AI 智能体进入生产环境的速度，已经快过安全团队追踪它们的速度。它们持有凭证、携带权限，并在记录系统上执行操作，然而大多数企业说不清哪些智能体正在运行、归谁所有，或者是否有人能阻止它们。Gartner 预计，到 2028 年，一家典型的《财富》全球 500 强企业将运行约 150,000 个 AI 智能体，而 2025 年这一数字还不到 15 个；与此同时，只有 13% 的组织认为自己已经建立了合适的智能体治理机制。

在旧金山举行的 The AI Conference 上，RSA 发布了 RSA Agent ID，这是一个面向金融、政府、医疗和关键基础设施等受监管行业的智能体身份安全平台。我们与 RSA 总裁兼首席产品与战略官 Jim Taylor 坐下来深入探讨了它的工作原理。

为什么智能体会打破身份模型

“智能体带来了什么变化？一切。它们不是服务账户。它们不是静态的。它们是动态的。你给智能体一个任务，如果你把那个任务表述得很糟糕，它就会做任何它认为必要的事来完成它。智能体不会在凌晨两点感到疲倦。它们就是一直干下去。”

智能体还会随着时间累积权限、数据和访问权，而没有人跟进。“员工为了赶上一个截止日期创建了一个智能体，但一旦它跑到外面，就这样了。我们不会检查它的权限何时发生变化。我们不会删除或禁用智能体。”

其规模甚至让受监管的公司也感到意外。一家中型全球银行告诉 RSA，它没有任何智能体，因为政策禁止使用。“智能体往往不尊重政策，”Taylor 说。“我们做了一次审计，发现他们的企业里有 4000 多个智能体在到处运行。”根据 IBM 的数据，涉及影子 AI 的事件平均比标准事件多花费 670,000 美元。

当一个提示词变成拒绝服务攻击

Taylor 的故障场景中根本没有攻击者。一家未具名公司的客户成功员工让一个智能体“去 Salesforce 获取所有数据”，以构建客户健康图表。该智能体开始下载整个 Salesforce 数据库。Salesforce 的防御系统将这一流量判定为攻击，关闭了该实例，并警告该公司它似乎正遭受拒绝服务攻击。

“客服台的一位操作员几乎是通过让一个智能体执行拒绝服务攻击，把整个公司的 Salesforce 实例搞宕机了。他并没有做错什么。”

发现、保护、治理

RSA Agent ID 以三个模块的形式发布，可单独使用，也可作为 RSA Unified Identity Platform 上的一个整体系统使用。

Discover 实时扫描端点（通过连接器接入 CrowdStrike 和 Zscaler 等工具）、设备、网络和应用。它发现智能体和 MCP 服务器，无论是已批准的影子，并将每一个注册为一等身份，附带指定负责人、风险等级和生命周期状态，并关联到现有的身份提供商，如 Microsoft Entra ID、Okta 和 AWS IAM。“每个智能体都应该有一个负责人，”Taylor 说。“它应该绑定到一个人类身份上。”

Secure 是一个内联的 AI/MCP Gateway，会在工具和参数深度上根据策略检查每一次工具调用。符合策略的调用被允许，违反策略的调用被拒绝，高风险调用则上报给已注册的负责人。审批通过带外、经过身份验证的渠道进行，使用智能体无法访问的抗钓鱼凭证。

Govern 记录每一个受治理的操作，并将证据开箱即用地映射到十个监管和行业框架，同时将其流式传输到客户的 SIEM。“监管机构想知道在事件发生时你是否有一套策略、谁批准了它、发生了哪些操作，他们希望看到这些记录在不可磨灭的日志中，”Taylor 说。

人类保障，而非人类在环

Taylor 拒绝当今 AI 工具那种批准/拒绝的疲劳感。“一天一百个提示，就是在邀请你说‘是’。这是另一种形式的拒绝服务攻击。”

取而代之的是，一个风险引擎会根据用户（这是预期行为吗？）、操作（读取、写入，还是风险更高的操作？）以及数据和端点（目标的敏感程度如何？）为每个操作打分。只有越过阈值的操作才会交给人类。一个退款智能体可能会自动处理 500 美元以下的退款，而更大的退款则需要负责人的批准，或通过内置工作流由第二审批人批准。

客户定义什么算高风险，AI 提供辅助建议。“我不知道地球上其他人看重什么，”Taylor 说。“组织了解自己的业务风险。”

分层防御，而非银弹

当被问及一张通过提示注入提交、要求欺诈性退款的客服工单时，Taylor 表示，隐藏的恶意指令会对照策略进行评估，并会被拦截。而来自窃取设备上的诈骗者、看似合法的退款请求则是另一个问题。“模型有很好的护栏，但这还不够。你还需要一套欺诈检测系统。”

他对网关绕过同样直言不讳，比如编码智能体从代码仓库中窃取另一个团队的 API 密钥。“我们并非无所不能，”他说。API 网关、防火墙和流量检测也应该能捕获凭证窃取。“我们不需要重新发明安全。我们需要在已经就位的有效安全之上叠加智能体安全。”关键设计原则是让授权通道与智能体的通道保持分离：“告诉一个智能体要在考试中表现出色，最简单的方法就是偷答案。”

Taylor 还主张，CI/CD 和 DevSecOps 流水线如今已成为身份攻击面，理应享有与生产服务器管理员访问权限同等的管控。

委派：“智能体无法给出它未获得的东西”

当智能体派生子智能体或移交任务时，Agent ID 会在工具执行时进行拦截，并强制执行一种继承式权限模型：

“一个智能体只能用自己被授予的权限来启用另一个智能体。它不能借用另一个智能体的权限。我们会在运行时看到这种情况并说：是谁让你做这个任务的？他没有那些权限。拒绝。”

这堵住了一条通过委派链进行权限提升的路径，而随着多智能体编排的普及，这正成为一个日益令人担忧的问题。

30 天试点：三个问题

对于正在评估 Agent ID 的 CISO，Taylor 会先从三个问题入手：

你的环境中有哪些智能体在运行？不是你的 AI 计划，而是实际在运行的智能体。

谁拥有它们？不是谁创建了它们，而是哪个人类对其负责。

你能终止它们吗？如果一个智能体行为异常，你甚至会发现吗？

“大多数 CIO 和 CISO 都答不上来，”他说。他推荐的试点方案是连接几个关键系统并运行 Discovery。“他们通常会对返回的结果感到惊讶。这给了他们内部弹药，可以开始把智能体分配给具体人员并制定策略。”

可用性

RSA Agent ID Discover and Secure 将于 2026 年 11 月 16 日正式可用，Govern 将在 2027 年上半年跟进。

关键要点

智能体是身份，不是服务账户。它们是动态的，会不断累积权限，而且通常没有归属人。

影子 AI 已经广泛存在。一家实行“禁止智能体”政策的银行拥有超过 4,000 个。

执行发生在工具调用时。内联的 AI/MCP Gateway 会允许、拒绝或升级每一次调用。

人工保障取代了审批轰炸。只有经过风险评分的高风险操作才会以带外方式触达人工。

委派权限是被继承的，绝不会被扩大。

在授予更多自主权之前，请确保你能够发现、授权、限制并终止你的智能体。

文章《一个糟糕的提示词搞垮了一家公司的 Salesforce：RSA 的 Jim Taylor 谈 Agent ID 以及如何驯服藏在你企业里的 4,000 个影子 AI 智能体》最初发表于 MarkTechPost。