当AI Agent从单点对话工具，走向跨应用、跨知识库、跨智能体串联协同，产业正在迎来一轮生产力跃迁。打通生态是释放生产力的必经之路，但随之而来的是安全边界急剧扩张：当Agent拥有调度多方资源的能力之后，企业该如何守住安全边界？
在2026腾讯全球数字生态大会上，Buddy One正式亮相。需要的是，Buddy One不是又一个单点AI产品，而是面向企业的多智能体协同底座：它打通腾讯内部WorkBuddy、腾讯文档、企业网盘、ima知识库等一系列AI产品，实现身份、技能互通，让单个自然语言指令，可以驱动多个Agent接力完成复杂业务任务。
简单来说，过去分散在腾讯各个产品里的AI是一座座孤岛；Buddy One把孤岛连成一张协同网络，企业员工不再需要切换系统、重复上传文件，Agent之间可以自主传递信息、承接任务。对CIO和业务负责人而言，这无疑是Agent规模化落地的关键一步：AI不再是零散的辅助工具，变成了能够承接长流程业务的数字员工。
在生态大会的AI Agent安全媒体闭门访谈中，腾讯云安全专家给出了方向一致的判断：进入Agent协同时代，安全治理不能只寄希望于大模型的自我约束。
腾讯AI Agent安全负责人柯灵杰点明了背后的逻辑转变：模型风控属于软防护，企业落地多智能体协同，还必须叠加一套独立于模型之外、系统层面的刚性管控底座。
柯灵杰进一步解释，AI时代最大的变化，是数据和指令失去了分隔线：过去数据要变成指令，得利用代码漏洞；现在一段自然的文本，模型就会把它翻译成执行指令，攻击门槛从“会挖漏洞”降到了“会说话”。他提醒，现在很多企业的方案仍停留在大模型内容过滤层面，依靠模型自己识别风险，但提示注入、记忆投毒、上下文劫持等手段都能绕过模型自带护栏，模型判别是软约束，系统层管控才是硬底线。
腾讯云安全总经理、腾讯科恩实验室终端安全负责人聂森，则从攻防实战角度补充了更隐蔽的风险。他坦言，当前Agent攻防格局总体上是攻强于守，单步无害的操作叠加，最终可能演变为APT式攻击。
聂森拆解了这种风险的特殊之处：拆分来看，每一个独立skill、每一步单独动作都符合安全策略，不会触发告警；但一次看似普通的文档调用、一条跨Agent的消息、一段被悄悄篡改的记忆，可以把这些“合法小动作”串联成一条隐蔽链路。他特别提到，A2A协议只解决Agent之间如何对话、如何互通任务，它不是安全协议，没有原生的风险校验、权限隔离和审计机制。
一边是业务侧迫切想要打通链路、释放Agent生产力，一边是安全团队要抵御这种、隐蔽式的新型攻击。不少企业的应对方式，是以牺牲能力换取安全：收紧Agent权限、禁止跨文档调用、限制插件能力，最终Agent变得束手束脚。员工为完成工作，只能绕开管控、私传文件、使用外部大模型，催生更多影子AI，反而让安全治理彻底失效。效率与安全，仿佛成了一道非此即彼的单选题。
腾讯安全给出的答案，不是在生态打通之后再补打安全补丁，而是将可信能力预埋为Agent协同底座的原生基建。整套防护体系，由四层能力咬合而成。
第一层是沙箱隔离的硬底线。需要说明的是，沙箱约束的不是协同能力，而是执行动作的后果——Agent的协同照常发生，但每一步动作的副作用都被圈在独立沙箱环境内运行。文件修改、删除操作自带备份与回收站机制，即便Agent被诱导执行异常操作，底层也留存可回滚快照，从源头避免不可逆的数据损毁。这套能力并非闭门造车：科恩实验室、云鼎实验室、天御安全团队持续以红蓝对抗的方式，针对Agent插件、记忆模块、调用链路挖掘潜在漏洞。
第二层是NHI非人身份管理体系，瞄准Agent权限复用这个最大痛点。很多企业现在的做法，是让Agent直接继承员工账号权限，等于把一个人的全部业务权限借给AI，一旦Agent被劫持，危害等同于账号失窃。而NHI体系给Agent分配独立、最小必要的子权限，权限范围绑定单次任务，任务结束自动回收。人和Agent身份彻底分开，即便某个Agent被提示词攻击，它也没有越权访问其他业务数据的通行证。
第三层是全链路AI网关与数据防泄漏（DLP）能力，管住数据流转。企业最关心的核心诉求之一，是内部敏感数据不会被拿去模型训练。在私有化、专属部署模式下，数据不出客户环境；公有云模式下，则以合同承诺与网关检测双重机制，确保客户数据不用于模型训练。AI网关对Agent的输入输出、跨Agent与跨产品传输内容做实时检测，敏感报表、合同、客户信息在跨Agent流转时自动拦截或二次强确认，每一次数据读取、文件导出、跨库查询都留下日志。
第四层是面向串联攻击的行为可观测能力。传统安全告警大多针对单次高危动作，很难识别跨数小时、跨多个Agent分步执行的隐蔽攻击。这套体系把Agent轨迹日志与终端安全EDR能力联动，持续监控Agent的任务序列、Skill调用顺序、记忆读写行为，识别反常的长链路操作，只有拿到完整的Agent执行轨迹，才能还原一整条分步攻击链路。同时针对Agent的记忆区做双向审查，抵御记忆投毒攻击，避免攻击者篡改Agent长期记忆，诱导其后续执行风险操作。
沙箱隔离、非人身份、数据流转管控、行为可观测四层能力环环相扣，从运行环境、身份权限、数据、行为轨迹形成一套完整防护链条。这不是一劳永逸的银弹，而是纵深防御的工程答卷。
更关键的，是Buddy One与配套安全能力的分工。
四层可信能力作为原生基建预埋在Buddy One底座内，体系内协同的自有Agent由WorkBuddy原生安全能力优先管控；而如果企业环境内部还存在大量第三方大模型、外部Agent、自建智能体，升级后的腾讯iOA企业版Agent安全平台，则作为独立于底座的统一管控层，实现对全域Agent的权限管理、行为审计与风险拦截，它可以脱离腾讯自家AI产品独立部署使用。
换句话说，Buddy One负责“让Agent好好干活、互相配合”，安全体系负责“不管谁在干活，都不能越界”。
放到更大的产业坐标系里，两位安全负责人都认为，Agent安全今天仍处在早期探索阶段，行业还没有形成统一的安全标准，不存在一招通吃的防护方案。攻击方可利用提示工程、插件漏洞、记忆污染不断寻找防护薄弱点，仅靠单点内容过滤、提示词风控很容易被绕过。Agent安全不能只补短板，端、云、链路、身份体系必须一体化防护。
过去两年，行业的主线一直是比拼Agent能实现多么复杂的能力；而接下来的分水岭，将会落在“能不能大规模、放心地让Agent在企业业务里跑起来”。
Buddy One打通腾讯AI生态，本身代表着产业的未来：协同、互通、长流程，是Agent走向生产力的必然方向。但硬币的另一面，是安全必须同步跟上。可信不再是AI产品的附加卖点，而是企业愿意把财务、合同、核心业务交付给Agent的入场券。
安全的目标，从来不是限制AI。当越来越多像Buddy One这样的多智能体底座落地，产业需要达成一个共识：不要赌大模型的判断力，要用系统层的工程能力，给Agent的风险行为上锁。效率和安全，从来不是单选题。