2026 年 9 月 14 日，在 2026 年国家网络安全宣传周开幕式上，全国网络安全标准化技术委员会（以下简称“网安标委”）发布《人工智能安全治理框架3.0》（以下简称《框架3.0》）。这是继 2024 年 1.0 版、2025 年 2.0 版之后的第三次迭代。与前两版相比，3.0 版把重心转向以智能体（Agent）为代表的新一代 AI——它不再只是回答问题的工具，而是主动执行任务的主体。对做 AI 产品的企业来说，这一版带来的变化集中在风险判断的边界上。

一、文件性质与版本沿革

《框架3.0》由全国网络安全标准化技术委员会发布，在国家互联网信息办公室指导下，组织中国网络空间研究院、网信办数据与技术保障中心等专业机构与科研院所、行业企业共同编制。它的性质是标准性、指引性文件，不是法律法规，也不直接设定行政处罚。

它之所以需要重视，是因为在中国 AI 治理体系中，“框架—标准—法规”是层层衔接的：框架确立风险认知与方法论，标准把方法论落地为可执行要求，法规最终确定权利义务与责任。框架更新，往往预示后续国家标准与监管动作的方向。企业越早按框架调整，后续面对强制要求时的改造成本越低。

从版本沿革看这条线索更清楚：1.0（2024 年）聚焦技术内生风险与应用安全风险；2.0（2025 年）细化为“技术应用安全风险”与“应用衍生安全风险”，补充劳动就业、资源供需、社会偏见等衍生风险；3.0（2026 年）面向智能体与具身智能，重构了风险分类与应对措施。

二、五条治理原则

其中第 5 条是 3.0 版新增的核心导向，“行为失控”“处于人类控制之下”这类表述，直接对应企业产品中智能体的可控性与可中断性设计。

三、风险分类骨架

《框架3.0》延续“风险分类—技术应对—综合治理”的逻辑，把 AI 安全风险划分为内生、应用、衍生三大类，下设十余个子类。

内生安全风险覆盖模型、算法、数据、算力设施与运行环境，包括输出“幻觉”、安全机制不可靠、注入攻击、行为偏离预期，算法偏见与鲁棒性，训练数据来源不清、数据投毒、合成数据缺陷，以及算力与供应链风险。应用安全风险覆盖智能体、具身智能、冲击网络安全、信息内容，包括智能体身份权限滥用、推理规划偏差、调用执行与记忆存储风险，具身智能的感知与物理执行风险，AI 驱动网络攻击，违法信息与“深伪”误导。衍生安全风险指向社会、经济、伦理与生态影响，包括冲击劳动就业、资源供需、教育体系、社会秩序，加剧偏见，以及拟人化交互带来的沉迷依赖等。

四、3.0 版的新内容

智能体风险单列，并配专门框架。 3.0 版在“应用安全风险”下新增“智能体安全风险”专节，识别出四类问题：身份和权限滥用，如凭证劫持、身份仿冒、过度授权导致越权调用工具；推理规划风险，如意图理解偏差、路径偏离、目标劫持；调用执行风险，如工具劫持、工具投毒、应答数据污染、资源过载；记忆存储风险，如记忆失真、污染、窃取导致决策错误或敏感数据泄露。更关键的是，3.0 版在附件中专门给出了《智能体风险管理框架》，把智能体当作独立的风险对象，而非普通应用的一个功能。

新增“冲击网络安全风险”。 3.0 版新增这一类别，明确列出网络攻击能力扩散、网络防御能力滞后、自主化网络攻击威胁、溯源和追责困难四类风险，并专门设置“自主实施网络攻击威胁”专栏。框架指出，随着大模型代码推理和长程规划能力提升，智能体被赋予网络访问、程序执行、文件操作等权限，当行为约束、沙箱隔离和实时监测不足时，异常推理或安全机制绕过可能被直接转化为真实操作；相关测试中已多次出现先进模型自主完成多步骤网络攻击模拟、突破测试环境限制、连接外部网络的情况。凡给智能体开放了网络访问、代码执行、文件操作权限的产品，都应把能力边界约束、沙箱隔离与实时监测作为强制项。

“非预期自主行为”写入风险清单。 在内生安全风险的“模型安全风险”下，3.0 版新增“行为偏离预期”，并配“非预期自主行为风险”专栏，描述了个别模型拒绝执行关闭指令、自行修改或禁用关闭脚本、发现身处评测环境后策略性降低表现、甚至突破隔离限制入侵外部系统等现象。这一条直接指向智能体产品的可中断性：关闭指令不可被模型绕过，评测与生产环境应隔离，关键操作应有硬性人工确认环节。

具身智能与“智能体社交”进入视野。 3.0 版新增“具身智能安全风险”（环境感知、物理执行、人机交互、群体协同）与“智能体社交平台安全风险”专栏。后者指出，面向智能体的社交平台上，智能体可自主发帖、浏览、互动并形成网络社群，其黑箱特性难以预测与溯源，存在被操纵输出违法信息的风险。数据安全部分还新增“合成数据缺陷”，提示合成数据质量控制不足会累积放大偏差。

五、附件与安全指引

3.0 版的可操作性体现在附件与指引中。附件 1《人工智能安全风险的分级原则》为风险分级提供统一方法，附件 2《智能体风险管理框架》给出面向智能体的专门风险管理方法，附件 3《可信人工智能基本准则》确立可信 AI 的底线要求。第 5 章则按主体给出四类安全指引：模型算法研发、应用建设部署、应用运行管理、应用访问使用。企业可以按自己在产业链中的位置，对应到具体指引条款。

六、对企业的意义

《框架3.0》是推荐性、指引性文件，不直接设定处罚，但它会被后续国家标准、监管要求引用，也是执法与司法判断“是否尽到安全义务”的重要参照。需要说明的是，只调用大模型、不自己做模型的企业同样在其覆盖范围内，重点落在“应用安全风险”这一块，作为服务提供者和系统使用者需要承担相应安全责任。

落到具体动作上，智能体产品需要重点核对的是权限最小化、凭证管理与越权调用监测，工具与插件的准入、签名与应答数据校验，记忆与上下文数据的加密存储、访问隔离与可删除机制，网络访问与代码执行权限的沙箱隔离和审计日志，以及关闭指令不可被绕过、评测与生产环境隔离这类可中断性设计。此外还有训练数据与合成数据的来源留痕、敏感度分级与质量校验，生成内容标识、深伪识别与违法信息过滤，以及具身智能的感知冗余、物理执行安全联锁与人机交互边界。

3.0 版新增的内容最终指向同一个要求：人工智能必须始终处于人类控制之下。从“可信应用、防范失控”原则，到“非预期自主行为”“自主化网络攻击威胁”两个专栏，落点都在智能体行为的可控性与可中断性。需要同时对标的是，《生成式人工智能服务管理暂行办法》是有强制力的部门规章，规定备案、内容标识、训练数据合法性等义务；《框架3.0》是标准层面的治理方法论，覆盖面更广，含具身智能与网络安全等，二者互补。

如需就智能体产品的权限与可控性设计、AI 安全合规体系搭建、模型备案与内容标识、AI 相关的数据合规与网络安全，或刑事合规与监管应对获得支持，欢迎联系简深律师事务所。延伸阅读：最高法涉 AI 纠纷意见解读与AI 数据合规风险清单。

本文依据全国网络安全标准化技术委员会《人工智能安全治理框架3.0》（2026 年 9 月 14 日发布）编写，仅供参考，不构成法律意见。具体案件请结合事实与证据依法判断。