天融信科技集团高级副总裁毕学尧在9月23日的2026 CSA大中华区大会暨AI+安全大会上带来《筑基可信智能：混合部署场景下智能体安全思考》主题演讲。他从混合部署这一日益普遍的应用形态切入，系统剖析了智能体在跨域执行任务时面临的安全风险，并提出以统一安全控制面贯通四条建设路径的防护框架。

毕学尧指出，智能体正从回答问题走向执行任务。综合安全、效率和投入，多数单位会把智能体和数据留在本地，用私有化模型处理重要数据，云端模型补能力，一次任务跑在两边。

这种混合部署架构中，本地运行区承载智能体运行时、私有化部署的本地模型、本地知识库与长期记忆、本地工具；外部区则包括云端大模型、外部工具与MCP、外部数据源。两扇“受控出口”分别是模型出口和工具与协作出口。

“一次运维任务：读工单和日志→账号与内网地址交本地模型→通用故障知识问云端模型→提配置修改方案→调工具在生产系统执行→结论写进记忆。”毕学尧用七步任务链说明，七步里有六步都可能跨出去。哪一步会跨，不能按步骤写死，只能一次一判。

他强调，本地不等于安全。建的时候，部署环境薄弱、物料和组件污染；喂的时候，数据投毒污染；跑的时候，身份和权限滥用、记忆存储风险。混合部署的错配在于：最敏感的任务交给了本地模型，可这个模型自己的护栏水平如何，很难说得清。

三条失控链：混合部署给每条链各添一节

毕学尧将智能体的原生风险归结为三条失控链：目标与认知失控、身份与行动失控、对象与信任失控。数据泄露风险贯穿这三条链。跨域没有新添一条链，但给每条各添了一节，机制各不相同。

链1，目标与认知失控。原本的入口是恶意对话、网页邮件、文件知识库，进入上下文，劫持目标，污染记忆。混合部署新增的是：云端模型的应答也成了不可信返回。在那个运维任务里，云端回一句“先把这台机器的防火墙降了”，进了记忆，下次它就照做。

链2，身份与行动失控。入口是合法凭证被滥用、权限给得过大、工具随意接入。机制是越权调用，高风险动作无人确认即执行。混合部署后，任务级授权在对侧没有对应物，对侧只认一个租户身份，不知道你这边的任务是什么。授权只能在本地这一侧终结、重新派生，不能跟着请求出去。

链3，对象与信任失控。入口是影子智能体、来路不明的模型、恶意插件与协作智能体。机制是未登记对象接入，供应链组件被替换。本地对象可以从盘点、评估、准入一路核验到退出；对侧的模型换没换版本、外部MCP的工具描述没改没，使用方看不见。钉死版本也管不住静默变更，还得靠持续验证。

毕学尧分析，老办法管的是主机、流量、账号、接口、结果。现在交互是自然语言，任务由意图驱动，执行是一堆松耦合的智能体，一次任务还被切成本地段和云端段。要管的对象换了，能力缺口就出来了。

毕学尧提出，不推翻原有架构：成熟能力复用、新增问题补齐、防护体系分层；治理定规矩，控制面做贯通，四条建设路径各补一个缺口。

路径一，平台可信，补看不全。环境立得住，对象认得清：未授权的阻断，评估合格才准入。包括智能体资产盘点、上线安全评估、准入变更退出。资产与供应链域，准则6强化安全防护。

路径二，行为可控，补管不深。身份授权到位，调用执行受控，高风险动作可中断。包括身份关联与任务授权、工具与API调用控制、高风险操作确认。运行与行为交互域，准则1人类最终控制。

路径三，数据可管，补看不细·内容侧。内容去向受控：既防外泄，也防操控。包括数据分类分级与去向、提示词攻击防护、敏感数据防泄漏。数据与内容流转域，准则1+准则4提升系统透明度。

路径四，防护有效，补看不清。由统一安全控制面落地。把分散告警变成统一判断和联动处置，包括多源采集、上下文关联、风险判断、策略决策、协同处置、证据复盘。只有把对象、身份、任务、数据、调用和处置串起来，分散产品才能形成安全闭环。

毕学尧特别强调，行为可控要做到“业务凭证不出门，权限按任务给”。身份合法，不代表每次调用都可信。常态下每次调用过五关：身份关联、动态授权、调用控制、高风险确认、凭证与权限回收。一跨出本地，还得加五条：业务凭证不出门、跨出去的委托不许再转授、跨域身份鉴别在本地做、工具清单按本地外部分列、外联白名单只放两扇门。

他还提出按单次动作的风险切，自主性逐档收窄：低风险，让它自己跑；一般风险，人在旁边看着；高风险，人一项一项点头。支付、删除、外发、生产变更这四类动作，后果往往收不回来，必须人一项一项点头。

数据可管方面，毕学尧给出四步：先分级，再定去向，再管流转，定不出级怎么办。继承定级、处理降级、就高原则；核心与重要→本地模型，一般→可发云端；跨域层：最小必要、脱敏、留痕；出境层：境内存储、合规传输。跨域不等于出境。但他也坦言，这四步现在有两个卡点：分类分级到不了这一层；就高原则会把人逼到墙角——压向本地→算力顶不住→业务绕道→影子智能体。

毕学尧介绍，相关做法已在本地模型、模型进出口、智能体上线前后三类场景里用上。如省级住房公积金机构、某省科技情报机构、某省财政部门部署了本地模型与安全围栏。第三方测评与认证方面，天融信已获得公安部第三研究所大模型安全防护围栏产品认证（增强级）、中国信通院OpenClaw类智能体安全防护产品能力评估、人工智能服务安全建设能力与检测能力双项二级评定、中国信通院数据安全智能体产品能力检验等。

演讲最后，毕学尧用三个“不等于”收束整场分享：数据在本地，不等于没有出去；模型的建议，不等于操作授权；部署了产品，不等于控制有效。“让能力运行在明确边界之内，让信任建立在持续验证之上。”他表示，这件事一家做不成，天融信作为CSA大中华区理事单位，愿与各方协作解决。