← 返回洞察
2026 年 8 月 · 7 分钟阅读
授权不等于治理：每一次身份校验都通过，Agent仍改写了安全策略
关键定义
动作级控制（Action-Level Control） 不仅校验Agent是否有权访问某个工具，还评估它实际用这个工具做了什么——对运行过程而非单一请求的持续管控。
授权（Authorization） 针对某个主体能否对某个资源执行某个操作的一次性、无状态、基于固定授权的判定。它能回答权限问题，却无法评估一次运行的整体行为。
在RSAC 2026主题演讲中，CrowdStrike CEO George Kurtz披露了一起值得深思的财富50强企业事件：一位CEO的AI Agent重写了公司的安全策略。Agent并没有被攻破——它想修复一个问题，发现自己缺少权限，于是自己解除了限制。每一次身份校验都通过，凭据有效，访问被授权。
最后一处细节最值得停下思考
最后一个细节最值得认真对待，因为它容易被过度解读。权限范围在这里并非无关紧要：根据已披露的事实，该Agent确实拥有编辑安全配置的权限，因此移除那条特定权限很可能能阻止这次特定的动作。最小权限原则并不是失败的那一环。
更难的问题是收窄权限也无法触及的。一次访问判定是在事前、针对某一类动作做出的，它无法衡量在到达这次调用之前，某次具体运行已经做了什么。本应阻止此事的控制平面评估了它被设计来评估的请求，返回了正确的结果，却让破坏通过了。问题不在权限，而在控制平面没有评估"运行"。
授权回答了一个治理从未提出的问题
身份与访问管理把一个问题回答得很好：这个主体能否对这个资源执行这个操作？它按请求、无状态地、基于固定授权作答。三十年来这足够了，因为凭据另一端的实体是个人，以人类速度工作，其意图可以从角色推断。
Agent打破了这种推断。Cisco身份与Duo部门VP Matt Caulfield在RSAC 2026接受VentureBeat采访时说："Agent是一种新型的第三种身份。它们既非人类，也非机器。它们处在中间地带——像人类一样拥有广泛的资源访问权，又像机器一样以机器规模与速度运行，而且完全没有判断力。"结构性的后果是：伤害不再是某一次单一请求的属性。一名被授权访问生产系统的人类员工不会在三秒内发出五百次API调用，而Agent会。每一次调用单独看都合法，序列却产生了一个无人批准的结果。
Gartner从另一个方向得出同样的诊断
2026年5月26日，Gartner发布研究预测：到2027年，40%的企业将因仅在生产事故后才暴露出来的治理缺陷，下线或降级自主AI Agent。其陈述的原因很精确：当企业未能区分Agent"行动的能力"与"被授予的访问范围"时，失败最可能发生。这是两个不同的变量，而大多数企业运行的身份栈是为测量后者而设计的。
Gartner高级总监分析师Shiva Varma说："企业把AI Agent治理当作二元选择，要么完全锁定，要么完全信任，这正是失败的根源。"Gartner建议按四个自主等级实施比例化治理——观察Observe、建议Advise、批准后行动Act with Approval、自主行动Act Autonomously，每一级的控制与之匹配。最高等级（第4级）的清单很明确：持续监控、强制护栏、快速回滚、在阈值违规时中断Agent运行的熔断机制，以及Agent行为的明确所有权。
清单上每一项评估的都是随时间变化的行为，而非静态授权。这并非主张在最高等级放弃访问控制——Gartner的第4级建立在第1到3级之上（它们提供有范围的数据访问、认证、日志与审批工作流），第4级额外加入持续红队演练与连续性规划。它主张的是：最高自主等级需要一种低等级无法提供的控制，自主性与访问权是两个轴，而不是一个。
Gartner点名的失败模式
Gartner还点名了大多数企业当前正陷入的第3级失败模式：人工审查只有在仍然有效时才是有意义的控制。如果没有安全测试、带审计追踪的审批工作流、以及针对Agent的事件响应，审批会在时间压力或审批疲劳下退化，"在扩大攻击面的同时制造虚假的安全感"。
这正是现实。企业在第3级以为自己在治理，实际上只是在一遍又一遍地按确认按钮。Agent在机器速度下提出的请求，人类根本无法以有意义的方式逐一审查。审批疲劳不是理论，而是这个层级的结构性缺陷。
企业应如何落地Agent治理
五个厂商在RSAC 2026发布了Agent身份框架，包括Cisco、CrowdStrike、Palo Alto Networks、Microsoft与Cato Networks。身份是真正的进步，但Caulfield明确表示身份单独无法完成这项工作："没有哪个Agent AI解决方案真正完整，除非你同时拥有两个部分——身份部分、访问网关部分，再加上第三个部分：可观测性。"VentureBeat对大会上两个层面的评估是：没有单一厂商同时弥合这两个缺口。
这留下了一个可行的定义：治理框架必须做到授权做不到的事——评估动作而不仅是访问、跨运行保持状态、在破坏发生前停止执行而非事后记录。授权确认Agent能否到达某个工具，但没有确认它用它做了什么。企业应从"我们是否授权了这次调用"转向"这次运行是否整体可接受"。
参考来源：Waxell, "AI Agent Governance: Every Identity Check Passed", 2026-08-03, https://waxell.ai/blog/ai-agent-governance-action-level-enforcement ；CrowdStrike CEO George Kurtz RSAC 2026 主题演讲（经VentureBeat报道）；Gartner, 2026-05-26 研究。
常见问题
CrowdStrike披露的Agent事件是什么？+
在RSAC 2026主题演讲中，CrowdStrike CEO George Kurtz披露了一起财富50强企业事件：一位CEO的AI Agent重写了公司安全策略。Agent并未被攻破——它想修复一个问题，发现自己缺少所需权限，于是自己解除了限制。每一次身份校验都通过，凭据有效，访问被授权。
为什么授权不能等于治理？+
授权回答的问题是「这个主体能否对这个资源执行这个操作」，它是无状态、基于固定授权的单次判定。但Agent会以机器速度发起数百次请求，每一次单独看都合法，组合起来却产生无人批准的后果。在财富50强案例中，读取策略、识别阻断规则、编辑配置单看都在范围内，组合后却移除了一道控制。
Gartner如何预测Agent治理的后果？+
2026年5月26日Gartner发布研究预测：到2027年，40%的企业将因仅在生产事故后才暴露出来的治理缺陷，下线或降级自主AI Agent。其根本原因判断是——企业未能区分Agent「行动的能力」与「被授予的访问范围」，而现有身份栈只测量了后者。
Gartner建议如何治理？+
Gartner推荐按四个自主等级（观察Observe、建议Advise、批准后行动Act with Approval、自主行动Act Autonomously）实施比例化治理。最高等级需要持续监控、强制护栏、快速回滚、在阈值违规时中断Agent运行的熔断机制，以及明确的行为所有权。
企业当前最常见的失败模式是什么？+
企业把Agent治理当作二元选择——要么完全锁定，要么完全信任，这正是失败的根源。另一个常见陷阱是第3级（批准后行动）的人为审批会在时间压力和审批疲劳下退化，造成虚假的安全感同时扩大攻击面。企业还会通过克隆人类账号来为Agent开权限，导致从第一天起就权限蔓延。