多企业级智能体协同中的数据隐私保护

随着大型语言模型（LLM）的爆发式演进，人工智能的发展已跨越单体模型孤岛，正式迈入多智能体系统（Multi-Agent Systems, MAS）协同的新纪元。到2026年，企业级智能体网络已不再是停留在实验室的理论构想，而是重塑全球供应链、金融支付、医疗健康与企业资源计划（ERP）的核心底层设施，预计到2030年，此类系统将在全球范围内创造数万亿美元的经济价值，并推动企业向“原生智能体（Agent-Native）”架构全面转型。在这个由多智能体主导的商业环境中，来自不同企业、不同供应商和不同框架的专门化智能体需要进行高频的数据交换、任务协商与联合推理，以往孤立的自动化任务正演变为复杂的跨组织委托代理网络。

然而，跨组织边界的智能体协同不可避免地引发了空前严峻的数据隐私与安全挑战。传统的以边界防御（Perimeter Security）为核心的网络安全架构在面对自主规划、动态交互且高度非确定性的智能体网络时已全面失效。当智能体的决策权力跨越企业边界，安全不再局限于端点或基础设施，而是深深刻入系统的推理链、信任关系和共享上下文中。本报告将从分布式机器学习与多智能体系统的信息交换层级出发，深入解析底层通信协议的安全机制、前沿隐私计算与密码学技术的部署、物理算力约束及全球监管合规框架，并结合典型行业案例，全景式解构多企业级智能体协同中的数据隐私保护与安全架构。

1. 威胁重塑：多智能体架构下的隐私泄露风险与边界失效

多智能体系统的出现不仅放大了传统软件架构的漏洞，更引入了全新的攻击面。学术界与工业界对分布式机器学习安全性的研究表明，在多智能体交互中，隐私泄露风险贯穿于预处理数据、学习模型、提取知识以及中间结果四个核心信息交换层级。当大语言模型被赋予调用工具和编排任务的权力时，传统的确定性逻辑被概率性行为所取代，使得威胁建模变得异常复杂。

1.1 AgentLeak基准测试与隐藏泄露假说

在多智能体交互中，数据的泄露路径远比单智能体复杂。业界权威的AgentLeak基准测试揭示了多智能体系统中的核心隐私泄露风险，明确指出系统引入了大量未受监控的内部通信通道，这些通道往往在最终输出看似安全的情况下，隐蔽地泄露了海量敏感数据。测试系统地定义了七条具体的泄露路径，其中外部通道（如交付给用户的最终输出、发送至外部API的参数或系统日志）通常是传统安全审计的焦点。然而，最大的风险潜伏在内部通道中，尤其是智能体之间的直接通信通道以及多个智能体可访问的共享内存状态池。数据显示，智能体间消息通道的敏感数据泄露率高达68.8%，而最终输出通道的泄露率仅为27.2%。

AgentLeak提出的一项重大风险因素是“隐藏泄露”（Hidden Leakage）假说。研究表明，在约41.7%的场景中，多智能体系统能够产生完全合规的最终输出，但同时却在内部通信通道或共享内存中泄露了大量敏感数据。这意味着传统依赖于边界拦截和输出过滤的安全审计在面对多智能体系统时，将面临近半数隐私风险处于隐形状态的严重盲区。这种隐蔽的泄露机制使得任何试图通过单一出口节点监控来保障隐私的努力都显得徒劳。

1.2 结构化的攻击向量与内部威胁建模

在多智能体架构下，攻击向量呈现出高度的结构化特征。依据威胁级别的不同，攻击者既可以通过操纵外部信息源发起弱攻击，也可以通过受损工具直接入侵内部系统发起强攻击。攻击面涵盖了提示词和指令注入、工具接口漏洞滥用、长期记忆操纵以及专门针对多智能体协调机制的漏洞利用等多个维度。由于语言模型作为核心路由器存在固有的概率性和幻觉倾向，恶意的提示词注入极易误导智能体调用错误的API或篡改上下文数据。特别是在上下文记忆管理中，当不同任务之间重叠的上下文窗口发生融合时，攻击者可植入休眠指令引发上下文中毒，进而在未来的某个特定条件下触发系统级的数据外泄。更为复杂的是跨智能体协作中的隐式信任滥用问题，即一个智能体的输出通常被下游智能体假定为有效而无需二次验证，攻击者通过窃取这种信任链路能够轻易在网络中横向移动并获取高权限数据。

