对企业而言，《框架3.0》值得关注的变化之一，是附件2专门设置《智能体风险管理框架》（以下简称“《智能体框架》”），成体系地梳理智能体的安全风险与防范措施。当人工智能从“回答问题”走向“执行任务”，治理需要同时关注输出内容和实际操作。企业可以据此检查拟部署智能体的权限管理、人工审批、工具调用、日志及退出机制等，但具体风控措施仍应结合产品形态、应用场景和适用法律确定。

《框架3.0》本身不创设行政许可、备案或民事赔偿义务，但作为技术指导文件，其价值在于为企业识别智能体风险、配置执行控制和设计合同条款提供具体参照。本文聚焦两项实务问题：如何将附件1《人工智能安全风险的分级原则》（以下简称“《风险分级原则》”）、附件2《智能体框架》的分级思路和风险管理措施落实到智能体操作控制；企业采购智能体产品时，安全要求如何写入合同并落实到运营分工。

一、专章拆解：智能体风险管理的“8环节风险×7类措施”

《智能体框架》的逻辑主线非常清晰：以智能体全生命周期为轴识别风险，以七类防范措施为面给出应对方案。

（一）风险侧：覆盖全生命周期的八个环节

《智能体框架》将智能体安全风险贯穿于设计研发、安装部署、指令输入、推理规划、调用执行、记忆存储、结果输出、停用下线八个环节，并补充了通信协议、日志缺失、行为逃逸等其他风险。其中直接对应“执行失控”的核心风险点包括：

值得注意的是，《框架3.0》正文以“非预期自主行为风险”专栏援引业界相关报道，讨论拒绝停止服务、在评测环境中掩饰行为及突破隔离限制等情形。这说明此类风险已被纳入框架的研究和防范范围。

（二）措施侧：七类防范措施构成可执行的控制体系

《智能体框架》提出的七类防范措施——风险预防前置、身份与权限管理、加强人工审批、供应链与工具管理、运行时动态管理、持续监测与审计、停用安全管理——已经细化到可转化为企业内控制度和合同条款的程度。其中的关键控制点包括：

1. 身份与权限：为智能体配备唯一身份标识，禁止实例间共享身份；仅授予完成当前任务所必需的最小权限；使用动态授权凭证，任务终止或停用后立即撤销。

   
   

2. 人工审批：制定高风险操作清单，执行高风险操作前转交用户接管，中低风险操作需获得用户授权；人工审批系统异常或用户无响应、缺乏对应人工审批规则时默认拒绝执行；审批日志以防篡改、可校验方式留存。

   
   

3. 运行时管控：设置任务规划、工具调用、输出结果的安全护栏；对代码执行等高风险操作采用沙箱、容器隔离；合理设置执行步骤、调用频次、执行时长和资源消耗参数。

   
   

4. 监测审计：对文件操作、指令执行、网络连接、技能调用、交易支付等行为全量日志记录；上线前沙箱环境封闭验证；建立常态化红队测试机制；重大变更（模型、框架、工具、权限或安全策略变化）应开展安全影响评估和回归测试。

   
   

5. 数据与退出：《智能体框架》提出，凭证、密钥原则上不写入记忆，并提出境内收集、产生的数据在境内存储、跨境传输遵守国家规定的安全建议；停用时应终止进程、撤销授权、清理环境与凭证并备份必要数据。数据本地化及出境的具体法定义务，仍须依数据类型、处理者身份和适用规则分别判断。

同时，网安标委秘书处于2026年7月1日发布《网络安全标准实践指南——智能体部署使用安全指引》（网安秘字〔2026〕80号），按“评估、准备、部署、使用、停用”五阶段提出操作建议，包括不以操作系统管理员权限运行智能体、建立高风险操作清单、配置细粒度日志等。该指引所称智能体侧重需要用户授予较高权限、基于大模型的个人助手场景，也可为商业智能体服务选型提供参考。企业采用时应先核对其适用范围，再结合附件2和自身业务调整控制措施。

