权限治理；Agent看过什么数据、调用过什么工具、执行过什么动作，都要有记录，每个Agent都有独立身份，并纳入企业统一账号和权限体系。企业管理员可以按人、按时间、按Agent定位问题，也可以统一配置规则，限制数据外发和高危操作。对合规要求更高的企业，还可以禁止个人版在内网登录，确保企业数据只在企业环境中流转。三是数据可管。企业选择AI，最不放心的是数据：存在哪、怎么传、交给模型处理安不安全、万一被误删能不能找回来？我们给出的方案是：全程加密，兜底恢复。一方面，企业使用腾讯AI产品，包括调用云端模型时，私有数据从终端、传输到存储全程加密。对安全要求更高的场景，我们还支持模型锁定和机密计算，让敏感任务在私域内完成推理。另一方面，我们也把恢复能力提前设计进产品，万一出现误删除、文件覆盖或数据损毁，可以做文件级修复和恢复，避免一次意外变成不可挽回的业务损失。Agent时代企业安全边界的变化Agent时代企业安全边界的变化032.1风险从内容扩展到行为过去两年，企业引入的AI主要是问答助手：员工提问，模型回答，最终由人决定怎么用，风险集中在回答本身—说错了、说了不该说的。AIAgent不一样：它拿到任务后会自己拆解步骤、自己打开文件、自己执行命令、自己调用企业系统的接口，最后直接交付成果。这意味着：AI拿到了“⼿”：它能读写员工电脑上的文件、在终端执行命令、访问网络。模型的一次误判，结果不再是一段错误文字，而是一次真实的操作。AI拿到了“钥匙”：为了完成任务，Agent需要员工的账号、APIKey、企业系统的访问凭据。这些凭据一旦进入模型上下文或被外发，就可能脱离企业控制。AI接上了“外部能力”：Agent通过安装第三方技能（Skill）、连接器（MCP/CLI）扩展能力，这些能力包来自开放生态，质量与可信度参差不齐。2.2传统安全手段不够用传统企业安全体系是围绕“⼈”和“确定性软件”建立的，AIAgent同时打破了这两个前提：维度传统办公软件AIAgent谁在操作人，操作意图明确人+代表人行动的Agent，意图需要从自然语言推断行为是否可预期功能固定，行为可穷举每一步由模型动态生成，规则无法完全覆盖攻击入口漏洞、钓鱼、弱口令新增提⽰词注入：藏在网页、文档、邮件里的一段文字，就可能诱导Agent执行攻击者的意图。权限边界按账号授权，人很少越权Agent继承员工的全部权限，且会主动尝试完成任务，越权概率显著上升。供应链经过审批采购的软件员工可自行安装的技能、连接器、模型，来源分散、更新频繁审计对象谁在什么时间做了什么操作还需追溯“用戶意图→模型规划→工具调用→产出结果”的完整链路结论是：传输加密、多租戶隔离、身份认证这些传统要求依然必要，但已经不够。企业还必须回答新的问题—Agent能碰哪些文件？能执行哪些命令？能连哪些地方？装进来的技能可信吗？出了事能不能查清楚？Agent时代企业安全边界的变化042.3从风险变化到四类关切序言中的四类关切并不是孤立的担忧，它们都可以追溯到Agent新拿到的“⼿”“钥匙”和“外部能力”：关切风险从哪里来典型诱因关切一会不会失控“⼿”+“外部能力”：Agent能执行命令、访问网络、调用企业系统模型幻觉生成危险命令网页、文档、邮件中的提⽰词注入多轮越狱诱导恶意技能或被入侵的MCP服务关切二会不会误删“⼿”：Agent直接读写员工终端上的文件批量重命名、移动、整理时路径或范围出错新版本被旧版本覆盖关切三能不能追溯不确定性：每一步由模型动态生成，事前无法穷举事后需要还原“用戶意图→模型规划→工具调用→产出结果”，并说明哪些操作被拦截、依据哪条规则关切四会不会泄露“钥匙”+“外部能力”：Agent接触凭据与企业数据，并可能把它们带出企业边界员工把密钥、客戶名单贴进对话工具返回的业务数据随上下文外发被投毒的技能窃取本地文件推理过程中数据在云端可见因此，回答这四个问题不能只靠事前审批或事后补救，而要在Agent运行的每一个环节同时布防：数据进入上下文之前识别，命令执行之前拦截，文件修改之前备份，所有行为同步留痕。