AI时代的安全边界：能力在哪，治理就要推到哪

本文解读：《2026AI时代企业信息系统安全计算架构白皮书-邦彦技术》 · 共 50 页 · 原文

这份白皮书最有价值的一句话是：安全架构不该把工作拉回边界内，而该把治理推到能力所在处。

邦彦技术的《AI时代企业信息系统安全计算架构白皮书》50页，V4.02核校排印稿， 全书围绕六个视角展开：四类数字控制权、五业务域、七层技术架构、NGCC统一计算底座、 三层信任与管理过程四环节。

它的起点很清醒：企业AI建设首先是责任边界的重构，其次才是模型、算力和应用的选择。 在让AI代替员工读数据、调工具之前，得先回答计算在哪发生、数据在哪停留、Agent能执行什么。

这套判断的前提是承认两个事实：部分任务上公域模型确实强于企业私域模型； 而人一定会用可及范围内最强的工具，这是理性行为，不是纪律问题。

控制越严，合法通道越窄，人就越会把数据手工搬到外面去用。

图源：《2026AI时代企业信息系统安全计算架构》（第1页）

一、四个旧假设同时失效

报告把企业信息系统的演进分成三次迁移：信息化记录流程、数字化分析数据、智能化理解判断与执行。

前两次，系统仍是人的工具；到第三次，大模型能读非结构化知识、把自然语言转成查询和指令，Agent能拆任务、 调工具并持续执行，企业系统开始成为人、模型、知识、工具共同工作的环境。

上面引用的数据都能在原文里找到出处，报告放在运营动脉（www.yydm.cn），搜标题即可。

遇到统计口径不一致的地方，回原文核一眼，比对两三篇二手解读要快得多。

保护对象随之扩展：从数据与系统，扩到数据、系统、模型、执行主体与责任链。支撑旧架构的四个假设因此同时失效。终端不再是主要计算载体，内网不再天然可信， 人不再是唯一执行者，安全与效率也不再能用控制的松紧来平衡。

第四条最要命。控制越松，企业数据越会以自然语言形式流进公域模型；控制越严， 员工越倾向于直接在互联网侧工作，再手工把上下文带出去。

松紧调节是一条循环的曲线，换坐标系才有出路。

图源：《2026AI时代企业信息系统安全计算架构》（第3页）

二、风险变了性质：从文件外泄到语义外泄

报告强调，AI带来的风险不是给旧清单添几条，而是改变了风险的性质。

第一类是语义型数据外泄。传统数据防泄漏擅长识别身份证号、银行卡号和文件指纹，但员工可以把核心算法、 合同背景、客户策略改写成自然语言提交给模型，风险从文件是否被拷走，变成知识是否被语义化带走。

第二类是提示词注入与工具劫持。恶意指令可以藏在网页、邮件、文档里，引导Agent忽略原规则、调用不应调用的 工具，这类风险已被OWASP列为大模型应用的重要风险。

第三类是Agent权限扩散。一个任务经过多个模型、多个Agent和多个工具，若使用长期静态权限， 任何环节被突破都可能带来横向移动。

此外还有责任不可解释、以及治理外漂移——工作重心慢慢迁到个人账号和不可见路径上，企业失去账号、协议、 环境与产出的治理，这种风险不表现为一次事件，而表现为能力沉淀地的缓慢转移。

