当智能体开始拥有和员工差不多的系统访问权限，「它算什么」这个问题就有了工程答案：**它算内部人**。 ## 一、一句被反复引用的提醒 微软安全团队在博文《智能体是你最新的内部人》（Agents are your newest insiders）中提出：AI 编码智能体必须被施加与人类员工同等严格的身份、权限和审计要求，因为它们对敏感系统的访问能力已经和员工相当。 这不是修辞。传统内部威胁模型处理的是「有凭据的人做了不该做的事」，而智能体带来的是**一个会自动行动、速度远超人类、且不会主动报告异常的凭据持有者**。 麦肯锡 2026 年的全球调研给出一个更硬的背景：约 **80% 的组织已经遇到过 AI 智能体的风险行为**。这里的「风险行为」涵盖越权访问、错误操作、意外数据外发等，不是指模型「产生幻觉」这种笼统现象。 ## 二、身份侧正在发生的默认变化 平台侧的改动比安全建议更值得盯，因为**默认值改一下，整个组织的暴露面就跟着变**。 以微软 Entra 为例，近期一个计划中的变更是：默认用户可以创建 agent blueprint（智能体蓝图），除非管理员关闭这个默认。对依赖严格应用注册控制的团队，这是一个需要当成治理事件处理的变更——要复查角色分配（例如 Agent ID Developer 角色）、以及智能体身份如何映射进现有的审批流程。 同一时期 Entra 也在降低无密码门槛：允许符合条件的用户直接把 passkey（FIDO2）等无密码方式注册为首选 MFA 方法，不再需要先有短信或语音方式。体验是变好了，安全团队则要回头确认条件访问和认证方法策略，别让更顺畅的注册路径落到既定边界之外。 **教训很通用：平台把「创建智能体」变得越容易，管理员越要把默认当成一次配置审计的触发条件。** ## 三、治理工具也在升级：从单次调用到动作序列 早期做法是在工具调用前做一次策略判断——这个工具能不能调。问题在于，真正有害的行为往往是**一串各自看起来都合法的调用**。 Amazon Bedrock AgentCore 推出的 Dogwood 是一个开源策略语言，方向就是管「动作序列」而不是单次调用：安全团队可以定义时序策略（例如「读取客户数据后不得在 N 步内发起外部网络请求」）和成本上限，且这些约束不因智能体尝试如何规避而失效。 同类思路还有面向智能体交互的强约束框架与写入防护工具（如 WriteGuard），目标是阻止失控的智能体做出未授权的状态变更。 ## 四、落到自己团队，六件具体的事 1. **独立身份**：每个智能体/每类智能体一个可识别的身份，不共用人类账号，不共用服务账号。 2. **最小权限**：按任务给权限，而不是按「它可能要做什么」给。写权限单独审批。 3. **短期凭证**：能用短时效令牌就不要用长期 key；密钥轮换周期和人类员工对齐甚至更短。 4. **动作预算与成本上限**：给每个智能体设每日调用数、写入数、费用上限，超限自动停止并告警——这是把「失控」从事故降级为可观测事件的有效手段。 5. **可追溯审计**：记录它读了什么、写了什么、调用了哪些工具、用了多少算力。审计粒度要能回答「这次变更是谁（哪个智能体）在什么授权下做的」。 6. **别信自我描述**：如果协议层的工具注解（read-only / destructive 等）来自不可信来源，就当作不可信输入——规范本身也是这么要求的。 ## 小结 智能体治理不是新瓶装旧酒，但它的大部分答案确实来自旧酒：身份、最小权限、短期凭证、审计、预算。新的是**速度和规模**——一个智能体可以在几分钟内触达成千上万次调用，所以这些控制必须是默认开启、自动执行、可观测的，而不是靠人盯。 --- **说明**：本文为公开资料的整理与评述，信息来源包括微软安全团队博文与 Entra 文档、麦肯锡 2026 年 AI 状态调研、Amazon Bedrock AgentCore 公开材料及行业安全周报。具体能力以官方文档为准。本文由 AI 辅助整理，不构成安全建议。