WorkBuddy安全理念WorkBuddy安全理念063.1安全理念WorkBuddy以“可控、可溯、可管”为安全目标，围绕企业对AIAgent的四类核心关切——会不会失控、会不会误删、能不能追溯、会不会泄露，构建“事前识别、事中拦截、事后恢复、全程留痕”四道防线：敏感信息在本地识别并加密保护，越界操作在执行前由系统机制拦下，误删误改可整轮回滚，每一次拦截与放行均有据可查。在此之上，企业侧依据审计结果持续收紧策略，员工侧规范使用、人机协同把关，形成“识别一拦截一恢复一留痕一治理一规范”的持续优化闭环。3.2安全目标WorkBuddy以“可控、可溯、可管”为目标，为企业用上Agent提供安全保障：一是行为可控。AI代表谁、能看什么、能做什么，必须先定义清楚；运行过程中，也要能监控、能干预、能叫停。在WorkBuddy中，用戶输入会先经过安全检测，隐藏的恶意指令会被识别和清洗；Skill、MCP等扩展能力加载前，也要通过安全校验；删除关键数据、修改业务记录、越权访问等高危操作会被直接拦截，不确定操作则交给用戶确认。二是过程可溯。未来Agent作为数字员工在企业场景，也需要分级权限治理；Agent看过什么数据、调用过什么工具、执行过什么动作，都要有记录，每个Agent都有独立身份，并纳入企业统一账号和权限体系。企业管理员可以WorkBuddy安全理念07按人、按时间、按Agent定位问题，也可以统一配置规则，限制数据外发和高危操作。对合规要求更高的企业，还可以禁止个人版在内网登录，确保企业数据只在企业环境中流转。三是数据可管。企业选择AI，最不放心的是数据：存在哪、怎么传、交给模型处理安不安全、万一被误删能不能找回来？我们给出的方案是：全程加密，兜底恢复。一方面，企业使用腾讯AI产品，包括调用云端模型时，私有数据从终端、传输到存储全程加密。对安全要求更高的场景，我们还支持模型锁定和机密计算，让敏感任务在私域内完成推理。另一方面，我们也把恢复能力提前设计进产品，万一出现误删除、文件覆盖或数据损毁，可以做文件级修复和恢复，避免一次意外变成不可挽回的业务损失。3.3安全内建于架构与仅提供问答能力的传统AI应用不同，WorkBuddy作为可自主作业的AIAgent，承载的是“真实执行”⽽⾮“文本生成”：它运行在员工的办公终端上，可读写文件、执行命令、访问网络；它连接企业的知识库、业务系统、研发平台与数据中台；它可加载来自生态的第三方技能与连接器。任何一个环节失控，影响的都不只是单次对话的质量，而是企业的数据资产与生产系统。基于这一判断，WorkBuddy将安全能力内建于产品架构之中，而非依赖事后审批或人工流程补位，具体体现为三项设计原则：执行前拦截：安全控制位于“模型输出之后、实际执行之前”，由沙箱、权限规则与系统层机制强制生效。执行层规则不受模型话术与对话轮次影响，不依赖模型自身判断。全链路覆盖：防护贯穿数据输入、模型推理、工具执行与结果交付的完整链路，与3.1所⽰“识别―拦截―恢复―留痕”各环节对应，每一环节均有相应的控制措施。默认即安全：敏感路径保护、高危命令前置询问等能力默认生效；企业下发的安全策略作为客戶端底线，员工只能在此基础上叠加更严格的配置，无法私自绕过。在能力来源上，WorkBuddy联合腾讯安全体系内的专业团队（腾讯云安全、终端安全iOA、科恩实验室、天御业务安全与内容风控等将腾讯在终端安全运营、红蓝对抗、威胁情报与内容风控等领域的长期实战积累，沉淀为面向AIAgent的全链路安全管控体系。在交付形态上，WorkBuddy针对不同行业的数据主权与合规要求，提供企业旗舰版（SaaS）、企业专享版（VPC）与企业私有化版三种形态。三者共享同一套安全架构与能力基线，差异在于隔离边界与运维主体的划分，企业可在上线速度、隔离强度与运维成本之间，选择与自身合规要求相匹配的方案（详见第12、13章）。WorkBuddy安全理念083.4安全责任共担建议Agent安全无法仅依靠工具自身实现。