AI Agent删库事件揭示治理真空，ARC框架给出“办入职”实操方案
2025年被视为AI智能体元年，Replit的AI智能体在任务执行中清空生产数据库，暴露出企业AI治理的空白。新加坡政府科技局与新加坡科技设计大学研究者提出的ARC（Agentic Risk & Capability）治理框架，以审查AI能力替代审查工具，将能力分为脑力、接口、动手三类，并配套46项风险清单与三级管控措施。该框架可直接落地，帮助企业为AI定岗、定责、上保险，解决监管原则太虚、安全方案门槛太高的中间层空白。
事件概述
2025年7月，AI编程平台Replit的智能体在执行任务时清空一家软件公司的生产数据库，事后AI道歉称“灾难性失误”。此事件并非孤例，OpenAI高管将2025年称为“AI智能体之年”，大量能写代码、改文件、执行交易的AI Agent批量进入企业，但多数企业未建立合理的权限管控规则。现有监管框架（如欧盟AI法案、NIST框架）只讲原则缺乏操作手册，而专业安全方案（如OWASP威胁建模）门槛过高，企业急需拿来即用的治理制度。
ARC框架核心：以能力定风险
新加坡政府科技局（GovTech）联合新加坡科技设计大学三位研究者提出的ARC框架，放弃传统“逐个审查工具”的思路，改为审查AI智能体的能力。框架将能力划分为三类：
- 脑力：自主拆解任务、排优先级、派活、选工具。
- 对外接口：与人聊天、生成内容、上网搜索、对外发函、执行交易、操作UI。
- 动手能力：写代码、增删改查文件/数据库、调整系统配置。
这一视角的优势：能力比工具更稳定，天然可分级（低风险业务无需陪高风险走流程），表述直白（业务和法务均可快速理解）。
完整落地流程：对应AI“入职手续”三步法
第一步 明确AI身份（元素）
除梳理能力外，还需核查：
- 组件（所用大模型、指令、记忆、工具）
- 设计（多AI协作分工、权限隔离、行为留痕）
第二步 预判风险
将翻车原因归为三类：
- 能力不足/理解偏差（AI自己菜）
- 提示注入（被黑客带坏）
- 依赖工具出错（装备坏了）
论文附录提供现成风险登记册，共46项风险，覆盖常见高危场景（如覆写/删除数据库表、通过恶意网站进行提示注入等），每条均有真实事故或研究背书。
第三步 分级管控
控制措施分三档：
- 红线：必须照做（如AI生成代码只能在断网沙盒运行）
- 标配：应当采纳或改造后采纳（如破坏性操作前人工审批）
- 加分项：高风险系统建议加装
框架要求明确评估残余风险，承认不存在绝对安全的方案。
两个AI产品的治理差异对比
论文以两个虚构产品做演示：
- 研究员（对标Deep Research）：仅能搜资料写报告，适用风险38项，最终需管控10项，对应17条措施。最凶险风险：通过恶意网站提示注入（影响4/5，可能性5/5）。
- 氛围编程者（对标Replit/Vercel）：能根据一句话生成并部署网站，适用风险48项，最终需管控25项（是研究员的2.5倍），其中包含“覆写/删除数据库表”这一条，直接引用Replit事故。
同一流程，两种产品得出完全不同强度的管控方案，符合“按能力定风险”原则。
值得关注
ARC框架尚未经过大规模实证检验（“设计完成、路测刚开始”），且风险清单需随新攻击手法持续更新。但它解决了当前企业AI落地的核心痛点——在AI Agent从“要不要上”变成“上多少个”的转折期，绝大多数组织治理能力停留在“出了事再说”。启动AI之前，企业需明确三个问题：AI能接触什么资源？最坏后果能否承受？出事之前谁有权拔插头？入职手续必须提前办好。
（核心数据来源：论文“With Great Power Comes Great Responsibility: The Agentic Risk & Capability (ARC) Framework”，Shaun Khoo, Jessica Foo, Roy Ka-Wei Lee，arXiv:2512.22211，发表于IASEAI'26。Replit事故引自Fortune 2025年7月报道。）