为什么这个领域重要

当智能体开始代替人直接调用工具，一个全新的攻击面就打开了。聊天机器人只吐文字时，最坏的结果不过是答错。可一旦智能体查询数据库、发起API、删除文件，一行恶意指令就会被直接翻译成真实的动作。2026年，三菱UFJ银行(MUFG)向约3.5万名员工分阶段部署ChatGPT Enterprise，宣布自己成为"AI原生"企业，OpenAI的Codex则突破了每周300万活跃用户。当智能体连受监管的金融业务都开始进入时，就需要有人在运行时守护执行本身。

问题的规模由数字说明。提示注入在2026年仍是OWASP LLM漏洞的头号，出现在73%的生产AI部署中。OWASP Agentic Top 10列出的前三大风险是提示注入与越狱、记忆投毒，以及工具或插件误用，而传统安全工具对其中任何一项都难以有效捕捉。随着MCP(Model Context Protocol)扩散，出现了一种新攻击：恶意的MCP服务器把注入载荷藏在工具描述(tool description)里，由于工具描述通常被当作可信内容，载荷会直接绕过内容过滤。AI智能体安全专家正是站在这个位置，在运行时强制规定智能体能做什么、绝不能做什么。

所需技能

核心有四点。第一，运行时能力作用域。给每个智能体一个专属身份，用狭窄的工具白名单(allowlist)和任务结束即失效的限时凭证，把权限切得很细。出发点很简单：智能体无法误用它根本不知道存在的工具。第二，MCP工具权限加固。校验你连接的MCP服务器与工具描述，把工具响应和元数据置于信任边界之外，让注入字符串永远无法被提升为执行指令。

第三，切断从提示注入通向工具误用的链条。注入不是某个模型的缺陷，它利用的是上下文窗口缺少权限层这一结构性空白，因此GPT、Claude、Gemini同样暴露。防御必须落在基础设施层：代理、边界标签、运行时护盾、最小权限。第四，智能体执行沙箱化。用Firecracker或E2B这类微型虚拟机、gVisor，以及工作区隔离的Docker沙箱，让来宾内核的漏洞永远够不到宿主，并隔离代码执行与网络访问。软技能方面，攻击者思维与威胁建模是决定性的。你得在设计阶段就在脑中沿着智能体的工具调用路径先把它攻破一遍。

职业路径

多数人从AI安全分析师或初级安全工程师起步，再转向AI智能体安全工程师。资深阶段通向对整个智能体执行环境威胁模型负责的Staff级AI安全工程师，主管阶段则带领智能体安全团队。需求写在硬数字里。2026年智能体AI的招聘岗位同比增长280%，AI安全工程师的总薪酬从初级约15万美元，到Staff与Principal级的70万美元以上不等。专注智能体安全的人才，比只做LLM应用安全的招聘高出20到30%的溢价。

在国内市场，百度、阿里、腾讯（BAT）正大力建设自有智能体平台，吸纳运行时安全人才，字节跳动等大厂同样在扩编，把工具权限管控与沙箱化能力列为把智能体投入实务的条件。放眼海外，FAANG级巨头正快速组建内部的智能体执行安全团队，OpenAI常设"Security Engineer, Agent Security"这类岗位，Anthropic等大型实验室也在积极招募同一层的人。智能体握有的权限越多，守护这份执行的座位就空得越快。