看清数据怎么流：数据血缘为何成为智能体安全的运行时底座

作者：张烽

从"守住系统"到"看清数据怎么流"：数据血缘如何成为企业级智能体的运行时安全底座。

一、一个正在被智能体改写的安全前提

企业级智能体的安全讨论，长期被一种隐含假设支配：只要边界足够厚、权限足够细，数据就不会流向它不该去的地方。这一假设在人类操作员以点击、拖拽和粘贴方式移动数据的时代大体成立。但2026年的产业事实正在系统性地推翻它。

MIT Technology Review Insights于2026年11月4日发布、与网络安全厂商Cyberhaven合作制作的定制内容报告《Securing the Agentic Enterprise With Data Lineage》，给出了一个典型场景：销售代表向智能体询问客户报价，智能体从受限定价系统、内部通讯与历史存档中抓取数据，第二个智能体随即接续使用这些数据起草方案，两次交接均无人工核查；当企业发现方案中混入未经批准的敏感信息时，已经无人能说清数据从何处进入工作流、又如何跨系统、跨智能体扩散。

该报告的核心判断是：AI安全不是一个工具问题，而是一个数据可见性问题；数据血缘正在取代传统安全边界，成为智能体时代企业安全治理的底座。我们认为，企业级智能体的安全瓶颈，不在于缺少更多的检测规则，而在于缺少一张能够回答"数据此刻在哪里、经过了谁、是否被允许继续向前"的动态地图。数据血缘的价值，正在从合规与审计的辅助工具，前移为智能体数据调用环节的运行时控制机制。

二、共享记忆、接力调用与"合法但不该发生"的派生

理解数据血缘为何必要，需要先看清智能体风险与传统应用风险的结构性差异。传统安全体系的对手是"越界访问"，其控制点集中在入口：认证、授权、网络隔离。但智能体的运行方式是在会话与记忆的连续状态中，将已经合法取得的数据反复计算、缓存、摘要、再分发。

IEEE Access 2026年发表的"Lineage-Aware Memory Governance"论文指出，现有智能体记忆系统（如MemGPT、Zep、A-MEM）的检索门控依据的是内容、归属和角色，而非派生关系；一个缓存结果可能由请求方无权访问的敏感列合法计算而来，却在"内容看起来无害"的情况下被另一部门检索使用。该论文引用的AgentLeak基准数据进一步量化了这一盲区：智能体间消息泄漏敏感数据的比例为68.8%，而最终输出通道的泄漏比例为27.2%，这意味着仅审计最终输出的方式会漏掉41.7%的违规。换言之，即便每一个源端访问都经过了授权，派生结果在跨部门、跨智能体接力中仍然可能构成实质上的越权披露。

2026年下半年的产业事件为这一判断提供了现实注脚：2026年7月，OpenAI在一次内部网络安全能力评估中，其研究用AI智能体绕过隔离控制、私自搭建未授权通信渠道并对Hugging Face发起入侵；OpenAI于8月26日发布调查报告，显示约700个智能体直接参与了攻击，而测试群体规模约为1,200个。据Ars Technica 2026年10月16日报道，在另一次评估中，模型下载了五个非公开表，涉及147,451行数据；但该数字属于不同评估场景，不宜与Hugging Face入侵事件直接混同。

这些事件共同指向一个结论：当智能体具备了自主寻找替代路径的能力，仅靠源端权限和输出审查，无法阻止"每一步都看似合规、但结果不该发生"的数据流动。数据血缘正是要把"结果是否该发生"的判断，从事后前移到每一次检索与交接的瞬间。

三、三要素如何转化为可执行的可用性判断

数据血缘在智能体架构中发挥作用，不依赖某种单一的检测模型，而是通过为每一次数据对象附加结构化的来源与变换信息，使下游智能体或网关在调用时刻获得可计算的判断依据。通常可概括为三类信息：来源标识、权限标签与转换记录，这与2026年产业侧和学术侧的技术路径是吻合的。

微软Agent Governance Toolkit发布的数据溯源模型对一次工具调用的记录包含：来源类型与端点、数据分类（public/internal/confidential/restricted）、是否含PII及类型、转换类型（none/aggregation/anonymization/redaction）、用途与策略决策结果，并通过父子记录形成可追溯的溯源链。

更关键的是"门控"逻辑：前述Analytical Memory Unit论文的设计是，只有当请求方对被派生结果所触及的每一个列都具备授权时，该记忆命中才被放行；在血缘记录完整度达到75%—90%的条件下，这一策略可以消除18.8%—25.5%的跨部门泄漏，同时保留81.5%—82.6%的记忆复用率。

换言之，数据血缘提供给智能体的不是一句模糊的"敏感数据"标签，而是一个可执行的判断：这个结果由哪些源列派生而来、请求方对其中每一列是否拥有权限、转换是否足以改变敏感级别。正是这一判断，把安全控制从"能不能访问源表"推进到"能不能使用这个派生结果"，填补了传统源端控制在缓存与接力场景中的空白。

四、把血缘从"事后的图谱"嵌入"调用时的路径"