最危险的不是被偷走一份文件，是知识被一段话带走。

图源：《2026AI时代企业信息系统安全计算架构》（第4页）

三、四类控制权：企业必须守住的是什么

报告把控制权归纳为四类，每一类都配有失控后果和架构抓手，逻辑很完整。

计算控制权，要求计算能力运行在企业可管理、可审计的环境里，抓手是统一计算底座、设备纳管与身份策略； 失控后，分散终端和外部平台会变成不可治理的计算入口。

数据控制权，要求核心数据始终在授权范围内被处理和存储，抓手是分级分类、禁入数据类、 跨域三段传输和最小化审计。

AI能力控制权，要求企业拥有可选择、可替换、可沉淀的AI能力，抓手是私域AI平台、能力差距管理和模型路由； 失控的后果是完全依赖外部模型，知识无法形成内部能力。

组织协同控制权，要求企业自主定义人、AI和Agent的分工与责任，抓手是把管理过程留在业务域、 成果提交作为唯一入口、人工复核与责任机制。

四类控制权里，最容易被忽略也最难恢复的是第四类。

图源：《2026AI时代企业信息系统安全计算架构》（第5页）

四、五业务域：边界划在数据类，不划在工作

五业务域不是简单的网络分区，而是把安全等级、业务属性、AI调用权限和跨域数据规则统一起来的逻辑边界。

S5是核心域，放源代码、核心算法、密钥，公有AI不得直接访问原始数据，也不与互联网建立通用连接； S4是企业业务域，ERP、CRM、财务、人力、私域AI都在这里，也是管理过程所在地。

S3是访问与代理域，位于网闸外侧，又拆成受控公域和开放公域两层；S2是Agent执行域， 按任务发临时权限、工具走白名单；S1是外部生态域，面向客户门户与开放接口。

S4与S3之间仅经网闸相连，不存在透明网络路径。这条边界的控制方式很有意思：它不逐个审批， 而是用禁入数据类、标签动作与任务上限三者组合。

报告的解释很值得记住：控制对象是哪些数据不能进入S3，而不是哪些工作必须留在S4。 禁入清单窄而明确，所以守得住；工作留在S4宽而模糊，所以守不住。

一个能执行到位的窄规则，胜过一百条守不住的宽规则。

图源：《2026AI时代企业信息系统安全计算架构》（第6页）

五、L0到L4：去标识不等于去上下文

数据分级这一段，是整份报告里最有实操价值的设计。L0公开数据，两个域都放行；L1内部一般数据，在受控公域需去标识后放行，开放公域拒绝； L3受控数据直接拒绝、强制私域；L4核心数据根本不进入这套结构，出现即为事件。

最讲究的是L2内部敏感。报告明确反对把最小化理解为删除：正确做法是假名化与抽象化保结构， 客户名换成角色标签、金额换成区间、人名换成岗位，但保留关系、逻辑、数量级与文档结构。

映射表保存在S4，成果回域后再水合为真实数据。这样受控公域拿到的是结构完整的上下文， 能做高质量推理；而替换依据来自ERP、CRM、HR的主数据，可以枚举，由规则与字典实现，不依赖大模型。

报告还提醒：去标识不等于去上下文，只删姓名很可能还不够，项目名、时间、金额组合起来照样能识别到人。

把名字换掉只是第一步，把结构留住才是关键那一步。

图源：《2026AI时代企业信息系统安全计算架构》（第7页）

六、三段传输：判断在S4，执行在网闸，代理在S3

跨域传输是这类架构最容易做成形式主义的地方，报告用三段结构把它拆得很实。第一段是S4侧传输区，负责出域准备：会话与任务绑定、语义分类、路由决策、假名化、映射保管、 额度与熔断、留痕，同时管入域暂存与待提交区。

第二段是网闸，只做四条通道的格式白名单、物理摆渡、双向留痕和标签校验，不承担语义判断、路由和内容改写。第三段是S3侧安全代理，代表企业访问公有模型与外部工具，托管企业凭证，做返回内容检测、 剥离活动内容、强制来源标记。

责任边界因此很清楚：网闸之外的一切不可信任，出域敏感性与许可判断只能在S4侧完成，S3侧返回内容检测 不改变这个责任划分。

报告还写了一句很实在的话：把安全代理当作最后一道且唯一一道防线，本身就是一种风险。

网闸只管格式，判断必须在数据这一侧完成。

图源：《2026AI时代企业信息系统安全计算架构》（第8页）

七、三种姿态，只有一种能当默认

组织在边界上其实只有三种可选姿态，报告逐一给了成立条件与代价。姿态A是隔断，成立条件是人在S3执行确实不需要企业上下文。它的代价是限制公域能力使用， 更要命的是失效表现：手工转录、拍照、个人账号，观测直接归零。