二、对标《框架3.0》的合规意义

《框架3.0》是网安标委组织编制的指导性技术文件，不具有法律法规的强制效力。企业不宜将框架建议直接等同于普遍适用的法定义务，但可以从以下四个角度评估其合规价值：

第一，立法与政策背景。2025年10月28日修正、2026年1月1日起施行的《网络安全法》第二十条提出完善人工智能伦理规范、加强风险监测评估和安全监管。该条属于指引性规定，不直接设定企业对照《框架3.0》实施具体措施的义务。国务院《关于深入实施“人工智能+”行动的意见》（国发〔2025〕11号）提出优化人工智能相关安全评估和备案管理制度。2026年5月，国家网信办、国家发展改革委、工业和信息化部印发《智能体规范应用与创新发展实施意见》，提出按场景及潜在影响开展分类分级治理，并对敏感领域和重点行业探索备案、检测、问题产品召回等管理措施。上述文件可说明治理方向，但具体义务仍以现行有效规范为准。

第二，监管沟通的技术参照。算法备案、安全评估和专项检查各有其法定依据与适用条件。《框架3.0》及有关实践指南提供了风险识别和控制措施的技术参考；在具体监管活动中是否、如何被采用，仍取决于主管部门适用的法律、标准及检查要求。企业保存风险评估、权限配置和测试记录，有助于说明其控制措施的设计与运行情况。

第三，纠纷中的注意义务参考。智能体操作造成损害时，《民法典》第一千一百六十五条项下的过错、损害及因果关系需要结合个案判断。《框架3.0》中的最小权限、人工审批、日志等措施，可能成为讨论风险可预见性和合理防范措施的参考，但未逐项对标并不当然构成过错，逐项对标也不能当然免责。企业应保存与其场景相称的风险评估、审批、运行和事件处置证据。

第四，标准制定的观察价值。《框架3.0》附件1提出推动人工智能应用安全分类分级国家标准制定，《框架3.0》提出的建议具有先导意义。

总体而言，企业可将《框架3.0》作为风险评估和内部控制的参考。对关键信息基础设施中的人工智能应用，框架正文提出登记备案的治理方向，但不能据此认定现已存在一项适用于所有相关系统的独立备案义务。国有企业、上市或拟上市企业还需分别核对自身适用的行业、国资、信息披露及数据安全规则，不宜与关键信息基础设施运营者合并为同一类义务主体。

三、从应用分级到操作控制：如何理解《框架3.0》两份附件

附件1《风险分级原则》与附件2《智能体框架》提供了两个层次的风险判断。附件1从应用场景重要性、智能化水平、应用规模等维度，评价人工智能应用可能造成的整体影响；附件2则把视线推进到智能体的具体操作，要求结合影响客体、影响程度与范围、后果可恢复性划分操作风险。前者帮助企业决定一项应用需要多强的总体治理，后者帮助企业决定智能体执行某项任务前需要什么控制。

两个层次不能相互替代。一个服务范围有限的内部智能体，仍可能因获准批量删除数据、修改系统权限或发起支付而执行高风险操作；反过来，对应用作出较高的整体风险判断，也不能代替逐项明确哪些操作须由用户接管、哪些须取得授权、哪些应被直接阻断。附件2并未给出可直接套用的操作等级表，企业需要根据自身系统和业务流程制定风险操作清单。

实施时，可先依据附件1记录应用的用途、自主程度和影响范围，再依据附件2梳理其可访问的数据、可调用的工具及可能产生的执行后果，将操作风险与最小权限、人工审批、运行限制、日志审计和应急中断措施对应起来。上线后，模型、工具或权限发生重大变化，应重新检查原有分级和控制措施是否仍然适用。

这套分级方法属于风险治理指引，本身不新增算法备案或安全评估义务。企业是否需要履行相关法定程序，应根据实际服务形态和现行规则另行判断；已有风险评估及测试记录可以为合规说明提供支持。

四、设计企业采购智能体产品的合同安全条款

《智能体框架》的七类防范措施可转化为采购尽调、技术验收和合同谈判的检查项。合同应写清供应商交付的功能、采购方负责的配置、双方共同承担的监测和应急任务，并以可测试的验收标准、持续服务指标及证据交付要求落实，而非直接将整份框架笼统纳入合同。

在上述对照之外，还有四类条款需要采购方特别关注：

1. 变更管理条款。《框架3.0》第5.3.19项建议对模型、应用或权限的重要变更进行安全评估并保留回退能力。合同可将“重要变更”界定为影响底层模型、工具、权限、数据处理路径或安全控制的变化，约定事前通知、回归测试、验收窗口和必要时的回退安排；供应商未按约定通知或擅自变更的违约后果也应写明。

   
   

