📌 导语

随着全球数字治理格局加速重构，我国于2026年6月发布的《个人信息跨境传输新规》正式落地。新规在2022年《数据出境安全评估办法》基础上，首次明确将“智能体”等新型数据处理场景纳入监管，并强化了传输前的安全评估与持续监控义务。这一政策变化，叠加近期360安全智能体在国家级地标亮相、多起恶意插件跨境传播事件，标志着数据跨境合规已从“被动申报”转向“主动防御与持续治理”的新阶段。

🔑 关键要点

1. 新规首次将“智能体”等AI驱动的数据处理活动明确纳入个人信息跨境传输监管范围，填补了技术迭代带来的监管空白。

2. 实施“动态评估+持续监控”机制，要求企业建立跨境数据流的安全基线，并定期向网信部门报送传输链路的安全状态。

3. 强化了“数据接收方”的连带责任，要求签署具备可执行性的法律协议，并明确数据泄露、违规使用的赔偿责任。

4. 对“重要数据”与“个人信息”的跨境传输实施分级分类管理，其中涉及超过10万人个人信息或1万人敏感信息的传输，必须通过安全评估。

5. 新规特别指出，通过“恶意插件”、“伪装安装包”等隐蔽手段窃取并跨境传输的数据行为，将被视为严重违法行为，并追究刑事与行政双重责任。

🔍 深度分析

新规的出台并非偶然，而是对我国数据安全治理体系的一次系统性升级。从近期安全事件来看，仅恶意浏览器插件就已安装21万次，且部分插件通过伪装DLL签名、替换正常安装包的方式规避检测，最终向境外服务器回传用户数据。这暴露了传统合规框架下的两个盲区：一是对“边缘设备”和“非标准应用”的监管缺失，二是对数据接收方实际安全能力的评估流于形式。 新规的核心逻辑在于“以数据为中心”的主动防御。它不再满足于企业提交一份静态的评估报告，而是要求企业建立覆盖数据全生命周期的监控能力。例如，新规要求企业在传输前完成“数据安全影响评估”，并持续跟踪数据在境外的存储、访问与使用情况。这实际上是将安全运营的理念——如360智能体所展示的实时威胁监测与自动化响应——强制引入合规流程。 此外，新规对“智能体”的监管前瞻性尤为突出。随着AI员工、自动化助手等应用普及，智能体会在无人干预下自主发起数据请求与跨境传输。新规要求企业对此类行为进行“可审计、可溯源、可阻断”的管控，否则将视为企业未尽到管理责任。这直接冲击了当前许多企业“先上线、后合规”的敏捷开发模式。 从国际视角看，新规与欧盟GDPR、美国CLOUD Act的规则差异将进一步加大企业的合规成本。但另一方面，它也倒逼中国企业构建更先进的数据安全技术栈，从依赖合规文档转向依赖合规架构与安全智能体，这反而可能成为我国数据安全产业弯道超车的契机。

⚡ 影响评估

对行业而言，数据合规服务市场预计将迎来爆发式增长，特别是围绕跨境数据流的安全评估、监控审计工具、智能体安全网关等领域。对企业来说，合规成本短期内将显著上升，尤其是涉及出海业务的互联网平台、跨国车企和金融科技公司，需在3-6个月内完成技术架构改造。对个人用户而言，新规强化了知情权与拒绝权，例如企业必须明确告知其数据被传输至哪个国家、由何种算法处理，这将有效抑制恶意插件、伪装安装包等窃密行为。不过，短期内部分境外服务可能因合规成本过高而暂停在华运营。

💡 建议措施

1. 立即启动数据资产盘点：重点梳理涉及跨境传输的API接口、第三方SDK、以及AI智能体的数据调用链路，建立动态数据地图。

2. 升级安全技术栈：部署具备流量审计与行为分析能力的数据安全网关，对跨境传输的流量实施实时监控与阻断，确保能识别如恶意Dropper、假冒数字签名等隐蔽攻击。

3. 重构法律协议体系：与所有境外数据接收方重新签署合规协议，明确数据泄露的赔偿条款、审计权与应急处置预案，避免因连带责任引发巨额罚款。

4. 建立智能体安全基线：为所有AI驱动的自动化流程设定数据访问权限边界，确保智能体发起的跨境传输行为必须经过人工审批或内置的安全策略强制执行。

5. 开展合规模拟演练：在正式申报前，组织跨部门（法务、安全、业务）的模拟安全评估与应急演练，重点检验对“伪装安装包”、“插件后门”等典型攻击场景的响应能力。

数安早知道

— 点击上方链接访问知识库，获取更多安全资讯 —