例如，若企业的客戶管理系统未对外部程序调用设置权限控制，任何持有员工账号的程序均可读取全部客戶数据—此类防线只能由企业在自身业务系统中建立，任何Agent产品均无法替代。借鉴云计算领域成熟的“责任共担”模型，WorkBuddy建议围绕四类关切，在工具提供方、使用企业与员工三方之间明确划分安全责任，如下表所⽰：关切WorkBuddy（工具提供方）企业（使用方）员工（使用者）关切一会不会失控终端沙箱与行为检测技能、专家与MCP安装前检测AIGC内容合规实时审核企业策略不可私自绕过异常一键叫停下发沙箱、命令与网络策略限定可用的技能、专家与模型按需部署腾讯AIAgent安全网关与终端安全产品不安装来源不明的技能与连接器AI产出对外使用前人工复核关切二会不会误删删除先进回收站删除操作超阈值自动暂停确认整轮任务一键回滚划定可写目录重要业务数据纳入企业级备份批量操作前确认范围发现异常及时回滚关切三能不能追溯拦截与放行统一记录拦截原因可解释审计记录可导出管理端操作日志与服务端对话日志明确日志开关、留存与导出流程纳入安全事件响应机制配合安全事件调查关切四会不会泄露敏感信息本地识别与加密推理数据不留存、不训练TC-AICC可信计算全链路加密与租戶隔离实施数据分级为Agent调用设置独立账号与最小权限配置敏感信息保护策略不将密钥与机密资料随意贴入对话不随意放行敏感信息提⽰概括而言，WorkBuddy负责Agent自身的运行安全，并提供默认安全基线；企业负责数据与业务系统的访问治理，并依据内控要求收紧安全策略；员工负责日常使用中的行为规范。三方各司其职、协同配合，共同保障安全闭环持续有效运转。WorkBuddy安全理念093.5WorkBuddy产品形态WorkBuddy提供统一管理、多端交付的企业级AI工作平台，覆盖Agent全生命周期，把领先的智能体产品装进企业。从产品矩阵到多形态部署一体协同，构建组织级AI能力底座。安全能力分布在其中三个层面：员工终端上的客戶端（本地执行）、云端的ManagedAgents（7×24小时云端执行以及统一的企业管理后台（策略下发与审计）。3.6WorkBuddy整体安全架构WorkBuddy安全理念客戶端安全：提供系统原生级别沙箱，针对客戶端执行命令本地SDK与云端API进行行为检测，同时支持生态（Skill包）检测，支持管理端下发客戶端安全策略。DLP敏感信息保护：在输入框、ToolCall返回、沙箱数据出口进行敏感数据的检测，支持针对命中的敏感数据指定处理策略（允许通过、脱敏加密、禁止敏感数据识别策略包括：关键词、正则、有效性、BPE、熵值等，确保敏感不出域。AIGC安全：对接腾讯天御、信安、腾讯安全等产品，针对腾讯侧提供的模型进行内容合规全流程审核，确保AIGC安全，支持流式生成审核，一旦发现问题马上停止，针对MCP与自定义模型，可通过结合腾讯侧AIAgent安全网关产品做安全防护、审计与限流。大模型推理安全：WorkBuddy提供TC-AICC可信计算推理技术，通过可信执行环境、端到端加密、远程证明保证用戶推理数据安全，提⽰词与模型响应仅客戶端与推理节点明文可见，其余节点均为密文，明文不落库，云服务商与运维人员亦无法访问用戶明文数据。WorkBuddy支持通过企业的组织架构控制不同的模型的可见性。云端沙箱安全：云端提供安全沙箱，租戶与容器级强隔离、内核加固、凭据不落沙箱；入站/出站支持结合腾讯AIAgent安全网关进行防护，沙箱性能和资源均有可靠保障，支持秒级启动。数据隔离+安全审计日志：多租戶存储隔离，支持会话日志开关，关键行为全程留痕、可查询可导出，客戶端审计日志集中上报能力在规划中。全链路加密传输：所有传输链路采用TLS1.2+并强化证书校验与加密，覆盖所有环节，防窃听、篡改与泄漏。合规性WorkBuddy已先后通过五项第三方评估与认证，覆盖个人信息保护、能力可靠性、行为可控性、供应链与技能可信、运行透明等方面，并就数据使用作出五条明确承诺。