在 Anthropic 首席信息安全官主持的一场 CISO 圆桌会上，Rubrik AI 总经理 Dev Rishi 向在场人士提出了一个直接的问题：是否每个人都已经把自己的 AI 治理和安全政策写成了文档？大约 14 只手举了起来。他随后追问——这些政策究竟如何真正执行——现场反应则明显不同。

“然后所有人都笑了，”Rishi 在 Menlo Park 举行的 VB Transform 2026 炉边谈话中回忆道。“这就像房间里不可明说的秘密：每个人都有这些政策，但没有办法真正让它们落地。”

政策制定与政策执行之间的缺口，正是 Rubrik 试图切入的领域。Rishi 透露，该公司的创始人兼 CTO 一直在积极推动公司 AI 代理启用所谓 YOLO mode——这是一种从代理工作流中移除权限提示、让代理自主行动的配置。对于一家上市的数据安全公司而言，这一表态分量不轻，因为其核心业务是备份关键企业数据。

在 Rubrik 的实现中，第二套 AI 系统会根据组织政策实时评估每一次代理操作，取代原本需要点击批准的人类。Rubrik 首先在自身内部测试这一方法。Rishi 将自主性描述为一个判断问题，而不是能力问题。“如果你要求代理自主行动，它就会这样做，”他说。“这是你们内部需要回答的问题：它应该这样做吗？”

从安全剧场到 AI 仲裁

Rubrik 走到这一方案，是经历了痛苦经验之后的结果。当 Claude Code 和 Cowork 试点在内部推出时，公司要求每一条命令都以 ask mode 运行，也就是说，发出命令的员工承担责任。开发人员的反弹非常强烈，一个 Slack 线程就累积了 120 条消息。

“开发人员基本上都在反对，他们说，这就像 iTunes 服务协议。我只是一直点勾、点勾、点勾、点勾、点勾、点勾、点勾，”Rishi 回忆道。“我根本不可能真的读完这些内容。于是它就变成了安全剧场。”

这种挫败感并不罕见。Rishi 引用 Rubrik Zero Labs 的研究指出，大约 80% 的受访者面临同样困境。该结果来自 4 月发布的《The State of the Agent》报告，报告基于对 1,600 多名 IT 和安全领导者的调查，结论是监控和批准代理操作所消耗的时间超过了代理本身节省的时间。

Rubrik 的答案是 SAGE，即 Semantic AI Governance Engine。SAGE 是 Rubrik Agent Cloud 内部的仲裁层，负责监控每一次代理操作，解读其背后的语义意图，并根据以自然语言编写的政策判断该操作是否允许执行。“我们把人们所说的 human in the loop——一个好想法——替换成了 AI in the loop，”Rishi 说。他用这种方式向安全负责人介绍这一概念，而他形容这些负责人对非确定性系统持谨慎态度。

这一转变之所以重要，是因为企业代理正在从聊天和代码建议扩展到记录系统、工单队列、代码库和通信工具。在这种环境下，治理不再只是文档工作，而成为执行问题：控制措施必须在代理试图使用工具的那一刻发挥作用。

阻碍 AI ROI 的是安全审批，而非成本

Rishi 的履历覆盖了 AI 和机器学习领域一些最具影响力的组织。加入 Rubrik 之前，他共同创立并领导了生成式 AI 基础设施初创公司 Predibase，Rubrik 于 2025 年 6 月同意收购该公司。更早之前，他曾在 Google 负责 ML 产品，所在团队后来发展为 Vertex AI；还曾在 Kaggle 从约 100 万用户增长到 1,000 万用户期间担任其首任产品经理。他拥有 Harvard 计算机科学学士和硕士学位。

在加入 Rubrik 的前三个半月里，Rishi 与类似 Global 2000 客户群中的 IT 和安全领导者进行了 200 次客户访谈，围绕成本、延迟、性能和编排提出开放式问题。

