事件经过
在Infosecurity Europe期间举行的OWASP GenAI安全峰会上（2026年6月4日），OWASP GenAI安全项目推出了代理AI企业采纳成熟度模型，该模型源自其6月3日发布的论文《代理AI安全与治理现状 v2.01》。该模型将六个代理部署级别（AT0影子AI至AT5定制内部代理）与四个治理成熟度级别（临时治理至持续治理代码化）进行映射，生成一个红/黄/绿矩阵，标识治理与部署不匹配的位置。OWASP还宣布成立代理研究委员会，以协调对代理系统的持续安全研究。
影响分析
大多数部署代理的组织运行在"红区单元"中 — 部署AT3–AT5自主代理，同时仍在运行为AI副驾驶设计的AT1级治理。成熟度模型为威胁建模、采购需求和审计标准提供了统一语言，咨询团队和首席信息安全官可以立即应用这些语言来证明特定控制投资或自主性降低的合理性。
建议行动
在OWASP部署治理矩阵上绘制贵组织的已部署代理；任何位于红区单元的代理必须要么获得指定所有者问责制、AI-SBOM、实时日志和自主性限制（以达到第2级），要么缩减其工具范围和权限，直到现有控制足够。