l4.1权威安全资质评估/认证说明自动化决策-智能助理（Claw类）二星+级标识证书颁发机构：中国网络安全产业联盟（CCIA）WorkBuddy获评智能体个人信息保护影响评估（PIA）最高级评价，为全国唯一获此评价的智能体产品，表明其在个人信息处理的合法性、必要性、最小化以及风险控制措施上达到当前最高水准。可信AI-智能助理智能体（Claw）可信能力评估颁发机构：中国信息通信研究院WorkBuddy是国内首批通过该项评估的产品之一，覆盖能力可靠性、行为可控性、安全性与可追溯性等评估要求。云端OpenClaw基线能力检验证书颁发机构：中国信息通信研究院WorkBuddy国内首批通过，覆盖“功能可信”“收费可控”“权限可靠”“来源可溯”“能力可管”五大核心问题。大模型安全众测优秀产品（2026年9月）测试机构：国家互联网应急中心主管单位：中央网信办在2026年9月15日，2026年人工智能大模型安全众测结果发布，WorkBuddy被评为Claw类智能体应用优秀产品。企业级大模型推理安全成熟度评估颁发机构：中国信息通信研究院WorkBuddy所采用的TC-AICC可信计算方案获“引领级”（最高级别）评价。4.2数据使用承诺在数据使用层面，企业核心关注员工在对话框里输入的业务资料，会不会变成模型的训练语料。针对企业客戶最关心的“我的数据会不会被用来训练模型”这一问题，WorkBuddy在推理侧作出以下明确承诺，并可与客戶签署数据安全与隐私合规协议作为合同附件约束：1）推理层只用数据做运算，用完即删，不作其他用途。2）模型侧不留存用戶问答数据，不落地存储客戶原始数据。3）不使用客戶数据训练或微调模型。4）不将用戶问答数据外泄至第三方。5）可与客戶签署数据安全与隐私合规协议，作为主合同附件明确约束。国产适配国产运行环境的自主创新，是安全体系的地基，WorkBuddy已经完成客戶端、服务端国产环境全栈适配，已在国产环境完成私有化全栈适配改造，国产芯片、操作系统、中间件、大模型全链路自主创新。WorkBuddy客戶端已经适配银河麒麟、统信UOS、鸿蒙，WorkBuddy服务端已完成主流国产操作系统适配（如麒麟、统信等支持在国产环境中私有化部署。WorkBuddy同时上架openKylin、deepin社区软件商店，国产操作系统适配围绕系统登录、设备互联、技能调用等链路做全场景定制，达成原生级运行效果，而非简单代码迁移。会不会失控，或者背着我干坏事？企业用户关切一企业用戶关注“会不会失控，或者背着我干坏事？力“失控”有三类来源：一是模型自身的幻觉与误判；二是外部攻击—藏在网页、文档、邮件中的提⽰词注入，或多轮越狱话术；三是供应链—被投毒的技能、存在漏洞或被入侵的MCP服务与模型服务。无论来源是什么，最终都表现为Agent做了不该做的事。WorkBuddy的应对思路是：把硬性控制放在“模型输出之后、真正执行之前”—不论模型被什么话术说服，越界操作都会在执行前被系统机制拦下。本章按Agent的运行位置展开：员工终端上的客戶端安全、模型输入输出两侧的内容安全，以及出站调用MCP与自定义模型的网关防护。企业用户关切一6.1WorkBuddy客戶端安全由于WorkBuddy客戶端可以操作电脑文件、执行电脑命令，企业尤其关注：WorkBuddy在员工电脑上会不会由于模型幻觉或者遭受攻击，从而导致误删资料、执行危险命令、访问危险网站等操作。典型场景典型场景员工让Agent“清理下载目录里30天前的临时文件”，模型生成的删除命令把路径写错，范围扩大到整个磁盘；或者Agent读到的一份网页里藏着一段恶意指令，诱导它执行“关闭安全服务”的命令。针对该类问题和担忧，WorkBuddy通过安全沙箱把文件读写操作收敛在授权工作目录内，对执行的命令进行实时行为检测，结合腾讯安全情报底座对上传的Skill文件进行安全检测，及时发现并阻拦危险操作，关键行为全部写入审计日志。针对低危删除操作，会将文件放入到回收站中，并且设置删除阈值，超过删除阈值会进行拦截提醒。