面对这种不断膨胀的攻击面，领先的AI研发机构已开始重构安全防护体系。以Google DeepMind发布的“人工智能控制路线图（AI Control Roadmap）”为例，该框架摒弃了对模型绝对对齐的幻想，转而采用一种纵深防御策略，将所有未经彻底验证的内部智能体一律视为潜在的“内部威胁”。通过将业界标准的MITRE ATT&CK框架映射到智能体行为中，安全团队能够将复杂的攻击拆解为具体的战术和技术动作，实施细粒度的权限控制与隔离。在这一理念下，系统的安全性不再仅仅依赖于单个大语言模型的鲁棒性，而是建立在系统级审计、沙箱隔离以及零信任架构的基础之上。

2. 跨企业通信协议：智能体协同的基础设施与隐私博弈

为了解决不同框架、不同企业开发的多智能体无法相互协作的“数字碎片化”难题，业界在2025年至2026年间快速推出了多种智能体通信协议，这些协议不仅定义了信息交换的格式，更划定了数据隐私的安全边界。当前，MCP、A2A、ANP和ACP等协议各自代表了不同的架构理念与隐私保护路径。

2.1 模型上下文协议（MCP）：工具调用的安全困境

模型上下文协议（Model Context Protocol）最初由Anthropic推出，现已迅速成为连接语言模型与外部数据源（如企业数据库、SaaS应用）的事实标准。MCP采用典型的客户端/服务器架构，其核心优势在于为大模型提供了一个标准化的工具调用和数据读取接口。然而，这种架构在处理高度敏感的企业数据时暴露出显著的脆弱性。

美国国家安全局（NSA）与安全人工智能联盟（CoSAI）的深入分析指出，MCP的广泛采用已经超出了现有安全护栏的承载能力。由于MCP将概率性的语言模型置于安全决策的核心，传统的防火墙和静态基于角色的访问控制（RBAC）已不足以防御通过自然语言伪装的攻击指令。例如，在“混淆代理（Confused Deputy）”攻击中，恶意客户端可以通过漏洞获取下游第三方API的授权，绕过用户的明确同意，导致未授权的数据访问。此外，动态工具调用和缺乏严格的输入过滤机制，使得MCP系统极易受到上下文投毒的威胁；未受监控的“影子MCP服务器”则可能在企业网络内部形成隐蔽的数据外渗通道。

针对这些威胁，企业必须采取严格的纵深防御措施。执行大型语言模型生成代码的MCP服务器不仅需要基础的容器化，还必须采用gVisor、Kata Containers或SELinux等深层沙箱技术进行强隔离，对于最高安全级别的部署，甚至需要利用可信执行环境（TEE）进行远程证明。所有的工具设计必须遵循最小权限原则，绝不依赖语言模型进行安全验证，并将安全控制硬编码在工具逻辑内部。同时，对于涉及受监管敏感数据的场景，采用本地化处理（如本地RAG架构）可以有效降低数据暴露在云端接口的风险。

2.2 跨企业协作协议：A2A、ANP与ACP的演进

与专注于工具调用的MCP不同，业界推出了多款侧重于端到端智能体协作的对等网络（P2P）协议，这些协议在保护企业核心商业逻辑与隐私方面具有内在优势。

由Google发起并移交至Linux基金会管理的Agent-to-Agent（A2A）协议，旨在实现跨框架、跨组织的智能体协作。A2A严格贯彻了灰盒交互原则，智能体之间不需要共享推理过程、提示词或底层工具链，而是通过结构化的任务生命周期、工件（Artifacts）和消息传递进行协作。这种不透明性极大地保护了企业的知识产权和内部风控逻辑。在安全性上，A2A原生支持基于OpenAPI规范的认证体系，包括用于委派访问的OAuth 2.0、适用于内部受控环境的API Keys以及无状态的JWT令牌交换，确保每一次任务委派都建立在可验证的信任基础之上。

尽管A2A为跨企业协同提供了坚实的基础，但在处理极高敏数据（如支付凭据或医疗档案）时仍有改进空间。学术界提出了针对A2A的协议级隐私增强方案，主张引入临时作用域令牌（Ephemeral Scoped Tokens）、显式同意编排机制以及直接的用户至服务加密数据通道，从而在时间跨度、上下文范围和拓扑结构三个维度上最大程度地限制数据的暴露面积。

