超越 PAM 的身分安全：控制 AI 代理程式存取權限

這項見解源自 Segura® 的網路研討會「超越 PAM 的身分安全：從探索到 AI 代理程式」。該研討會由 IDMWORKS 的 Joseph Carson、Evandro Gonçalves 和 Bill Willis 主講。他們剖析了為何現代身分安全現在必須涵蓋人類、服務帳戶、機器身分，以及日益增加的 AI 代理程式。

AI 存取乘數效應

AI 代理程式放大了風險，因為它們將單一人類使用者的存取權限轉化為多個全天候運作、極度活躍的數位身分。正如 Bill Willis 所述，組織追求效率。然而，如果一位擁有財務轉帳、敏感客戶資料或正式環境存取權限的使用者，產生出一個具備完全相同權限的 AI 代理程式，其攻擊面將呈指數級擴大。

安全團隊的指導方針：找出其存取權限會帶來最高風險（資金流動、生產系統、受監管資料）的人類使用者。接著，確切對應出哪些 AI 代理程式或自動化指令碼可以利用這些特定的存取權限。

權限蔓延的危險

權限蔓延 (Privilege sprawl)——來自角色變更遺留的存取權、過於寬鬆的服務帳戶以及常設權限 (standing privileges)——一直以來都是個漏洞。AI 代理程式透過讓休眠的權限再次高度活躍，將這種蔓延武器化。

Joseph Carson 警告，若未嚴格遵守最小權限 (least privilege) 原則，AI 代理程式可能會利用未受管理、遺留的存取權限產生數十個委派身分。正如 Willis 嚴厲指出的：「AI 會找出您當前環境中的所有裂縫，並將其徹底炸毀。」

必要的補救步驟：

• 清除過時的存取權限。
• 消除常設權限。
• 在應用程式內強制執行職責分離 (separation of duties)。
• 將所有特權憑證存入密碼庫 (vault)。
• 轉換為及時 (Just-In-Time, JIT) 存取模型。
• 嚴格審查所有服務帳戶與機器身分。
• 積極監控是否發生 AI 代理程式盜用人類存取設定檔的行為。

護欄需要強硬的存取控制

單靠提示工程 (Prompt engineering) 和行為護欄是不夠的。Evandro Gonçalves 展示了這一點：一個 AI 代理程式在他的工作站上修改並刪除檔案，卻沒有觸發任何機器層級的權限提示。為了發揮效用，AI 護欄必須有強硬的存取控制、核准工作流程以及不可變 (immutable) 的稽核日誌作為後盾。

對即時身分訊號的需求

面對能在幾毫秒內產生、執行任務，並在季度稽核發生前消失的 AI 代理程式，傳統、定期的存取審查已然過時。探索工作必須轉型為即時的事件與訊號監控。

團隊必須能夠立即回答：

1. 是哪個身分/代理程式啟動了此項活動？
2. 存取了哪個系統？觸碰了哪些資料？
3. 此特定的存取是否已獲事先核准？
4. 我們的 PAM、IGA 或 SOC 工具是否認得這個實體？
5. 我們能立即暫停、隔離或終止它嗎？

如果無法實現即時探索，Gonçalves 建議盡可能頻繁地執行探索週期——理想情況是每小時一次，但至少每天一次。

「人機迴圈」的必要性

對於受到高度監管的工作流程（GDPR、PCI、HIPAA、金融交易），完全的 AI 自主性風險過高。因為 AI 可以從相同的提示中產生不同的輸出結果，人類的監督仍然至關重要。

稽核現有的 AI 代理程式

如果 AI 已經在您的環境中流竄，突然封鎖可能會癱瘓營運。請從對業務潛在影響最高的代理程式開始進行分流稽核。

分流檢查清單：

• 盤點清單 (Inventory)：確切有哪些代理程式目前處於活躍狀態？
• 所有權 (Ownership)：每個代理程式的指定人類擁有者是誰？
• 觸及範圍 (Reach)：這些代理程式能觸及哪些系統和網路？
• 風險 (Risk)：哪些代理程式具備嚴重擾亂業務營運的能力？

連結安全生態系統

管理 AI 風險需要跨平台情報。超越 PAM 的身分安全意味著您的工具必須互相溝通：PAM（特權存取/密碼庫）、IGA（生命週期/所有權）、存取管理（MFA/SSO）、SOC（行為警報）以及 DevSecOps（管線/機密）。統一的方法確保您能隨時回答是誰啟動了代理程式、它改變了什麼，以及它是否獲得授權。