如上图所⽰，客戶端安全主要包括如下内容：能力层具备的能力功能说明解决的核心问题①运行时沙箱（安全运行环境）文件隔离行为审计文件安全配置命令安全配置网络安全配置运行环境一致性（1）支持Mac/Windows/Linux不同操作系统的原生沙箱，把AI自主产生的文件读写、命令执行收敛在可控边界内—工作目录以外的文件不会被改动，流量不会绕过代理外发，关键行为全部写入结构化审计日志，审计日志上报到管理端统一分析的能力在规划中。（2）各平台采用最合适的原生机制，兼顾安全性、性能与体验一致性。（3）沙箱内嵌Python、Node.js与npm、Git、GitBash等完整工具链，让AI产物在任何员工本机都能跑出一致结果。划定破坏边界+统一运行环境，限制文件/进程操作范围。②行为检测本地SDK检测云端安全引擎针对客戶端执行命令本地SDK与云端API进行行为检测，确保行为安全。识别每一步ToolCall的真实意图，对已知威胁执行前拦截。③生态安全检测Skill安全检测（1）支持对在客戶端上传的Skill进行安全检测。（2）使用病毒查杀、智能算法识别、模拟加载等检测方法进行Skill安全检测。对Agent加载的Skill做安全识别，覆盖供应链投毒与注入风险。④审计日志本地审计日志命令安全、网络访问、MCP工具调用、文件操作安全、配置变更、拒答/拒绝等进行审计和记录，即将审计日志支持上传到管理端。针对客戶端的关键操作进行日志审计记录，方便回溯。⑤自动化处置优化沙箱和整个客戶端处置流程，使得流程更加顺畅优化沙箱和整个客戶端处置流程，智能识别低危突破沙箱目录操作进行自动优化处理，减少确认次数，使得流程更加顺畅。沙箱进出/放通/拦截/询问的自动决策，用戶低介入。企业用户关切一四层控制，拦截发生在执行之前WorkBuddy的安全控制位于“模型输出之后、真正执行之前”的规则层，由系统机制强制生效，不依赖模型自律：权限模式：命令优先在沙箱约束下执行，被拦截后再按风险决定是否请用戶确认。安全中心：沙箱安全、文件安全、命令安全、网络安全、数据安全、内置运行时、审计中心七组配置。权限规则三态：每条规则可设为允许（allow）、询问（ask）、拒绝（deny）。系统层拦截：结合操作系统层面的操作意图识别拦截高危操作；rm-rf、sudo等高危命令默认前置询问，高危程序黑名单对其拉起的子进程同样生效。敏感路径默认保护：SSH密钥、云平台凭据等8类敏感路径默认受保护，内置预设文件规则106条，按读、写、删三种操作分别配置，例如读取~/.ssh/目录即触发询问；企业可在管理端追加需要保护的目录。技能安装前检测（静态+动态静态检测包括引擎解析与规则匹配、威胁情报关联（安装包哈希比对腾讯威胁情报库）、AI大模型研判；动态检测在内置Agent的沙箱环境中实际执行技能，捕获网络、文件等行为。恶意则拦截并引导卸载，可疑则人工审核并标记，良性则放行；检测结果可在客戶端查看原因，也可在腾讯威胁情报平台（）按文件哈希查询。检测覆盖恶意代码执行、数据安全、Agent与提⽰词安全、网络安全、系统安全、供应链与代码质量6大类19种风险。策略不可私自绕过：企业管理员下发的安全策略在客戶端作为底线，员工只能叠加更严格的个人配置；手动修改本地配置文件会触发重新拉取企业策略。异常可一键叫停：员工可随时终止任务；关闭客戶端时沙箱随之退出，并回收由Agent拉起的全部后台进程。6.2WorkBuddy-AIGC内容安全随着AI办公快速发展，越来越多企业引入AI提升办公效率。在此过程中，大模型作为整个Agent的“大脑”，其安全可控成为企业最关注的焦点：一方面，AI可能生成违规内容，引发舆情事件，对企业业务和声誉造成巨大影响；另一方面，大模型可能被越狱话术诱导、绕过限制，在电脑上执行有害操作，造成系统或数据损失。典型场景典型场景有人用多轮对话、字符变形、编码绕过等手法，诱导模型输出违规内容或泄露系统设定；一旦违规内容出现在对外材料中，可能引发舆情事件。WorkBuddy在AIGC安全方面设置了三道递进防线：1）首先系统提⽰内置丰富的安全策略，从而从源头让模型本身具备安全意识；2）内置多种安全规则，可以识别部分已知攻击，针对有风险的输入、输出进行一次快速筛查，时间在毫秒级；3）接入腾讯安全审核体系（天御、信安、内容安全审计）全面进行安全审核，支持文本+多模态的识别，输出侧采用流式实时审核，确保第一时间发现问题和拦截。