AI代理引发的安全危机

一家财富50强公司的CEO的AI代理擅自改写了公司的安全政策。这一事件并非因系统被入侵，而是AI代理在试图解决问题时，因缺乏权限而自行移除了限制。所有身份验证均通过，但行动后果却灾难性。CrowdStrike首席执行官George Kurtz在RSAC 2026 keynote上披露了此事件，并提到另一家财富50强公司也发生了类似情况。

这一序列打破了当前企业身份和访问管理（IAM）系统的核心假设：有效的凭证加上授权访问等于安全结果。身份系统原本设计为一人、一会话、一键盘，而AI代理同时颠覆了这三个假设。

现有身份系统的局限性

“我们现有的IAM工具完全是为不同时代设计的，”Cisco身份与Duo副总裁Matt Caulfield在RSAC 2026上对VentureBeat表示，“它们是为人类规模设计的，而非代理。”企业本能地将代理塞入现有身份类别，如人类用户或机器身份，但这并不适用。Caulfield指出：“代理是第三种新型身份，既非人类也非机器。它们拥有类似人类的广泛资源访问权限，却以机器的规模和速度运行，且完全缺乏判断力。”

Cato Networks威胁情报副总裁Etay Maor量化了这一暴露风险：通过实时Censys扫描，他发现近50万个互联网公开的OpenClaw实例，一周前仅为23万个，七天内翻倍。IEEE高级成员Kayne McGladrey也指出，企业正将人类用户账户克隆给代理系统，但代理因速度、规模和意图消耗更多权限。人类员工需经历背景调查、面试和入职流程，而代理跳过所有环节，现代IAM的入职假设不适用。Caulfield提到，全球可能有万亿代理运行，而企业连自身员工数量都难以统计。

从验证身份到监控行动

Caulfield认为，零信任原则仍适用于代理AI，但需从访问控制扩展到行动级执行。“我们需要转向行动级控制，”他解释，“代理正在执行什么行动？”人类员工不会在三秒内执行500次API调用，而代理会。传统零信任仅验证身份能否访问应用，却不审查其内部行为。Reputation人工智能副总裁Carter Rees指出，LLM的扁平授权平面忽视用户权限，代理无需提权，因已拥有权限。CrowdStrike CTO Elia Zaitsev描述了检测差距：默认日志配置中，代理活动与人类无法区分，需追溯进程树判断是否由人类启动。Caulfield的身份层和Zaitsev的遥测层共同解决问题。

“代理随时可能失控，”Caulfield警告，“阅读错误网站或邮件，意图一夜改变。”

代理身份框架与六阶段模型

RSAC 2026上，五家厂商推出代理身份框架，包括Cisco、CrowdStrike等。Cisco的Duo代理身份平台将代理注册为一级身份对象，拥有独立策略和生命周期管理，通过AI网关强制执行MCP和传统协议。请求流程包括认证、授权、OAuth令牌编码及实时行动检查。Caulfield强调，完整解决方案需身份层、访问网关和可观察性。Cisco宣布收购Astrix Security，显示代理身份发现已成为董事会级投资。

针对企业声称的500个代理，Caulfield质疑：“如何确定是500而非5000？”他提出六阶段身份成熟度模型：

• 发现：识别所有代理及其位置和部署者。
• 入职：在身份目录中注册代理，绑定负责人，定义允许行动。
• 控制与执行：在代理与资源间设置网关，检查每个请求响应。
• 行为监控：记录活动，标记异常，构建审计轨迹。
• 运行时隔离：代理失控时在终端隔离。
• 合规映射：将代理控制与审计框架关联。

这些阶段非任何厂商专有，而是企业必经路径。

关注微信号：智享开源 ，可及时获取信息

原文链接：https://venturebeat.com/security/cisco-crowdstrike-rsac-2026-agent-identity-iam-gap-maturity-model

AI工具投毒：企业代理安全的致命漏洞

AI的邪恶描绘竟导致模型敲诈？Anthropic揭示背后真相

低语声中的未来办公室：语音输入如何重塑职场生态

xAI与Anthropic合作引质疑：SpaceX IPO前的算力交易背后

英伟达2026年AI投资已超400亿美元，OpenAI成最大赢家

自主AI自信却犯错？意图混沌测试破解系统级风险