一份刚出炉的 Onapsis 调查，给所有正在把 AI 智能体接进 ERP 的 CIO 泼了一盆冷水：在 204 家运行 SAP、Oracle、Salesforce 或 Oracle ERP 的美国大型企业里，58% 已经让 AI 智能体接触 ERP 数据，而 22% 已经发生过至少一次"AI 被用于攻击关键业务平台"的事件。调查最清醒的一句话是——这根本不是软件漏洞，而是治理缺口。智能体拿到的，是合法凭据；它能做的，是调用真实 API、改主数据、甚至触发过账。当一家企业把"自动化"接在一套还没想清楚权限边界的系统上，它真正自动化的，是风险。
一、从"会聊"到"能动"，攻击面换了个量级
过去两年，企业担心的 AI 风险，大多集中在"它会不会胡说"。但智能体和聊天机器人本质不同：大模型只生成文字、不碰你的系统；智能体却串接了外部工具、记忆库和业务系统的写权限。资策会 AI 研究院院长戴偉峻在 10 月的论坛上，引用麦肯锡数据给出了一组对比——40% 的大型企业已经在评估导入 AI 代理，但只有 21% 具备成熟治理架构，53% 反映系统出现了越权行为。这三个数字放在一起，结论很清楚：评估热、治理冷，越权是普遍现象而非个别事故。
攻击手法的进化比很多人以为的更快。最隐蔽的一种叫"间接提示词注入"：黑客把指令藏进 API 返回的订单数据里，或者藏在一张产品图的背景像素里，AI 检索解析时就在不知情的情况下绕过了限制，直接执行未授权的转账或数据外泄。另一种是"记忆毒化"——通过污染 Agent 的长期记忆，诱导它建立错误的商业逻辑。还有更直接的：篡改 ERP 工具的描述，让采购 Agent 误判库存数字或毛利底线，最终引发严重采购失误、拖垮整条供应链。从"生成文字"到"能执行动作"，攻击面不是线性扩大，而是换了个量级。
已让 AI 代理接触 ERP 的美企占比 / 已发生"被反噬"事件占比 / 反映系统越权的企业占比
二、把智能体当"实习生"管，而不是当"插件"用
安全圈现在频繁提到一个新词：NHI（Non-Human Identity，非人类身份）。意思是，一个 AI 代理在系统里发起的每一次写入，背后都是一个身份——它和坐在电脑前的员工、和一条自动化脚本，在权限模型里应该是同一类东西。SOC 2 的访问控制条款（CC6.1、CC6.2）已经写得很明确：每一个逻辑实体，无论人或非人，都必须被授权、被监控、被留痕。换句话说，AI 代理就是个特权身份，而不是一个聪明的插件。
现实里最常见的错误示范，恰恰是为了省事：实施团队给 AI 代理配一个高权限的服务账号，"因为这样最简单"。这是最危险的做法。正确的思路，是把 Agent 当成一名外部承包商——界定清楚它的服务范围（只能访问完成本职所需的模块和实体）、授予最小权限、全程可追溯、一旦异常可随时吊销。OWASP 今年发布的 Agentic 应用 Top 10 里，专门加了一条"least agency（最小自治度）"：不要给 Agent 超过任务本身需要的自治空间。一个补货建议可以无人执行，一次财务过账就绝不能。
三、给智能体划三道闸，开源 ERP 是个好样本
落到工程层面，把 Agent 圈得住，可以拆成三道闸。第一道是身份先行：每个 Agent 必须有独立身份、绑定到具体的法人实体与权限范围，并且在日志里能和人工操作区分开。第二道是最小权限 + 人工兜底：凡是高利害动作——财务过账、主数据修改、支付发起——强制人工核可（HITL），其余动作也要有清晰的 escalation 触发条件。第三道是留痕与回滚：谁发起的、哪个 Agent 产出了什么、用了哪份输入数据、谁批准的，都要能事后重建；出现异常要能停、能回滚。
这里可以拿开源 ERP 做个对照。Odoo 20 通过 MCP（Model Context Protocol）让你自带模型——Gemini、Claude、ChatGPT 随你选，但写权限落在你设的权限体系与数据质量上。"连接与治理交还用户"，这句话听起来是商业话术，落到安全上却是实打实的好处：钥匙在你手里，你就能决定 Agent 能碰什么、碰了之后谁负责、出了问题怎么回滚。这和 Workday 的"no side door"、Oracle 的 Deep Trust、SAP 的 BTP 治理层，是同一个方向的不同实现——执行权可以交给 Agent，治理权必须留在你手里。
大厂路线
治理内建在套件里，开箱即用、审计方便，但执行边界与数据沉淀都在厂商平台内，迁移与改造受约束。
开源路线
模型自择、数据 100% 自有、权限与回滚由你定义，主权与可组合性最强，但需要自己把治理框架搭起来。
四、给 CIO 的三条纪律
1. 把 AI 代理写进 IAM 身份目录。别再用高权限服务账号"凑合"。每个 Agent 作为独立非人类身份登记，最小权限、可撤销、日志可区分——这是 SOC 2 与即将到来的监管都会追问的底线。
2. 高利害动作强制人工兜底 + 审计轨迹，先窄管道灰度。从高频、低风险的环节（如供应商 intake、例行 PO 创建、支出分类）起步，把置信度和干预率跑出来，再谈扩大自治范围。财务过账、主数据修改、支付发起，永远是人工兜底的红线。
3. 数据集成先行。智能体不会改善数据质量，只会放大它。脏数据会让 Agent 用更流畅的语气给出错误的判断——订单到现金的链路必须实时、完整，再开 Agent，而不是反过来。
智能体拿到 ERP 钥匙之后，竞赛从"谁更聪明"变成"谁更圈得住"。对成长型企业来说，最划算的打法，是先用开源把数据主权握在手里，再一寸一寸地把治理框架搭起来——能力可以借，边界必须自守。
本文基于公开信息分析：Onapsis 2026 ERP / AI Agent 调查（经 LiveThreat Intelligence、DataBreachToday 汇总，样本 204 家美国大型企业）、资策会 AI 研究院院长戴偉峻《打造 AI Agent 的资安防护网》（2026 科技论坛「AI Agent 新赛局」，2026-10-14）、OWASP Agentic Applications Top 10（2026）、Workday Rising 2026 安全公告（2026-10-13）。相关 Odoo 20 MCP 与开源主权论述为作者基于公开产品文档的对照分析。
众谛信息 · 专注 Odoo 与企业管理数字化解决方案