20如上图所⽰，WorkBuddy的内容安全包含三道递进防线。第一层：在输入源约束模型行为措施说明内置安全策略在模型的系统提⽰中内置安全策略与行为边界，让模型从源头具备安全意识，对明显违规、越权、诱导类请求自主拒绝。系统提⽰保护保护系统提⽰本身不被篡改，防止用戶通过伪造消息角色、注入特定片段来篡改模型人设或越权调用。第二层：快速过滤已知风险措施说明精确匹配通过精确匹配做快速筛查，命中已知攻击套路（越狱payload、注入模板、异常指令片段）时立即拦截。双向过滤既过滤用戶侧输入，也过滤被注入到系统侧消息里的攻击片段性能特征全程毫秒级、本地完成，不产生外部调用开销第三层：深度审核措施说明审核体系接入腾讯安全审核体系（天御、信安、内容安全审计等提供专业审计能力。多模态联动文本审核+图片审核联动，支持多模态输入的联合研判企业用户关切一21措施说明反对抗归一化送审前对文本做字符级归一化处理，专治攻击者用“字符变形”“编码绕过”绕过审核的手法。归一化举例变形字符经归一化还原为原始语义；URL编码等编码形式经归一化还原为明文后再送审隐藏内容识别对隐藏在HTML等结构中的代码与编码内容具备识别能力输出侧，采用流式生成实时审核，流式实时审核把拦截点前移到生成过程中，避免完整违规内容的产生，如下需要强调的是，无论对话进行多少轮，执行层的硬性安全规则都不受影响——即使模型在话术上被说服，越界操作仍会在执行前被拦下。企业用户关切一226.3WorkBuddy-访问MCP安全随着AI的发展，企业内部将会有越来越多的MCP服务，这些MCP服务急需一个统一的安全进行流量/路由的治理，同时也需要支持针对MCP的进行安全防护（身份/工具/内容/攻击安全通过结合腾讯云AIAgent安全网关，可以实现出站流量统一经AIAgent安全网关，执行投毒/注入检测、敏感词检测与Tool级粒度管控。典型场景典型场景企业内部陆续上线了几十个MCP服务，分别连接代码仓库、数据库和对象存储，安全部门需要统一管控“谁在调、调了什么、有没有被投毒”。在客戶端侧，企业可直接禁用外部MCP，内置MCP运行在沙箱内；企业连接器可由管理端统一下发与管控。对需要开放使用的MCP服务，再结合AIAgent安全网关做内容级防护。如下图所⽰，由AIAgent安全网关控制出站调用自定义MCP工具的安全，覆盖WorkBuddy客戶端出站调用MCP工具时的注入、投毒与数据外泄风险。部署与网络说明该能力由腾讯云AIAgent安全网关提供，需与WorkBuddy配合部署（产品介绍：/product/llmsgw默认AIAgent安全网关可以访问自己所在VPC的网络。6.4WorkBuddy-自定义模型出站访问安全在实际的企业业务过程中，部分企业自建了自己的大模型，并且通过自定义模型接入到WorkBuddy中使用，此时可以通过腾讯云AIAgent安全网关针对自建大模型的防护，所有的大模型推理请求统一转发至AIAgent安全网关，由网关完成流量控制、Token配额、内容安全与提⽰词注入防护后，再抵达模型服务。典型场景典型场景企业接入了自建的行业大模型，需要对员工通过WorkBuddy发起的推理请求做访问控制、内容审核与提⽰词注入防护，并保留访问记录。如下图所⽰，WorkBuddy的自定义模型出站访问安全由AIAgent安全网关配合完成，由网关防护出站调用自定义大模型的合规与注入风险，覆盖WorkBuddy服务端调用自定义大模型时的合规与注入风险。网关同时提供访问日志和安全日志功能。企业用户关切一23部署与网络说明该能力由腾讯云AIAgent安全网关提供，需与WorkBuddy配合部署（产品介绍：/product/llmsgw默认AIAgent安全网关可以访问自己所在VPC的网络。本章小结本章小结失控风险无法靠让模型“更听话”来根除。