与此同时，起源于开源社区的智能体网络协议（ANP）采取了更为激进的去中心化路线。ANP摒弃了对中央注册表的依赖，采用基于W3C规范的去中心化身份（DID）和端到端加密通信层。这种黑盒交互模式将智能体的发现、协商与缔约完全下放，特别适合在零信任的开放互联网环境中构建不受单一供应商控制的全球智能体生态。此外，IBM推动的ACP（智能体通信协议）则侧重于利用REST风格架构，为企业内部多智能体网络提供同步与异步兼备的互操作能力。

3. 密码学范式转移：隐私计算在多智能体协同中的工程化落地

虽然通信协议在应用层划分了访问控制边界，但要从根本上解决“智能体如何在不泄露原始数据的前提下进行联合推理与自适应学习”这一悖论，必须深入底层依赖现代密码学与隐私增强技术（PETs）。零知识证明（ZKP）与多方安全计算（MPC）技术的成熟，正在推动MAS安全体系的范式转移。

3.1 零知识证明（ZKP）与可验证审计

零知识证明技术允许证明者向验证者在数学上确认某项陈述的真实性，而绝不暴露生成该陈述的任何底层参数或原始数据。这一特性精准契合了多智能体网络中“建立信任但不交出控制权”的核心诉求。在智能体推理层面，zkLLM等框架利用tlookup和zkAttn等针对Transformer架构优化的密码协议，能够提供可验证的模型推理。这意味着客户端或下游智能体可以确信上游代理的输出是由特定的专有权重在不接触敏感用户输入的情况下正确计算得出的，从而有效防范了模型被篡改或中间人注入攻击。同时，通过集成如Privacy-R1等基于强化学习的框架，智能体能够学习动态路由策略，自主区分可以在本地屏蔽的可替换敏感信息与必须发送至云端的高效能推理信息，实现隐私与效用的自适应平衡。

在合规审计方面，传统的网络监控与隐私保护天然冲突，而ZK-MCP（基于零知识证明的模型上下文协议扩展）提供了一种绝佳的解决思路。在ZK-MCP架构中，智能体间的高敏通信并不直接以明文形式供审计方随时查阅，而是提取为不可逆的密码学哈希并记录在案。当审计触发时，相关的智能体可以生成一个零知识证明，从数学上向审计方证实其历史通信内容完全遵守了特定的合规策略（例如确认未包含受限的个人身份信息），同时绝不将实际对话内容暴露给审查者。这种被证明通信开销极低（小于4.14%）的机制不仅实现了无监视审计，还使得服务市场中的多个智能体可以在不泄露自身架构机密的前提下，对彼此的服务质量和资源使用情况进行双向相互审计。

3.2 多方安全计算（MPC）在多智能体强化学习中的突破

多方安全计算（MPC）使得互不信任的参与方能够在不暴露各自输入的前提下，协同计算出一个目标函数的结果。在跨企业多智能体强化学习（MARL）场景中，每个组织的局部最优策略严重依赖相邻组织的战略数据，但共享这些机密可能导致毁灭性的商业后果。

为打破这种博弈僵局，学术界成功将安全MPC框架（如基于EzPC平台的SecFloat）引入MADDPG等多智能体强化学习算法中。由于直接将庞大的神经网络梯度传播交由密码协议处理会导致计算量爆炸，研究人员通过将前向和后向传递拆解为与底层协议完美兼容的基础浮点运算，实现了高效的加密学习。这种工程上的突破使得供应链上下游的智能体能够在完全保护库存、产能和定价等战略隐私的前提下，完成联合策略优化，进而将供应链的物理浪费减少约68.19%，并使得参与方的累计收益平均提升逾42%。

在金融反欺诈等对合规要求极高的领域，基于MPC架构的联合建模已成为打破“计算孤岛”的标准化基础设施，使得风险信息的聚合计算摆脱了对中心化明文数据库的依赖。

4. 物理算力限制：智能体通信的延迟困境与基础架构革新

无论密码协议在逻辑上多么完美，若部署在庞大的分布式网络中导致性能严重衰减，多智能体系统便无法承担企业的核心生产任务。当前的AI基础设施主要围绕单次人类交互优化，完全无法适应智能体动辄数十次的连续调用和长链条推理。