2. 自主行为致损的责任分配条款。智能体操作致损可能涉及产品缺陷、供应商运维、采购方配置及第三方攻击等多个原因。合同应先区分谁控制模型、工具接入、权限、审批和日志，再约定调查协作、证据保全、补救义务、损失范围及责任上限；涉及故意、重大过失或法律禁止免责的情形，责任限制还须符合强制性规定。网络安全保险可按业务风险和市场可得性评估。《框架3.0》第5.3.12项关于明确数据归属及算法缺陷责任主体的建议，可作为责任链条设计的参考。

   
   

3. 告知、监督与服务处置条款。《框架3.0》第5.3.10、5.3.11、5.3.16项建议提供者说明适用范围、注意事项和使用禁忌，支持使用者监督和控制，并就误用、滥用约定纠正、暂停或终止服务的条件。采购方应核对控制功能是否可实际使用，以及暂停服务的触发条件、通知方式、恢复程序和对关键业务连续性的影响，避免宽泛免责或单方停服条款使前述安排落空。

   
   

4. 数据处理与再委托条款。约定采购方输入、智能体输出、会话记录和日志的处理目的、使用范围、保存地点与期限，明确数据是否可用于供应商的模型训练或产品改进；对接入第三方模型、工具或分包方设置披露、审批与变更机制，并约定跨境传输、个人信息处理及安全事件协作的责任。是否需要同意、评估或其他程序，应按实际数据和适用法律判断。

五、企业行动清单

综合《智能体框架》及相关实践指南，企业可从四个时点建立与具体场景相称的智能体管理机制：

1. 部署阶段：评估使用必要性，分别记录应用整体风险和高风险操作；核查模型、服务及应用适用的备案或登记情况，以及数据处理和行业要求；确定工具接入、权限、人工审批与测试验收范围。

   
   

2. 签约阶段：将双方可执行的安全控制、验收标准、重大变更、数据处理、日志访问、事件处置和退出协助写入合同及附件；明确产品提供方与采购方各自的配置、监测和应急责任。

   
   

3. 运行阶段：落实唯一身份和最小权限，按风险开启并审计必要日志，对业务数据和个人信息实施脱敏及访问控制；《框架3.0》第5.3.6项提出日志留存不少于六个月的指导建议，具体期限还应结合适用法律、合同及数据最小必要原则确定。定期开展适当的安全测试和演练，重大变更后进行回归测试。

   
   

4. 退出阶段：终止服务进程、撤销凭证及第三方授权、关闭访问入口，按约定返还或删除数据并保存必要证据；对依法或依合同仍须留存的日志、会话记录，明确保管主体、期限及期满处置方式。

结 语

《框架3.0》附件2将智能体的执行风险拆解为八个生命周期环节和七类防范措施，为企业识别、测试和控制风险提供了较具体的参考。企业可将其中适用的措施转化为内部制度、产品验收标准和合同义务，同时应区分指导性建议与现行法定义务。随着分类分级标准和人工智能相关立法推进，保留可更新的风险台账、审批记录和测试证据，将有助于回应后续评估及治理要求；未来具体提交或备案要求仍应以正式规则为准。

[参考资料]

1. 全国网络安全标准化技术委员会：《人工智能安全治理框架3.0》（2026年9月14日发布）

2. 全国网络安全标准化技术委员会秘书处：《网络安全标准实践指南——智能体部署使用安全指引》（网安秘字〔2026〕80号，2026年7月1日）

3. 全国网络安全标准化技术委员会秘书处：《网络安全标准实践指南——人工智能应用安全指引 总则》等4项（网安秘字〔2026〕118号，2026年9月15日）

4. 《中华人民共和国网络安全法（2025修正）》第二十条（2025年10月28日修正，2026年1月1日施行）

5. 《生成式人工智能服务管理暂行办法》第十七条（2023年8月15日施行）

6. 《互联网信息服务算法推荐管理规定》第二十四条（2022年3月1日施行）

7. 《互联网信息服务深度合成管理规定》第十九条（2023年1月10日施行）

8. 《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》第三条、第六条（2018年11月30日施行）

9. 国务院《关于深入实施“人工智能+”行动的意见》（国发〔2025〕11号，2025年8月21日）

10. 国家互联网信息办公室、国家发展和改革委员会、工业和信息化部：《智能体规范应用与创新发展实施意见》（2026年5月印发）

11. 《中华人民共和国民法典》第一千一百六十五条（2021年1月1日施行）

12. 《中华人民共和国个人信息保护法》（2021年11月1日施行）

13. 《促进和规范数据跨境流动规定》（2024年3月22日施行）