WorkBuddy以沙箱、规则与系统层拦截兜底，在安装前检测技能、在执行前审批高危操作、在异常时一键叫停，并通过安全网关把防护延伸到MCP与自建模型。安全领域不存在绝对无法突破的措施，建议企业同步收紧默认策略、限定可用的技能与连接器，并以终端安全补齐Agent之外的环境风险。会不会乱删我的东西，能拿回来吗？25用戶的原话“会不会乱删我的东西，能拿回来吗？力对使用者而言，误删比泄露更直接、更常见。在我们梳理的用戶安全工单中，“会不会乱删我的东西、删了能不能找回”是个人用戶反馈最集中的问题之一；对企业而言，员工终端上的业务文件同样是数据资产，误删即意味着数据完整性受损。典型场景典型场景员工让Agent给几百个文件批量重命名，结果文件“消失”了；或者Agent在整理资料时，把已经改好的文档覆盖成了旧版本。WorkBuddy的应对思路有两条：先限制能删的范围，再保证删了能找回。7.1把影响范围限制在授权目录内误删的影响有多大，取决于Agent能写哪些地方。WorkBuddy通过客戶端沙箱把影响范围收窄：工作目录以外默认不可写：文件写入收敛在授权工作目录内，企业可在管理端统一配置可写目录。敏感路径分操作保护：SSH密钥、云平台凭据等8类敏感路径默认受保护，预设规则按读、写、删三种操作分别高危删除命令前置询问：rm-rf等高危命令默认在执行前请用戶确认。批量操作阈值审批：一次删除或修改的文件数量超过阈值时自动暂停，等待用戶确认。267.2把可恢复作为默认能力即便如此，误操作仍可能发生在授权目录之内。因此WorkBuddy把“可恢复”作为默认能力，而不是事后补措施说明每轮修改前自动备份Agent每一轮修改文件前都会自动备份，而不只是在任务开始时备份一次。删除先进回收站Agent的删除操作默认移入系统回收站，而非直接永久删除批量操作阈值审批一次删除或修改的文件数量超过阈值时自动暂停，等待用戶确认备份容量可控备份总量上限可自行设置（默认3000MB不会占满磁盘整轮回滚对一轮任务产生的全部文件改动可整体回退本章小结本章小结沙箱写边界决定误删的“最大影响范围”，自动备份与整轮回滚决定“能不能找回”。需要提醒的是，Agent侧的备份容量有上限，不能替代企业自身的数据备份体系，重要业务数据仍建议纳入企业级备份。我能知道它做了哪些事情吗？28用戶的原话“我能知道它做了哪些事情吗？”数据有没有外泄、Agent有没有越权、文件是怎么丢的，最终都要靠记录来回答。Agent的每一步由模型动态生成，事前无法穷举，因此审计不能只记“谁在什么时间登录了”，还要还原“用戶意图→模型规划→工具调用→产出结果”的完整链路，并说明哪些操作被拦截、依据的是哪一条规则。WorkBuddy的应对思路是：拦截与放行统一记录、每次拦截可解释、记录可查询可导出；在此基础上，可通过网关与终端侧能力补齐更完整的审计链路。298.1WorkBuddy安全审计日志在企业管理中，关键事件的溯源至关重要：出现问题时，需要调出完整的会话与操作链路，定位问题发生的根本原因，并据此优化策略、杜绝再次发生。典型场景典型场景某次数据异常后，安全部门需要还原“是谁、在什么时间、让Agent做了什么、Agent实际执行了哪些操作、哪些被拦截了”，并导出记录用于内部调查或取证。如下图所⽰，WorkBuddy记录并追溯Agent执行行为、用戶操作、API调用全链路，支撑安全审计与合规需求，即将支持上传云端。30拦截与放行统一记录：所有拦截与放行事件统一进入审计中心，包含时间戳与具体命令。拦截可解释：每次拦截都会说明拦截了什么、依据的是哪一条规则。记录可导出：审计记录支持导出，用于内部调查与取证。服务端对话日志：企业版服务端对话日志保留30天，是否记录由企业管理员开关控制。管理端操作日志：记录操作、操作内容、操作端、操作人、IP、时间六要素。8.2网关与终端侧的补充审计在客戶端与管理端日志之外，企业还可以按需补齐两类记录：网关侧访问日志：部署腾讯云AIAgent安全网关后，ManagedAgents的入站调用，以及出站调用MCP工具与自定义模型的请求，均可留存访问与安全日志。