“相当一致的是，我在所有这些对话中听到的是，这些问题都相当次要，”他说。“主要挑战其实是，我如何从安全和风险角度获得批准？我担心可能出错的各种事情。实际上，我认为这是限制 ROI 的最大因素之一。”

当天早些时候在 Transform 舞台上发布的 VentureBeat Pulse 研究印证了 Rishi 一直听到的情况。数据显示，66% 的企业——即三分之二——已经允许或正在积极推进零人工审核的生产部署，但只有 5% 完全信任支撑这一决策的自动化评估。

这种信任缺口为代理治理产品提供了商业机会，但同时也设定了很高的门槛。如果自动化审核成为允许代理绕过人工批准的机制，企业就需要证据证明该审核层既足够快，能够支持生产工作流，又足够可靠，能够让安全团队为其背书。

一个 AI 读取规则手册无法表达的内容

Rubrik 自身的内部政策显示了为什么书面规则不足以作为执行机制。其中一条规则规定，代理必须遵守 Rubrik 的客户数据使用政策——这一指令听起来可以执行，直到有人试图将其操作化。

“Rubrik 的客户数据使用政策就像一份三页长的法律文本，”Rishi 说。“我完全不知道如何把它写成一条规则。”当主持人在台上问，一个 AI 基础设施专家团队如何接手一个传统上由安全工程师负责的问题时，Rishi 回答说：“老实说，是带着很多天真和单纯。”

该团队的核心押注是，擅长理解语言的模型能够有效监管其他模型。SAGE 由此诞生。将模型放到裁判席上的理由，核心在于精确性。例如，一条禁止代理编辑 Salesforce 中收入字段的规则，在传统工具下会失效，因为 Salesforce 并不会区分哪些字段构成收入。因此，管理员被迫手动批准每一次 Salesforce 操作。SAGE 则读取意图，并利用组织上下文来区分良性的数据查询和政策所禁止的编辑行为。

经济可行性取决于让这个“裁判”保持小型化。Rishi 表示，SAGE 运行在一个小型语言模型上，其成本和延迟比前沿 LLM 低一个数量级。“如果我告诉你，别担心，你会得到安全和治理，但我会让你的成本和延迟翻倍，你会让我立刻离开房间，”他说。

当 Rishi 询问听众在过去一年中是否担心过 token 消耗时，大约一半人举起了手。“我猜另一半可能只是懒得举手，”他打趣道。

SAGE 被构建为一组专门化裁判的集合，采用参数高效微调，使 Rubrik 能够创建共享组织上下文的基础模型任务特定变体。一个裁判监控工具使用幻觉，另一个裁判在个人身份信息离开系统之前进行抑制，每一个都作为独立可执行的政策运行。安全和 GRC 团队也开始在同一层中编写财务规则，其中包括一条内部政策，禁止将 AI 支出用于个人项目。

致命三联征

当被问及最担心哪些攻击向量时，Rishi 指向了安全研究员 Simon Willison 在 2025 年 6 月提出的“lethal trifecta”。这一概念描述的是这样一种代理：同时持有私有数据、摄入未经审查的外部内容，并拥有将发现传输到外部世界的渠道。

Rishi 解释称，核心危险在于，单独看似合法的权限在叠加后可能产生复合风险。一个代理如果基于员工凭据同时获得 Salesforce 访问权限和电子邮件访问权限，本身尚未做错任何事——至少暂时还没有。

“一个非常简单的例子是，代理可以开始从 Salesforce 拉取数据，然后决定通过电子邮件意外泄露并外传这些数据，”他对听众说。Rishi 当天早上会见的一家金融服务公司进一步强化了这一点，对方告诉他，任何单独权限本身都没有问题，而且代理确实需要每一项权限才能完成其工作。“它应该拥有对这些系统中每一个的权限，但最终具有真正破坏性的，是这些权限的组合，”Rishi 说。