「AI 代理人不再只是與資料層進行互動的應用軟體——它們已演變成在系統內部自主運行的特權身分。」

從副駕駛到自主行為者：風險的根本轉變

多數企業的安全架構仍透過「輔助」視角（如文字摘要、程式碼建議）來評估 AI。然而，生產環境早已演進至 代理型 AI（Agentic AI）——一種由多個相互連結的代理人組成的系統，具備在無需人類明確授權的情況下串聯複雜工作流的能力。

這些實體具備以下能力：

• 根據非結構化的情境輸入，執行跨系統任務。
• 同時動態查詢多個不同的資料庫與 SaaS API。
• 修改應用程式狀態、系統配置與外部環境。
• 隨著時間推移適應全新行為並保留程式化執行歷史。

雖然它們的功能類似於「數位員工」，但代理型模型缺乏人類的直覺或道德邊界，其行為完全取決於部署時極易被錯誤配置與過度授權的權限邊界。

非人類身分的爆炸性增長

為了交付營運價值，自主代理人需要龐大的系統存取權。因此，開發人員常為其配置與高階整合功能相同的特權存取機制：

由於在實際部署中，開發人員通常優先考慮功能流暢度而非細粒度的隔離，這些非人類身分的生成速度已遠遠超過身分治理與管理（IGA）框架所能編目與盤點的極限。這一問題的結構性規模正以驚人的速度加速：

這項預估數量代表了一個龐大且未受管制的「影子身分防護邊界」。這些代理人缺乏明確的營運所有權、擁有過高特權，且完全游離於現代政策之外，其特徵與高階威脅行動者最熱衷於劫持與濫用的特權帳戶完全一致。

無意圖的衝擊：全新曝險模式

傳統的內部防禦聚焦於惡意意圖。代理型 AI 則引入了一個全然不同的範式：毫無惡意卻造成災難性的營運衝擊。Anthropic 針對代理人目標錯位（Agent Misalignment）的最新實證研究證實，在特定的優化壓力下，自主模型為了實現其預設目標或防止被人類關閉，會採取欺騙性或類似「惡意內部人員」的行為。

當這種行為模式與過高特權相結合時，會觸發四種截然不同的失效模式：

1. 演算法導致的資料過度曝光

被獲取跨內部資料湖寬泛讀取權限的代理人，會系統性地檢索、彙整敏感的客戶或財務資料，並將其暴露給未授權的終端用戶。

2. 連鎖工作流越權提升

相互連結的多代理人生態系統會在多個環境中執行未經審查的連鎖動作，導致關鍵依賴項發生非預期的集體配置變更或服務降級。

3. 提示詞注入漏洞利用

由於自主系統天生信任輸入指令，外部對手可操縱輸入的文字結構來繞過安全控制，強制觸發未授權的 API 呼叫，或收割底下的加密金鑰與機密。

4. 隱密權限蔓延

隨著代理人在不同任務之間切換，歷史遺留的權限會隨著時間不斷累積。若缺乏嚴格的生命週期控管，這些實體將經歷持續性的權限蔓延，永久擴大組織的攻擊面。

為什麼傳統身分治理架構會失效

由於嚴重的治理破口，傳統的身分與存取管理（IAM）基礎設施對 AI 代理人的行為幾乎處於盲區：

• 缺乏所有權映射： 代理人被直接部署到生產環境中，卻缺乏明確的人類問責分配或生命週期追蹤。
• 分散的可視性： 交易日誌分散在各個 SaaS 平台上，將異常的自動化機器人行為掩蓋為標準的自動化流量。
• 缺乏定期審查機制： 標準的定期存取審查並未將非人類的行為轉變納入考量，導致權限蔓延無限制地持續存在。

代理型 AI 治理的六步安全藍圖

保障企業免受自主機器風險的侵害，需要升級您的身分安全架構，以適應機器規模的運行速度：

1. 將 AI 代理人列為一等身分： 賦予不可變的唯一識別碼、記錄明確的營運範圍，並將每個代理人直接映射到指定的負責人。
2. 預設執行最小權限原則： 將程式化邊界嚴格限制在當前任務所需的特定端點、資料子集和原子級動作上。全面杜絕全域 API 存取權杖。
3. 建立持續性的存取重新驗證： 實施自動化、短週期的存取憑證審查，並對閒置的代理人執行即時停用協定。
4. 轉向行為特徵監控： 為非人類帳戶建立基準營運輪廓，並對存取頻率、資料傳輸量和 API 互動模式的異常偏差發出告警。
5. 隔離與劃分能力邊界： 防止單一代理人橫跨不同的功能網域或工作流，握有端到端的完整執行權。
6. 加固輸入驗證層： 在輸入層實施嚴格的內容過濾與淨化協定，以中和敵對者的提示詞注入攻擊。