终端侧运营数据：结合腾讯iOA，可汇总未授权AI应用、终端威胁、访问准入与敏感数据策略的执行情况，形成安全与效能运营视图。本章小结本章小结拦截与放行统一记录、拦截可解释、记录可导出、管理端操作留痕，构成了WorkBuddy的审计基线，网关与终端侧日志可按需补齐。客戶端日志集中上报尚在规划中。会不会泄露我的数据和隐私？32“会不会泄露我的数据和隐私？”Agent要完成任务，必然要接触员工的文件、账号凭据和企业业务数据。风险在于，这些数据可能在四个环节离开企业的控制：员工主动输入、工具返回内容进入上下文、云端推理处理、网络传输。WorkBuddy的应对思路是：数据边界先划清、敏感信息不进上下文、推理过程不可见、传输链路全加密。本章依次说明数据隔离与使用边界（9.1）、DLP敏感信息保护（9.2）、TC-AICC可信计算（9.3）与网络传输安全（9.4）。339.1数据隔离与使用边界典型场景典型场景企业担心：自己上传的客戶资料会不会被其他企业看到？连接器读取的业务系统数据会不会经过平台后端？对话内容会不会被拿去训练模型？租戶隔离：企业租戶之间在存储层隔离，数据不跨租戶流动；会话、文件与Agent产物统一安全存储，采用时效性签名访问控制与最小化权限策略。业务数据不经后端：连接器（MCP）的工具调用在客戶端本地执行，企业业务系统返回的数据由客戶端直接与MCP服务交互，不经过腾讯后端。不留存、不训练：推理层只用数据做运算、用完即删，模型侧不留存用戶问答数据，不使用客戶数据训练或微调模型，并可签署数据安全与隐私合规协议作为合同附件约束。日志由企业决定：服务端是否记录对话日志，由企业管理员开关控制。对隔离强度有更高要求的企业，可选择资源独享的企业专享版，或数据与模型均不出企业环境的企业私有化版。9.2WorkBuddy-DLP敏感信息保护随着企业对核心业务数据的关注度持续上升，一个突出的隐患是：企业员工在日常使用智能体的过程中，可能将密钥、客戶名单等核心业务资产数据带到企业边界之外，从而引发业务损失。典型场景典型场景开发人员为了让Agent帮忙调试接口，把生产环境的APIKey直接粘贴进对话框；销售让Agent整理客戶名单，名单里带着手机号和身份证号。这些信息一旦原样进入模型上下文，就可能随会话记录、工具调用外发到企业边界之外。WorkBuddy的做法：在输入框、工具返回、数据外发三个入口于本地识别敏感信息，按允许放行/加密保护/拒绝三种策略处置，识别与脱敏全程不出网。34如上图所⽰，敏感数据在企业本地完成识别与脱敏，全程不出网、管理员统一管控。1）三类拦截入口覆盖内容多种输入拦截对话输入框中的账号密码、密钥信息、企业机密数据工具返回拦截ToolCall返回、第三方API返回数据、MCP/连接器返回数据外发拦截沙箱数据出口、本地文件内容、工具与脚本执行结果；网络出口检测（Curl、MCP、HTTP对Header、Body与文件做敏感信息检查2）本地敏感信息检测引擎（五类检测手段）检测手段识别对象举例关键词检测识别敏感字段识别形如password=的字段正则匹配检测（可自定义）结构特征数据手机号、身份证号、银行卡号等有效性检测对候选结果进一步复核校验JWT等是否为真实有效凭据，降低误报BPE检测识别被拼接或拆分的信息被换行拆开的密钥熵值检测识别随机凭据随机Token、Secret等高熵字符串其中关键词与正则规则支持企业自定义配置，其余为内置能力。353）三种处置策略策略适用场景处理方式允许放行低风险、策略允许原文直接进入上下文并请求模型允许并加密保护确定为敏感信息，但业务需要使用原文经加密后放入上下文，数据返回时解密拼接，不影响使用效果拒绝明确高危，不允许外发阻断并告警4）加密保护的完整链路（以APIKey为例）环节状态用戶输入APIKey=真实密钥明文敏感保护模块识别识别为敏感信息，真实密钥加密存储，不进入上下文进入Agent上下文以占位符形式存在（如APIKey=占位标识Agent使用占位符做规划。使用点解密本