4.1 延迟危机与硬件空转的结构性矛盾

智能体工作流是一个高度迭代的反馈循环，涉及密集的工具调用、API查询和状态更新。根据Akamai的2026年AI推理报告，高达82%的组织关键应用场景要求端到端响应时间低于500毫秒，64%的组织更是将目标设定在250毫秒以内；然而，近半数的企业部署在高峰期无法满足这一基础延迟要求。这种延迟灾难并非单纯由GPU算力不足引起，而是源于多智能体架构固有的传输跳数累积。在一个包含50次顺序调用的跨域智能体工作流中，即便模型生成标记（Token）的速度极快，往返长距离数据中心所产生的传输时间也会成倍堆叠，使系统耗时达到数秒之久。

更严重的是，智能体在执行诸如数据检索或外部系统交互等长周期工具调用时，主要依赖CPU进行编排和数据处理。研究表明，在典型的工作负载中，CPU端处理消耗了高达90.6%的总延迟和44%的动态能耗。在这种架构下，昂贵的GPU集群被迫长时间闲置等待数据返回，且由于频繁的上下文切换导致键值（KV）缓存被大规模驱逐，当控制权交还给模型时，首个Token生成时间（TTFT）将出现灾难性的峰值。

4.2 软硬协同优化与前沿架构重构

面对算力错配和“带宽墙”，企业级数据中心正经历从网络层到芯片层的全面重构。Nvidia提出的Vera Rubin平台代表了分离式服务（Disaggregated Serving）的发展方向。该架构从物理上将处理庞大上下文的预填充（Prefill）阶段与要求极低延迟的解码（Decode）阶段剥离，使得具有不同算力需求的流程得以独立横向扩展。结合第六代NVLink技术和专门应对智能体密集型控制流的定制CPU节点，这种异构协同能够保证大规模混合专家（MoE）模型在GPU间行云流水般地调用。

在应对跨节点传输瓶颈方面，共封装光学（CPO）技术被寄予厚望。通过光子中介层将处理器资源池与内存资源池直接耦合，CPO试图在物理层级打破机架间的互联限制，使得分布在不同节点的AI加速器能够共享同一块大容量的内存池，这对于需高频交换巨量上下文的联合智能体阵列而言意义深远。而在软件编排层面，自适应共调度技术与分布式动态分层内存管理，协同边缘和私有化部署架构（使得智能体与本地数据源物理相邻），正共同成为企业缓解延迟损耗的必选方案。

5. 全球监管张力：自动化决策与数据主权的法律迷宫

在推进智能体互联的同时，企业必须应对由各类强监管数据保护法构建的全球合规迷宫。欧盟的《通用数据保护条例》（GDPR）、中国的《个人信息保护法》（PIPL）以及美国的行业限制政策，正在实质性地改变多智能体系统的技术路线图。

5.1 自动化决策的透明度挑战：GDPR第22条的深刻影响

当智能体开始自主地介入信贷评估、人员招聘及健康分诊等产生重大法律后果的决策时，不可避免地触及了GDPR体系中最具挑战性的合规底线——第22条对完全自动化决策和数据画像的严格规制。该条款不仅原则上禁止在未获明确同意或无特定法律依据的情况下实施自动化决策，更赋予了数据主体要求人工干预和获取“决策具体逻辑解释”的核心权利。

在多智能体系统中，由于数据访问足迹呈无边界扩散状态，传统的基于静态隐私策略的披露方式已完全失效。为实现真正的透明度和可问责性，系统架构必须强制引入会话级别的执行日志记录（Session-Level Execution Logging）。这意味着，作为数据控制者的企业必须能够精准追溯智能体在特定交互会话中提取了哪些个人数据源、调用了哪些工具集、并生成了何种向量特征。在响应数据擦除请求时，合规操作不仅限于删除源数据库中的明文记录，还必须深入到系统的向量存储库中，清洗由敏感信息衍生的关联嵌入（Embeddings）数据。

5.2 跨境数据流动限制与中国的合规约束体系

在中国市场部署跨企业智能体协同网络，必须严格遵从由《数据安全法》、《网络安全法》及PIPL构成的三位一体法律框架，尤其在数据跨境流转环节面临极其复杂的层级管控。PIPL明确规定，数据出境必须满足通过国家网信办的安全评估、获得保护认证或签订标准合同等核心条件之一。

