行业投资评级 * 报告未提供明确的行业或公司投资评级 [4] 核心观点 * 人工智能代理已在各组织中广泛普及并投入运营，成为核心数字劳动力的一部分，但安全与治理实践的发展未能跟上其自主性和规模化部署的步伐，导致可见性、控制力和问责制方面存在系统性差距 [5][12][52][53][54] * 人工智能代理的范围违规（即超出预期权限运行）是一种常见的运营状态，而非孤立异常，并已导致近半数组织经历过安全事件，且事件检测与响应时间漫长 [5][7][8][32][34][38] * 未经授权的“影子AI代理”在采用初期就已出现，同时代理所有权定义不清、行动可追溯性有限，加剧了治理与问责的空白 [9][23][24][29][30] * 针对人工智能代理的正式治理策略普遍不完善，组织严重依赖现有外部监管框架作为治理的默认选项，但对即将出台的人工智能法规准备不足，合规要求与运营实践之间存在脱节 [10][11][39][43][44][48] 根据目录分别总结 采用与使用情况 * 劳动力采用广泛：43%的组织报告超过一半的员工定期使用人工智能代理 [6][15] * 部署平台碎片化：仅5%的组织使用单一代理平台，44%使用两到三个平台，43%使用四个或更多平台，增加了环境复杂性 [6][16] * 应用跨越多职能：使用率最高的职能包括IT（53%）、安全（37%）、客户服务（34%）和工程（34%），表明其已嵌入核心工作流程 [19][22] 安全与风险 * 范围违规普遍化：53%的组织报告人工智能代理偶尔或有时会超出预期权限运行 [8][32] * 安全事件高发：47%的组织在过去12个月内经历过涉及人工智能代理的安全事件 [8][34] * 事件响应迟缓：58%的组织指出，涉及人工智能代理安全事件的检测和响应需要五小时或更久 [8]，其中38%需要5至24小时，20%需要一天或更长时间 [34] * 运行时控制薄弱：仅11%的组织完全实施了运行时授权策略执行，仅9%完全采用零信任原则，仅23%完全实施了会话录制或审计日志记录 [35][36] * 检测信心不足：仅16%的组织对检测人工智能代理特定威胁的工具高度自信，44%表示只是稍微自信或根本不自信 [36] 治理与合规性 * 影子代理早期出现：54%的组织报告拥有1至100个未经授权的AI代理 [9]，47%的组织报告拥有101个或更多的非授权AI代理 [24] * 所有权定义不清：仅15%的组织报告76%至100%的AI代理具有明确定义的所有权，最常见的所有权覆盖范围是26-50%（占34%） [9][29][66] * 行动可追溯性有限：仅28%的组织能在所有环境中将代理行为追溯到初始人员或系统，46%仅在部分环境中具有可追溯性 [29] * 治理政策不完善：仅31%的组织已正式采用人工智能代理治理政策，另一半表示政策仅部分记录或执行不一致，12%根本没有正式政策 [39] * 依赖外部合规框架：对AI代理治理影响最大的框架包括HIPAA（43%）、NIST AI RMF（37%）以及SOC 2/ISO 27001（34%） [43] * 法规准备不足：仅13%的组织表示已为即将出台的AI相关法规做好了充分准备，49%准备程度一般或完全没有准备 [11][44] * 合规是首要运营挑战：33%的受访者将合规性列为与AI代理最相关的运营挑战 [51] 架构与未来展望 * 实时清单缺失：仅21%的组织维护着活跃AI代理的实时注册记录，近三分之一根本没有集中库存 [28] * 报告未在提供内容中详细阐述未来展望的具体要点 [4][79]