治理代理式身分：為何安全團隊必須「假設異常行為」

在我擔任一家高度自主、步調快速的工程公司安全營運中心 (SOC) 主管期間，我最終放棄了維持完美資產清單的幻想。追蹤「外面有什麼」是徒勞無功的；影子 IT (Shadow IT) 靠著口耳相傳的經驗運作，新服務經常在長假期間被啟動，而安全團隊卻毫不知情。意識到這一點後，我轉而提出兩個更實際的問題：

• 影響範圍 (Blast Radius) 有多大？ （這個資產實際上能觸及哪些系統和資料？）
• 終止開關 (Kill Switch) 在哪裡？ （如果它失控，我能多快切斷它的存取權限？）

這並非源於宏大的安全哲學，而是出於防禦一個您根本沒有絕對控制權環境的務實考量。

我之所以反思這一點，是因為業界目前正在努力應對人工智慧帶來的類似存在性危機。隨著 AI 降低了攻擊者的門檻並加速了威脅格局的變化，安全領導者不斷在問，如何防禦不可預測、具備機器速度的威脅。誠實的答案是？停止嘗試預測它們。 相反地，您應該為一個威脅預測必然出錯的世界建立防禦架構。

AI 代理放大的資產清單危機

如今，幾乎所有企業都處於積極部署 AI 代理與員工瞞著 IT 部門私下部署 AI 代理之間的某個光譜位置。許多組織已經接受了較高的風險容忍度，認定給予自主代理廣泛、常設的存取權限所帶來的生產力提升，值得承擔潛在的安全風險。我不是來譴責這個選擇的——我曾經防禦過的環境正是建立在這樣的基礎上。

然而，我們必須體認到人類的魯莽與機器自主性之間的根本差異。人類會感到疲勞、會對自己的決定產生懷疑，也會因為害怕失去工作而尋求許可。AI 代理完全沒有這些自然的摩擦點。它們以被設計好的速度和規模執行任務，利用被賦予的任何存取權限，並且對此毫無猶豫。

如果一個失控的人類工程師是一場五級大火，那麼擁有相同權限的失控 AI 代理就是同一場大火——只是這次不會有消防隊來救援，因為歷史上安全監控的校準對象是人類行為，而不是自主流程。

新典範：假設異常行為 (Assume Misbehavior)

多年來，「假設已遭入侵 (assume breach)」一直是網路安全姿態的黃金標準。在代理式 AI 時代，我們必須進一步演進這個概念：假設異常行為 (assume misbehavior)。

這不一定意味著 AI 具有惡意。這只是意味著代理正在執行其確切的指令，但將其應用在無人預料到的情境中，導致未經授權的資料存取或系統操作。在企業規模上，這不是罕見的異常現象；這是不可避免的營運現實。

那麼，我們該如何建立對這種混亂的治理？這需要在我們管理非人類身分的方式上進行結構性轉變：

• 嚴格的即時 (Just-in-Time) 範圍界定： AI 代理永遠不應該為了「以防萬一」而擁有廣泛、常設的存取權限。必須僅賦予它目前任務所需的最確切權限，僅此而已。雖然這種動態的範圍界定在操作上比一次性給予廣泛存取權更繁重，但為了最小化風險，這是沒有妥協餘地的。
• 立即撤銷性： 每個代理式身分的設計都必須基於您需要瞬間終止它的假設。如果撤銷代理的存取權限需要提交 IT 工單、安排會議或等待審核，您擁有的就不是安全控制，而是行政瓶頸。
• 真實的零信任： 我們必須超越行銷術語，實施真正的零信任。這意味著在每次交易時持續驗證代理式身分及其特定請求，而不是因為它通過了最初的佈建檢查，就永遠信任它。

這種理念與 CoSAI (安全 AI 聯盟) 等組織所推動的框架一致。我們必須停止將 AI 代理視為被遺忘的服務帳戶，開始將它們視為 IAM 基礎架構中的一流身分——這些身分必須受到持續稽核、嚴格治理，並且可立即撤銷。

帶有約束的賦能 (Enablement with a Leash)