2024年3月出台的《促进和规范数据跨境流动规定》虽然为跨国企业的人力资源管理或小规模（不足10万人）非敏感个人信息出境提供了豁免机制，但这些豁免的适用范围受到严厉限制。一旦多智能体协同处理涉及“敏感个人信息”（如金融账户、生物识别特征、行踪轨迹或未成年人数据），企业就必须在数据离境前完成独立的个人信息保护影响评估（PIIA）并取得主体的“单独同意”。更为关键的是，工信部于2022年底颁布的《工业和信息化领域数据安全管理办法》对工业数据实施了极度细化的分类分级制度，对于被评估为可能严重威胁国家安全、产业生态与骨干企业利益的“核心数据”，相关的跨域融合与智能体调用将受到最高级别的监控与限制。

与此同时，全球范围内的地缘合规冲突正在加剧。例如，美国政府颁布的最新规则对涉及美国个人敏感数据（如FDA监管下的临床研究、生物制品数据以及人类基因组数据等）向所谓受关注国家的传输施加了严密审查。这使得跨国生物科技或医疗智能体在开展跨境联合病理分析与药物研发时，必须同时满足中美两国关于数据本地化与跨境审查的双重合规红线，倒逼企业在架构设计上引入更彻底的数据脱敏和本地化分布式运算节点。

5.3 行业规范与IEEE标准的演进：迈向系统化工程

面对智能体技术极速发展的现状，各国行业主管部门和国际标准组织正在快速填补技术规范的空白。针对掌握国民经济命脉和海量敏感数据的金融行业，中国人民银行相继出台了《个人金融信息保护技术规范》（JR/T 0171-2020）、《金融数据安全规范》（JR/T 0223-2021）以及2025年发布的涵盖业务数据全流程安全管理的重磅规范，对金融机构运用隐私计算等技术进行跨主体联合建模提出了“可用不可见”及风险隔离的强制性指引要求。同时，中国网络空间安全协会及全国信安标委等机构密集发布了针对隐私计算脱敏、删除效果评估的团体标准（如T/CSAC 005~010-2024），为合规落地提供了极具实操性的标尺。

在国际标准制定层面，IEEE标准化协会主导推出了一系列前瞻性协议。例如，IEEE P3112聚焦于多模态人机交互主动智能体框架的安全与评估体系；IEEE P1912与2410-2021则在边缘计算设备的隐私层级以及生物特征识别的不可逆单向加密方面确立了基准；更广泛的IEEE TIPPSS原则（信任、身份、隐私、保护、安全与保障）被深度融入物联网和临床数据的互操作性标准中。此外，针对生成式及代理式AI企业环境部署的新标准，明确要求系统必须具备输出完整性验证、提示到动作的端到端可追溯性（Prompt-to-Action Traceability）以及低置信度防御升级机制。这些标准标志着多智能体系统的安全治理已彻底告别早期的补丁式修复，全面转向在架构设计伊始即融入安全理念的系统化工程阶段。

6. 典型行业的多智能体隐私保护实践

理论框架与基础设施的持续突破，最终需在复杂的行业应用场景中进行校验。供应链物流、数字金融以及医疗健康等行业，凭借着海量的数据积淀和迫切的协同需求，已成为多企业智能体隐私计算落地的先锋试验场。

6.1 供应链协同中的联邦控制塔与牛鞭效应抑制

在高度碎片化和充满不确定性的全球供应链中，各环节间信息的不透明导致需求波动被逐级放大，形成严重的“牛鞭效应”。为破解这一难题，京东物流与菜鸟网络等巨头利用数字孪生和多智能体协同技术构建了庞大的智能供应链控制塔。

