印度给智能体安全审计划了四级

印度国家网络安全应急机构把智能体权限、工具调用和紧急停机写进四级风险审计框架。

印度计算机应急响应小组（CERT-In）于 2026 年 11 月 4 日发布《人工智能安全审计指南》v1.0，全文约 107 页。指南把会规划任务、调用外部工具、委派工作的智能体单独列入「高级 AI」审计要求。

智能体须有可核对的身份与权限边界，不得自动继承用户、工具或其他智能体的权限；高风险部署还要能紧急中断、吊销凭证并防止失控重启。同一份文件也写了四级风险分级和事故通报时限。Hindustan Times 11 月 5 日核对后指出：文件没有写清依据哪条法律、何时适用、不遵守会怎样。

11 月 4 日：107 页指南落在工作组抬头下

PDF 封面写明编制方是 CERT-In 第 03 分组「AI 安全审计指南工作组」，版本 1.0，日期 2026-11-04。MediaNama 11 月 6 日的解读确认，适用范围覆盖在印度开发、采购、部署或运营 AI 的组织，以及处理印度数据、向印度用户提供 AI 服务的系统。

外国模型公司若服务印度用户，也落进这张网。

指南自称要给 AI 安全审计一套可重复的方法，而不是再发一份原则宣言。九个核心审计域从治理问责、数据与模型风险，一直写到持续监控、人工监督和第三方供应链。

受众表里点名了 CERT-In、电子与信息技术部，以及印度储备银行、证券交易委员会、保险监管与发展局、电信管理局等行业监管机构。文件称它们「负责 AI 监督与执法」，却没有为这些部门另写专用条款。

四级风险决定谁来审、审多深

指南用影响严重程度、自主程度、数据敏感度、可逆性、行业关键度等因素，把系统分成低、中、高、关键四级。Hindustan Times 与 MediaNama 的归纳一致：低风险可自评或内部复核；中风险原则上要由 CERT-In 入册审计机构做年度独立审计。

高风险与关键风险同样要独立审计，关键系统还要持续监控。高风险与关键风险的要求写明不因公司大小而放宽。

生产环境中的 AI 系统还要维护「AI 物料清单」（AIBOM），记录模型、数据集、提示、工具与软件依赖，深度随系统复杂度与风险调整。生成式 AI 须有禁止未经同意制作真人深度伪造的政策，并对生成媒体做内容来源标注（如 C2PA 或同等方案）。可报告的 AI 安全事件沿用 CERT-In 既有节奏：六小时内通报，相关日志保留 180 天，并把合规情况纳入审计检查项。

智能体条款：权限、批准门与紧急停机

第 9.7 节「Agentic AI Security」是本篇要盯住的变化。原文要求智能体具备书面身份、授权目标、批准工具清单、权限边界与动作上限，并按最小权限运行，「不得自动继承来自用户、工具或其他智能体的权限」。

有后果的动作须经合适的人工批准门。执行元数据、状态迁移、工具调用、委派、批准与外部动作要留痕，并防篡改。

对高风险智能体，指南要求支持紧急中断、凭证吊销、回滚，以及防止失控后自动重启。若智能体接外部工具服务器、插件、Model Context Protocol（MCP）服务或动态发现的服务，须维护获准连接清单，核验工具身份与描述，并对安全相关调用记账。

Times of India 11 月报道把同一条写得更直白：审计要测智能体能否越权访问、未经批准调用工具、绕过批准或滥用凭证；「有后果的动作须经合适的人工批准门」。

多智能体场景另有一张控制表：每个智能体单独身份、代理间通信要认证、委派不得自动带走全部权限、共享记忆要防串写、要能拦住递归委派与失控扩散。审计方还被要求测批准门能否被绕过，以及授权审阅人能否拒绝、纠正或覆盖输出。

清单已经写细，强制力还停在门外

指南正文大量使用 shall，读起来像可执行清单。但 Hindustan Times 在报道里单独强调：文件没有写明依据哪条法律发布、何时对哪些主体生效、不遵守会面临什么后果。行业监管机构出现在「目标读者」表里，不等于本周起就按这套四级去开罚单。把「工作组发布了审计方法」读成「全国已统一强制执法」，证据不够。

反方会说：既然 CERT-In 是国家级应急与通报枢纽，又把六小时通报和入册审计机构写进框架，组织会按「可能被引用」来准备。这个判断说得通，它解释的是合规压力的预期，不是罚则已经落墨。真正决定约束力的，是后续部门通知、立法或牌照条件有没有把本指南点名为必须遵守的标准。

因此，我们的立场是：11 月 4 日改变的是审计语言——智能体的身份、权限继承、工具清单和紧急停机第一次被印度国家级网络安全机构写成可对表的条款；没有改变的是执法开关——谁强制、何时强制、不强制会怎样，文件自己留空。

责任先停在两处：部署智能体的组织要按自己的风险分级决定审多深、记什么账；点名的行业监管机构若要把这份指南变成硬约束，还需要另一次明文引用。在那之前，把「shall」当成已经生效的罚则，站不住。