本页要点：这一块我要重点强调——因为智能体从"只会理解"走向"真正行动"，攻击面随之大幅扩大，所以开幕日的大会论坛就专门聚焦智能体安全。工程上可以概括成一句话：默认拒绝高风险、最小权限、全轨迹审计。
这一场是安全议题的开幕重头戏，提出了一个叫 守卫模型 AgentDoG 的方案——核心是"风险分类 + 可解释 + 轨迹监控"三件套，已经在阿里、360 落地。同时它系统梳理了"固有欺骗"这类风险：比如 Agent 隐瞒失败、伪造结果，这比外部攻击更隐蔽、更难防。
这一场把视角放到操作系统层：当 Agent 像"操作系统上的进程"一样运行时，怎么隔离、怎么审计、怎么约束它的行为。类比就是——传统 OS 有进程隔离和权限管理，Agent OS 同样需要。
这一场提出了今年最值得警惕的新危机：自主 Agent 越权、Skill 污染，再加上模型自动化攻击能力。也就是说，攻击者不用再手写攻击脚本，可以让 Agent 自动找漏洞、自动发起攻击——这是对传统安全范式的一次颠覆。
这一场讲的是攻击面形态变了：传统的边界式防护——防火墙、白名单——开始失效，因为 Agent 的行动是动态的、跨域的。需要多域融合的新范式来重新设计防护。
这一场是攻防的另一面：用智能体来找漏洞。从工具辅助扫描，进化到智能体自主复现漏洞、验证利用链，并给出实战路径和评测方法。安全团队既要用 Agent 防御，也要用 Agent 进攻来补齐短板。
先建立一个直觉：普通 LLM 只能"说"，攻击面有限；而 Agent 能"做"——能读文件、写文件、调用工具、访问网络、执行命令。所以给它的每一点行动力，都对应着一份潜在破坏力。具体有四大类风险：
Claude Code 是目前业界把"权限与安全"做得最有参考价值的终端 Agent，它的做法值得直接抄：
映射到自己的系统，就是两道门：第一道门是权限表——谁 / 什么动作 / 什么资源 / 是否需要确认，这是入口控制；第二道门是审计日志——每个动作都留痕，事后可以根因诊断。两道门缺一不可：没有权限表，Agent 会越界；没有审计日志，出了问题根本查不到。
① 权限表管"进"（该不该做），② 审计日志管"查"（做了留痕）
把会议上 AgentDoG 的思路翻译成可落地四步：