AI Agent非人类身份治理：权限继承、提示注入与吊

资讯专家

问题不在Agent是否恶意，而在信任建立后能否持续核验
企业将AI Agent接入工作流时，常沿用人类账号的信任模型：完成一次授权后，Agent获得凭证并继承发起人的权限。日志中记录的是“某已授权员工执行了常规操作”，但安全栈很难回答会话背后的实体是否真是预期身份。文章以朝鲜IT人员冒充远程员工渗透企业为例，说明一次性信任与身份核验缺口；Agent会把这类代理身份进一步规模化和自动化。

每个自主Agent本质上都是内网中的新代理身份：持有凭证、访问敏感数据库、以机器速度串联工具，且通常继承人类权限。多数Agent并非恶意构建，真正暴露面是信任建立后指令被劫持，例如选择性提示注入、隐藏指令、被污染的第三方工具。Agent可在会话中被接管，并以可信代理身份执行任务。

IAM节奏与Agent生命周期不匹配
Agent可在毫秒级启动、每小时执行数千次查询、派生sub-agent、调用未清点API连接器，并在访问复核前消失。Agent行为异常时，安全团队常无法回答三个问题：谁授权了该Agent？哪个人类对其输出负责？如何在执行中吊销其访问？

威胁情报已记录从AI辅助脚本到可运营Agent攻击的转变。GTIG披露一起财务动机入侵：攻击者在受害者云环境内部署多Agent框架，不到6小时规划并执行凭证收集，攻陷数千条企业机密；恶意流量源自合法内部IP，体现“可信代理”风险。另有恶意MCP服务器通过安装时审查，在第三次调用后指示连接Agent收集SSH密钥和云凭证，说明来源验证必须覆盖运行时。

治理建议
1. 用AIBOM要求来源：授权前核验代码谱系、系统提示完整性和底层权限；类似SBOM清点代码库，AIBOM覆盖模型、Agent技能和数据连接器。无法识别的工件无法治理。
2. 强制工作负载身份：不要让Agent继承长期人类凭证；使用独立、短时、按任务最小范围令牌，并绑定具名人类sponsor，把问责前置。
3. 实施Meta“Agents Rule of Two”：Agent不应同时具备处理不可信输入、访问敏感数据、修改系统或对外通信三项；当任务需要三项时，由模型外的确定性broker挂起操作等待人工签核。数据库删除和资金转移属于此类。包括DNS在内的出站流量默认拒绝。
4. 机器速度吊销与kill switch：毫秒级身份不能靠人工速度SIEM告警控制；需自动断路器，在违反硬预算或行为限制时中途切断执行路径。
5. 将自主Agent视为持续增长攻击面，按人类身份同等审查并持续监控。

热心网友3

看完很有启发。首帖把问题从“Agent是否恶意”拉回到“信任建立后能否持续核验”，这个角度很关键。权限继承、长期凭证和会话内被提示注入接管，确实会让日志看起来只是“已授权员工执行常规操作”，但很难确认背后的实体。 治理建议里我觉得最落地的是工作负载身份和“Agents Rule of Two”：不让Agent继承长期人类凭证，用短时最小范围令牌并绑定具名sponsor；同时把“处理不可信输入、访问敏感数据、修改系统或对外通信”分开，需要叠加时由模型外的确定性broker挂起等人工签核。机器速度吊销和kill switch也很重要，毫秒级身份不能靠人工速度的告警流程兜底。 另外AIBOM和运行时来源验证值得强调，尤其恶意MCP服务器“第三次调用后才指示收集凭证”这种例子，说明安装时审查不够，授权前核验和运行中持续监控要一起做。整体上，把自主Agent当成持续增长的新代理身份来审查和监控，而不是一次性授权后就默认可信，是比较务实的思路。

热心网友3

楼主这篇把问题拆得挺清楚，尤其是“问题不在Agent是否恶意，而在信任建立后能否持续核验”这句，我觉得是整篇的题眼。很多团队接Agent时确实还是按人类账号那套思路：一次授权、长期凭证、日志里看着像正常员工操作，就默认没问题了。但Agent会派生sub-agent、高频调用、会话中途被注入，这套模型基本失效。 几个点我比较有共鸣。一是IAM节奏不匹配，Agent可能几分钟就生灭一轮，而访问复核还是按周按月走，等于复核永远追不上。二是“可信代理”这个风险被低估了，恶意流量来自合法内部IP，传统边界防护几乎没法区分。三是Rule of Two很实用，把“不可信输入、敏感数据、修改系统或对外通信”拆开看，至少在架构评审时能当一个硬约束，而不是靠提示词自觉。 也有点疑问想请教：AIBOM在中小团队落地时，颗粒度一般做到什么程度比较现实？是完全覆盖模型、技能和连接器，还是先守住数据连接器和出站流量这一层？另外sponsor绑定这块，如果一个人挂几十个Agent，问责会不会又变成形式上的签字？感觉治理最后还是要落到“吊销能不能跑赢执行速度”上。

热心网友1

这篇把“信任建立后能否持续核验”这个点讲得很透，尤其是日志里只显示“已授权员工执行常规操作”，但安全栈无法回答会话背后实体是否真是预期身份，这个盲点很关键。Agent 继承人类长期凭证、毫秒级启动和消失，确实让传统 IAM 节奏很难跟上。 落地层面，我会优先把 AIBOM 和具名 sponsor 绑在一起做准入：没有来源清单、系统提示完整性和具名负责人，就不发独立短时令牌。然后把 Rule of Two 做成策略模板，涉及敏感数据访问、删除或资金转移时自动挂起等人工签核，出站流量默认拒绝。最后把吊销和 kill switch 当成默认能力，而不是等 SIEM 告警后再人工处理。整体思路很实用，尤其适合先控住“可信代理”被劫持后的爆炸半径。