解決 AI 代理擴散的方法，不是成為「說『不』的部門」。對於希望留在高階主管會議室做決策的 CISO 來說，全面封殺很少是個成功的職涯策略。現代的任務是在對營運進行嚴格約束的同時，賦能業務發展。

允許業務創新並快速移動，但必須建立底層存取模型，以便當代理不可避免地出現異常時，影響範圍微乎其微且能立即遏制。

我承認這種策略有其有效期限。「帶有約束的賦能」在 AI 代理的自主性和速度完全超越人類干預水平的那一刻之前是有效的。沒有人確切知道這條界線在哪裡，無論他們在會議舞台上說得多麼自信。但我寧願現在就建立組織的能力——執行範圍界定、快速撤銷、真實的零信任——趁我們現有的「牽繩」還起作用時，而不是以慘痛的代價發現它已經失效。

我們無法預測或完全治理即將到來的技術能力。我們只能控制該技術被允許接觸什麼，以及當它行為異常時，我們能多快切斷其存取權限。在一個充滿極度不可預測性的時代，建立這種控制基準就是一切。

重新思考零信任：為何 AI 代理需要「數位出生證明」

數十年來，零信任安全典範一直建立在一條簡單的規則上：驗證每個使用者和裝置，並強制執行最小權限原則。這個框架在管理人類登入或標準企業端點時非常有效。然而，當引入代理式 AI (agentic AI)——旨在以機器速度獨立運作、同時橫跨多個互連系統的自主程式——時，它便迅速崩潰。

這種不斷升級的摩擦最近成為了眾所矚目的焦點。在美國國防情報局的 DoDIIS 會議上，情報界資訊長 Douglas Cossa 公開點出了這個大家心知肚明卻避而不談的問題。據《Breaking Defense》報導，Cossa 坦言代理式 AI 已經「徹底顛覆了零信任」。企業不再預設限制存取權限，而是為 AI 代理配備廣泛的能力以完成其自主任務。為了彌合這兩種相互衝突的安全姿態，Cossa 提出了一個決定性的解決方案：一個統一的身分框架。

他提出的解決方案既令人印象深刻又勢在必行：數位出生證明 (digital birth certificate)。這個概念必須超越人類使用者和硬體，涵蓋每一個能夠要求、儲存或操作資料的 AI 代理。

結構性的企業危機，而不僅僅是政府問題

私營企業如果將此僅僅視為孤立的公部門困境，將犯下嚴重的錯誤。Cossa 的觀察凸顯了目前每個企業安全團隊都面臨的結構性漏洞。

傳統的零信任架構是為靜態群體設計的——員工、承包商、伺服器和筆記型電腦。這些實體會經歷佈建、稽核和離職（或報廢）的可預測生命週期。相反地，AI 代理打破了這些規則。它們是動態生成的（有時甚至是由其他代理自主生成）以執行極度特定的任務，然後便消失無蹤。一個開發人員一小時前透過指令碼啟動的機器人，並沒有標準的人資入職流程，因此在傳統的 Active Directory 中完全找不到它的蹤跡。

這正是 Cossa 所強調的漏洞。如果一個組織無法明確定義代理是什麼、是誰部署了它，以及它的運作邊界在哪裡，那麼像網路區隔這類的傳統防禦措施就會變得毫無用處。代理依然像個幽靈，對旨在監管它的治理系統來說實際上是隱形的。

身分必須先於存取控制

安全團隊經常試圖先解決存取問題，簡單地想限制機器人能做什麼。然而，如果沒有持久、可驗證的身分作為依託，分配權限是徒勞的。您無法對一個無法始終識別的實體有效強制執行最小權限。

這正是為什麼 Cossa 將解決方案定位為身分系統，而非標準的存取控制政策。在授予任何存取權限之前，AI 代理的「出生證明」必須確立幾個核心屬性：

• 來源 (Origin)：是誰或哪個系統建立了這個代理？
• 授權範圍 (Authorization Scope)：允許它與哪些特定任務和系統進行互動？
• 存活時間 (Time-to-Live, TTL)：這個代理在到期前被授權存在多久？
• 問責制 (Accountability)：如何將它的行為確切地追溯到人類操作員或記錄系統？