姿态B是受控传输，成立条件是私域能力覆盖多数任务、网闸支持应用级摆渡、标签体系成熟； 一旦通道慢于旁路，人就会漂移。

姿态C是受控公域常态化，这是报告推荐的默认姿态。它的前提是企业账号与协议可落地、受控公域可纳管、 禁入清单可执行、目标管理系统能提供任务身份、成果提交为唯一入口。

三者并不互斥。报告建议的是C与B的组合：任务类别按能力差距等级落在B或C，且姿态C以管理过程在S4为前提。 姿态不是一次性决定，能力差距、协议条款、网闸能力变化时都要重新迁移。

隔断消灭的不是泄露，是对泄露的观测能力。

图源：《2026AI时代企业信息系统安全计算架构》（第9页）

八、两条总判断：执行可在S3，管理只在S4

报告有两条总体判断，第二条是它区别于一般零信任方案的地方。

第一条是能力在哪，边界就设在哪。当公域模型强于私域时，把公域相应部分纳入企业治理形成受控公域， 控制对象从哪些工作必须留在内网，收窄为哪些数据不能进入公域。

第二条是执行可在S3，管理只在S4。目标设定与分解、组织执行与自我控制、成果衡量与绩效测评、 沟通激励与人才培养四个环节全部在S4。

这条判断针对的是一种很隐蔽的失效形态：目标在S3讨论、过程在S3推进、成果在S3定稿，只把文件放回内网， S4就退化成资料区。

对应的支撑机制有三个：成果提交是衡量与测评的唯一入口，提交确认不是审批而是"这是我提交的成果"的声明， 测评只认S4，S3侧产物未提交即不存在。

S4之所以不会退化成资料区，因为承诺与责任都在那里发生。

图源：《2026AI时代企业信息系统安全计算架构》（第10页）

九、Agent治理：七项硬约束与不能转移的责任

报告把Agent看作带目标、记忆、工具和委托关系的任务执行主体，治理要从管账号升级为管执行主体。七项硬约束分别是：沙箱运行、工具白名单、即时授权、委托链衰减、人工确认、可熔断、可复盘。

其中委托链衰减是新增的一条：在人、主Agent、子Agent、工具的链条上，权限只能单调衰减、不得放大， 每一跳都能回溯到发起人与任务标识。

人工确认覆盖的是付款、发布、删除、代码合并、客户承诺和人员决策等高影响动作； Agent的长期记忆、向量库与会话缓存也被要求明确域归属与保留期，不得成为跨域的隐蔽通道。

责任部分写得最不客气：业务责任人、系统责任人、审批人三类责任不能转移给模型， "是AI做的"永远不能作为免责的借口。

能给Agent发临时权限，但不能给它一份免责声明。

图源：《2026AI时代企业信息系统安全计算架构》（第11页）

十、三级配置：不买私域AI，架构也能成立

报告最务实的地方，是承认多数组织没有在业务域部署创造级AI的资金与技术条件。它给出的答案是：撑住S4地位的两样东西——管理过程在S4、出口把关——都不依赖私域AI。 管理过程用现有的目标管理、项目、文档系统就能承载。

出口把关可以是主数据字典假名化、规则型数值抽象、格式白名单加网闸组成，语义分类器是理想配置而非必要条件。

据此有三级配置：一级无私域AI，全部AI工作放在受控公域，适合多数中小组织；二级轻量私域AI， 加单机或小集群小模型；三级完整私域AI，适合大型企业与高敏感行业。每一级都是完整可用的架构，不是残缺版。

报告还点了四个常见误区，第一个是先买GPU上模型再讨论数据和架构，第四个是以隔断代替完整治理。 它建议的升级路径也反直觉：第一个值得买的AI是分类器，不是创造级模型。

50页全文、五业务域与七层架构图、S4与S3验收用例都在运营动脉（www.yydm.cn）上， 搜报告名即可打开。