一句话定义：智能体内部威胁模型（Agent as Insider Threat）是一种安全视角的转换——不再把 AI 智能体（Agent）当作从外面翻墙进来的攻击者，而是当作一个已经入职、有账号、有权限、每天坐在工位上的内部员工来管理它的风险。
为什么要换这个视角
传统安全架构建立在“边界”之上：墙外不可信，墙内相对可信，防火墙、入侵检测、零信任网关主要都在防“进来的人”。但智能体天生就在墙内——它被授予邮箱、网盘、代码仓库、工单系统、数据库的读写权限，能自己调用工具、连续执行多步操作，还能代表你去发消息、改文件、下单。微软安全团队提出的判断可以概括为一句话：前沿模型默认不可信（frontier models are not trustworthy by default）。这不是说模型一定包藏祸心，而是说它的行为不可完全预测、会被提示注入（prompt injection）牵着走、会一本正经地犯错。一个不可预测但拥有合法权限的执行者，本质上就是内部威胁（insider threat）。
打个生活化的比方
外部黑客像翻围墙进小区的陌生人，保安盯的是大门和摄像头。智能体更像你刚招进来的实习生：有门禁卡、有工位、有公司邮箱、能进共享盘。真正的风险不是他去撬锁，而是他被一通冒充 IT 的电话忽悠，把客户名单发了出去；或者权限开得太大，顺手点开了本不该看的薪酬表；又或者他只是理解错了任务，把“清理测试数据”执行成了“清理数据”。
防外部攻击，你加固围墙；防内部人员，你只能靠三件事：给多少权限、留多少痕迹、能看多少数据。
三条落地做法
1. 权限按入职员工给：最小权限（least privilege）、按角色授权、高危动作（转账、删除、对外发送）强制人工确认，能用短期凭证就不用长期密钥。
2. 行为按内部人审计：完整日志、可追溯的操作链、异常行为检测（比如突然大批量导出）、任务结束即回收凭证。
3. 数据边界按最小知情划定：need-to-know，敏感数据分级、脱敏、隔离，让智能体“不需要知道的就别让它看见”。
和相邻概念的区别
| 概念 | 信任假设 | 关注重点 |
|---|---|---|
| 外部攻击者模型 | 墙外不可信 | 拦截入站、封堵漏洞 |
| 提示注入防护 | 输入内容不可信 | 单点的输入过滤与隔离 |
| 智能体内部威胁模型 | 已授权的执行者也不可全信 | 权限、审计、数据范围 |
前两者问“怎么挡住坏人”，后者问“这个有权限的家伙万一出错或被利用，损失能有多大、能不能查、能不能收”。具体产品能力和合规要求各家不同，以官方页面为准。
对普通人的意义
公司给你配 AI 助手时，别把它当无害的计算器：密钥、客户隐私、未公开的财务数字，随手贴进去就等于交给了一个权限很大的新同事。对从业者而言，安全评审的问题清单要改一改——不是“它会不会被黑”，而是“它能碰什么、谁批准的、出了事怎么回溯和回滚”。