在京东物流的“超脑2.0”决策系统与自动执行矩阵中，上下游生态参与者（涵盖原材料供应商、跨国制造商、区域分销商和最终零售终端）被高度集成。各节点企业面临着极其尖锐的利益冲突：既需要进行深度的数据共享以实现全局产能分配和路线优化，又极度排斥暴露核心客户名单、成本结构和定价策略等关键商业机密。通过部署符合国家数据安全合规要求（融合数据沙箱、分布式加密运算等技术）的协同平台，各方智能体得以在确保核心数据不出域的前提下，联合执行需求预测分析与库存平滑运算。实证数据表明，这种深度融合的数字智能体系不仅使一线分拣运营效率大幅提升了20.24%，分拣准确率达到99.98%，选址周期大幅缩短80%，更通过算法使得上游订单方差逻辑上向真实的消费者需求方差收敛，成功抑制了供应链的无序波动。此外，菜鸟物流在其全球化科技出海项目中，也将基于RFID的物联网追踪技术与智能规划平台相结合，实现了对海量商品数据在跨国流转中的合规化数字映射与精确追溯。

6.2 开放金融与跨国支付中的隐私增强智能体

金融支付系统不仅是全球资金流转的血脉，更是对信任和数据主权要求最严苛的领域。2025年，蚂蚁集团（Ant Group）推出了一套名为Antom的Agentic支付解决方案，彻底革新了多智能体介入支付流程的安全模型。

在由AI代理主导的下一代结账场景中，用户的支付意图不再是简单的点击确认，而是深藏于多轮自然语言的交互协商之中。Antom深度融合了模型上下文协议（MCP）和基于多方安全计算（MPC）的AI风险管理技术。系统在处理用户的生物特征或财务账户时，会预先将关键交易参数与意图证据相链接，生成可验证且高度加密的数字凭证，实现了跨节点的端到端追溯。在与Alipay+等全球电子钱包伙伴协同进行客户运营模型的联合训练时，蚂蚁集团全面采用了隐私增强技术（PETs）。在新加坡相关数据保护机构的指导下，合作方通过生成无法逆推的密码学“秘密共享（Secret Shares）”完成联合运算，确保原始敏感数据绝对不会被任何一方或底层算法模型所读取，完美兼顾了跨国合规与商业效率。

6.3 医疗健康数据的跨域多中心协同建模

医疗健康数据天然带有极高的敏感度。在传统的医学AI研发中，由于单体医院的数据量不足且分布极为碎片化，导致模型泛化能力孱弱；而受制于医学伦理及严苛的隐私法规，不同医疗机构之间又绝不可能建立中心化的明文数据库。

国家健康医疗大数据研究院联合相关科技企业，在温州等地搭建了以MaaS（模型即服务）为核心的区域医学AI集成平台，探索出一条“社会协同控制”的数据价值释放路径。该平台集成了WeDPR等企业级隐私计算架构，为医院、科研院所与算法开发商构建了可信的多中心协同机制。在实际应用中，各大公立医疗机构在本地专有网段内使用智能体完成电子病历和影像数据的结构化清洗与标注；在模型训练环节，系统利用联邦学习、匿踪查询、隐私求交等密码学协议进行加密的梯度参数交换。这种完全去中心化的建模模式确保了任何一家医院的患者诊疗明细都绝对“不出域”，在彻底阻断数据泄露与隐私滥用风险的同时，成功孵化了涵盖智慧影像辅助诊断、肾病个性化治疗方案等多项高价值AI医疗场景。

结语：迈向2030原生智能体企业时代的安全治理

据行业路线图与权威机构预测，多智能体系统正经历一场深刻的四阶段演进：从2026年处于战术级任务自动化的独立智能体，到2027年实现多智能体团队跨界协作，再到2029年走向可自主设定长远目标的强自主智能体，最终将于2030年彻底颠覆现有商业形态，催生出以AI驱动为绝对核心的“原生智能体企业（Agent-Native Enterprises）”。

这一不可逆转的演进轨迹清晰地表明，数据隐私与安全保护已经超越了IT运维层面的合规要求，决不能再被视为AI应用落地后的“附加补丁”；相反，它必须作为一种结构性的前提条件，深植于多企业智能体协同架构的神经中枢。未来的多智能体网络将是一个集成了零知识证明（ZKP）审计机制、跨域多方安全计算（MPC）模型、基于A2A/ANP的分布式去中心化寻源协议，以及受到深度微隔离沙箱保护的庞大且极其强韧的生态复合体。对于全球化布局的企业决策者而言，唯一通向未来商业霸权的路径，是积极拥抱和重仓这些隐私增强基础设施，制定细粒度、机器可读的跨域执行策略，并在“开放协作”与“绝对隐私”的矛盾中构筑起坚不可摧的技术护城河。