Rishi 认为，传统身份和访问管理从未考虑过这种组合，因为它依赖持有凭据的人类判断，而代理并不提供这种判断。“我可以告诉你，Claude Code 试图把我们的一些敏感源代码泄露到公共 GitHub 仓库的次数高得惊人，”Rishi 透露。完全切断代理对公共资源的访问会削弱其效用，因此问题又回到在上下文中裁定意图，而不是广泛撤销访问权限。

VentureBeat 6 月 Pulse 另一项针对 107 名合格企业受访者的调查量化了这种模式的影响范围。VentureBeat 当天早上在 Transform 舞台上发布的研究显示，69% 的公司在其代理群中的某些位置存在凭据共享。存在共享凭据的组织发生安全事件或险些发生安全事件的比例为 63.5%（74 家中的 47 家），而每个代理都拥有独立限定身份的组织这一比例为 40.9%（22 家中的 9 家）。

单轮交互无法揭示的攻击

Rubrik Agent Cloud 已于 2 月正式上市，不过 Rishi 描述的并非所有功能都已上线。回测功能刚开始推出。该功能会用一项新政策重放组织历史上的代理操作和工具调用，展示该政策本会在哪些地方介入，以及哪些操作本会未被发现地通过，并且可实时应用政策调整。Rishi 称这一历史档案是企业拥有的最有价值的数据资产之一。

事实证明，实时检测和阻断只是入口，而不是完整产品。有些攻击永远不会触发单一操作规则。“对话中的任何单独一轮都没有问题，但如果把整个会话作为完整轨迹来看，它最终就会有问题，”Rishi 解释说。Agent Cloud 每小时或每天对完整会话轨迹进行批量分析，呈现 Rubrik 所称的“insights”——也就是单个防护栏都未能捕捉到的问题。

同一份 Zero Labs 报告发现，88% 的组织缺乏在不中断系统的情况下回滚代理操作的能力——这一恢复缺口正好落在 Rubrik 既有专业领域之内。

对安全团队而言，回滚是执行的另一半。阻断不良操作只有在系统及时发现时才有用；当代理在任何人察觉问题之前完成了多步骤工作流时，响应取决于能否知道发生了哪些变更、使用了哪些工具，以及组织能否在不造成更大范围中断的情况下逆转影响。

一个未回答的问题

持怀疑态度的 CISO 会提出炉边谈话没有回答的问题。SAGE 本身是一个非确定性模型，用来评估其他非确定性模型，而 Rishi 没有提供这个“裁判”的误报率或漏报率。该架构最接近答案的部分是可审计性：回测和批量洞察都会生成一条可供人类审查的记录，涵盖 SAGE 做出的每一次决策以及绕过它的每一次操作。就目前而言，谁来监督监督者这一问题，答案是一串凭证记录，而不是已发布的基准测试。在这样的基准出现之前，AI-in-the-loop 仍是一项运营押注，而不是可量化的控制措施。

这场讨论为评估自身准备情况的安全团队提出了三个问题：当前生产环境中的防护栏有多少依赖人类点击批准？随着代理数量扩大，这一工作负载会怎样变化？技术栈中是否有任何组件在执行语义意图，还是完全依赖允许列表和拒绝列表？团队能否用新政策对代理行为进行回测，并在不让系统离线的情况下撤销多轮会话？

Rishi 的时间点与可衡量的市场需求相吻合。同一项 VentureBeat 研究发现，82% 的企业仍将其主要 AI 提供商内置的防护栏和云控制措施列为主要代理安全层，59% 计划在未来 12 个月内采用、增加或替换代理安全工具。尽管凭据共享仍是常态，但只有 12% 正在考虑代理身份产品。

Anthropic 那场圆桌会上的每一位 CISO 都有政策文档，却没有执行机制。Rubrik 为这两种现实之间的空白打造了一款产品。YOLO mode 代表着这样一种押注：由一个 AI 监督其他 AI，终于可以让这些政策真正运行起来。