在網路安全市場中，資金已經針對這個問題做出了選擇。非人類身分 (NHI) 管理已成為創投和併購成長最快的領域之一。價值數十億美元的交易突顯了私營部門正多麼迫切地爭相保護機器與代理身分。政府的政策框架和市場的資金流向，正迅速在同一個結論上交會。

即時強制執行的必要性

建立身分只是成功的一半。如果系統無法在代理嘗試與網路、端點或資料集互動的瞬間進行持續驗證，AI 的出生證明就毫無用處。核發身分和強制執行其邊界是兩個截然不同的營運挑戰。

這正是基於網路的存取控制必須與身分與存取管理 (IAM) 及特權存取管理 (PAM) 平台無縫整合的地方。雖然 IAM 和 PAM 定義了實體及其權限，但實際的強制執行——也就是允許或拒絕存取的瞬間決策——必須在網路層持續發生。代理式 AI 運作速度太快，無法受限於靜態的季度存取審查。

未來之路

最終，每個 AI 代理都是一個身分，需要與過去應用於人類和硬體完全相同、嚴格的治理。美國情報界的立場證實了，保護非人類身分不再是理論上的演練——它是零信任模型演進的必經之路。

現在的關鍵問題不再是 AI 代理是否需要身分，而是組織能多快部署所需的基礎架構來核發、驗證和強制執行這些身分，趕在這些隱形漏洞被威脅行為者積極利用之前。

首個 AI 內部威脅已經降臨，而我們卻毫無防備

隱形跑道： 觸發毀滅性的資料外洩，已不再需要攻擊型的漏洞利用或外部威脅媒介。在一個存在「失效的存取控制」之環境中，一個自主運行的 AI 代理人即使僅僅在執行其合法且預先指派的任務，也可能因為槓桿了過度放任的特權狀態，在機器速度下無意中破壞整個資料層的安全。

代理型催化劑：重新定義損害範圍

儘管身分架構師將大量精力投入在為 AI 管線指派獨立的機器身分，但底層的曝險往往在部署代理人之前就已存在。權限過大的服務帳戶與未經審查的伺服器端 API，為自主的特權提升鋪設了一條預先建構好的跑道。

當自主代理人與這些配置錯誤的邊界進行互動時，傳統的風險評估邏輯將被徹底翻轉。機器速度、跨步驟的工作流在缺乏人類即時干預的情況下運作，引入了傳統遙測數據完全無法應對的變數。

遙測盲區

現代企業安全中最關鍵的變數是「偵測所需時間」（Time-to-detection）。由於 AI 代理人使用的是真實合法的憑證，傳統的資安監控解決方案無法對其活動發出警報。只要 API 端點上的存取權限存在，SIEM 或 XDR 平台就會將該交易視為完全合法的授權行為。

大多數組織目前缺乏自動化的方法，去區分一個是在正確功能參數內運作的 AI 代理人，還是另一個因為底層存取控制大開、從而正在系統性搜刮未授權資料集的代理人。這項風險已不再是理論，而是存在於生產環境中的活躍漏洞。

修復架構：轉向可強制執行的安全機制

緩解這一急性風險向量，需要告別流於形式的政策文件，轉而聚焦於嚴格的底層基礎設施加固。資安維運必須落實多層次的防禦姿態：

1. 動態且綁定任務的最小權限原則： 權限必須透過程式化嚴格限制在代理人當前任務生命週期的即時、原子級（Atomic）需求中，而非賦予廣泛且永久的存取角色。
2. 網路層微隔離（Micro-Segmentation）： 存取控制必須直接在網路層與傳輸層強制執行，而非僅存在於應用程式介面層。若某個 API 配置錯誤，網路層的微隔離機制必須主動阻斷未授權的機器實體進行存取。
3. 持續性行為認證（Behavioral Attestation）： 資安監控必須從基礎的單點時間驗證，演進為持續驗證模型。安全控制措施必須不斷評估代理人在真實世界中的行為是否與其預期的營運授權相符。