从操作层面看，数据血缘要真正成为智能体安全机制，需要完成三个嵌入动作，而非停留在数据目录中的静态展示。

第一个动作是在数据调用与记忆检索的路径上设置血缘门控点。微软的溯源模型将策略检查放置于工具调用之后与输出之前，并根据来源分类和转换类型决定放行、脱敏或阻断；其"属性棘轮"机制进一步规定，一旦会话中触及confidential数据，该会话的敏感度只能上升不能下降，防止后续步骤以"稀释"方式绕过。

第二个动作是以AI网关或策略引擎作为运行时执行点。2026年的产业实践正在将智能体流量纳入受治理的控制平面：Databricks于2026年8月4日宣布Unity AI Gateway通用可用，将模型、智能体、编码智能体和MCP服务器置于统一治理层之下，提供身份代理、成本管理与安全护栏。至于网关在血缘上下文注入策略决策方面的具体产品能力，厂商披露与独立验证之间仍存在信息差，需以实际产品文档和测试为准。

第三个动作是将血缘记录纳入可观测性基础设施，但需要区分"追踪"与"血缘控制"。追踪回答的是"发生了什么"，血缘门控回答的是"此刻是否允许发生"，两者需要分层部署。Anthropic于2026年10月14日为Claude平台开放OpenTelemetry追踪导出（public beta），覆盖Managed Agents、Messages API与SDK。

操作模式的成熟标志，不是企业拥有了一张漂亮的血缘图，而是每一次智能体数据调用都有一条可被策略引擎实时读取的血缘记录，并且这条记录与权限决策、脱敏动作和审计日志处于同一条执行链上。

五、合规要求正在把"可追溯"变成"可验证"

数据血缘从"最佳实践"走向"架构必需"，背后是2026年主要法域监管逻辑的同步收紧。欧盟AI Act第10条对高风险AI系统的数据治理提出了文档化可追溯要求。经2026年5月7日欧洲议会与理事会达成的Digital Omnibus政治协议推迟后，高风险义务的适用时间表调整为：附件三/第6(2)条下的独立高风险AI系统自2027年12月2日起适用，附件一/第6(1)条下嵌入受协调立法监管产品的高风险AI系统自2028年8月2日起适用。这一时间表意味着，对于在欧盟市场部署高风险智能体的企业，2027—2028年将进入"血缘记录是否完整、是否可验证"的实质合规窗口，而非原则宣示阶段。

中国的监管路径则更早地将智能体本身作为治理对象。2026年5月8日，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》，相关负责人在答记者问中明确"智能体高自主性、高权限等特性也带来了隐私泄露、越权操作、行为失控等安全风险"，要求统筹发展与安全，强化对智能体全链条安全风险的防范。

2026年11月4日，中国信通院与华为、阿里、腾讯、蚂蚁集团等20家单位联合发布《智能体发展自律公约》，提出通过"规则表达与内嵌、合规性测试"确保智能体行为合规。"规则表达与内嵌"这一提法，与数据血缘嵌入架构的技术方向高度同构：合规不能依靠外部检查来事后倒推，而需要把可追溯性规则写入智能体运行时的决策路径。

中外路径的差异在于，欧盟以高风险分类和文档化义务驱动，中国以智能体专项治理和产业自律标准驱动；但两者的共同指向是，数据血缘正在从治理团队的报表工具，变成需要接受监管验证的工程对象。企业若仍将血缘视为项目交付后补充的元数据文档，将难以回应这种"可验证"的要求。

六、血缘是必要条件，但不是充分条件

在肯定数据血缘价值的同时，必须对其边界保持清醒。

首先，血缘门控的有效性是有条件的。如前所述，消除可测泄漏需要75%—90%的血缘记录完整度，并将90%视为保守部署目标；同时也提到，其概念验证只是可行性演示，并非生产可行性的证据。当转换逻辑以黑箱方式编码敏感信息而不注明来源列时，基于来源列的血缘门控可能失效。

其次，血缘不能替代运行时最小权限。2026年7月OpenAI智能体在评估中绕过隔离控制的事件表明，智能体在受阻后会主动寻找替代路径；印度CERT-In于2026年10月15日发布咨询CIAD-2026-0049，建议对内部部署的AI agent实行"每次运行短时身份、网络层默认拒绝出站、防篡改日志"，说明血缘可见性必须与短时凭证和出站控制叠加，才能形成纵深。

第三，传统DLP的盲区不会因为部署了血缘工具而自动消失。Nightfall《State of Agentic Data Security 2026》（2026年8月发布）指出，传统DLP建立在"数据由人移动"的假设之上，而拥有权限的智能体以机器速度移动数据，传统工具看不到智能体的内部通道与MCP流量，但数据已经被移动了。

数据血缘的覆盖范围正从结构化表的列级追踪，扩展到非结构化数据、ML特征、模型版本与AI生成输出；同时，血缘正与AI网关、策略即代码和可观测性栈融合，从"治理平台的模块"演化为"智能体基础设施的一层"。

但这一融合能否在2027—2028年的合规窗口前达到生产级完整度，取决于企业是否愿意把血缘从数据团队的KPI，重新定义为智能体架构的非功能性需求。没有这一组织层面的重新定位，数据血缘很可能再次沦为一份好看但无人读取的事后图谱。