为了代表人类与不同系统交互，智能体AI催生了非人类身份（NHI）。
安全盲点中非人类身份的扩散（包括利用加密资产）极大地扩大了恶意行为者的攻击面。
应对非人类身份挑战，首先需要全面掌握此类智能体工具及更广泛的加密资产。
AI正在改变全球企业，释放效率、加速决策、推动创新，并重塑每一个运营层面。最显著的趋势之一是智能体AI：即与企业数据和系统交互、针对特定目标量身定制的自主“智能体”。这些智能体善于把握情境、进行规划和自适应解决问题，能够在极少人工干预或监督的情况下执行复杂的多步骤流程。2024年10月，Gartner 将智能体AI评为2025年的首要技术趋势，并预测到2028年，33%的企业应用将包含智能体AI，而2024年这一比例还不到1%。
在急于采用智能体AI的过程中，许多组织可能忽视了一项关键的网络安全挑战：非人类身份（NHI）的兴起，其中包括API密钥、服务账户和身份验证令牌。这些AI智能体与工具、API、网页和系统交互，代表您执行操作（而不仅仅是提供建议）。智能体AI可能在安全盲点中催生非人类身份，这些身份往往获得广泛、持久的敏感数据和系统访问权限，却未享有通常适用于人类的保护措施。此外，智能体AI不仅仅是被动的，它具备推理智能，能够采取行动，并有可能对数字世界和物理世界产生深远影响。
在快速扩张的环境中，非人类身份的增长速度快于安全团队的监控能力。非人类身份的使用显著放大了企业潜在的攻击面，并在过去被视为安全的领域带来新的风险。过去，首席信息安全官只需为员工和少数第三方提供凭证管理，如今则必须为大量非人类身份做同样的工作。
我们本应预见到这一点吗？或许可以。历史表明，自主系统可能会超出其预定边界。1988年的莫里斯蠕虫，旨在绘制互联网地图，却感染了6000台机器。震网病毒，于2010年针对伊朗核离心机而设计，后扩散至全球工业系统。2024年，在一次安全演练中，一个ChatGPT模型突破了其沙箱限制，并在未被指示的情况下访问了受限文件。
这些案例表明，自主智能体所展现的能力超出了其创造者的预期。若考虑到蓄意的恶意设计，风险将严重得多。
为了获取/维持访问权限并开展运行，智能体AI将非人类身份嵌入敏感工作流程中，借助API在资源之间移动数据，访问敏感数据，并以机器速度运行。智能体的交互还涉及利用证书和加密密钥等加密资产。遗憾的是，现代企业IT架构规模庞大且复杂，使得大多数首席信息安全官难以全面掌握其非人类身份和加密环境，更不用说掌握已部署了哪些加密技术、部署在何处，或其是否仍然有效。这种透明度的缺乏凸显了对非人类身份和加密资产发现（包括盘点资产）采取现代化方法的迫切需要：你无法保护你看不见的东西。
零信任架构要求持续进行身份识别/授权，并且仅授予最小权限访问，已被广泛采用，但大多数实施仅止步于人类身份。自动化流程往往保留着广泛的授权权限，且无到期时间、认证或问责机制，绕过了旨在保护我们系统的协议。若无法实时掌握非人类身份被用于何事、以何种方式以及何时被使用，仅靠身份验证就是一种虚假的安全感。
我们现在看到安全“杀伤链”正在形成：权限过度的服务账户（由应用程序为资源访问和自动化而创建的非人类身份）、写入代码中的敏感凭证，以及处于非活动状态或已过期的证书。这里并没有恶意软件或明显的漏洞利用，只有糟糕的非人类身份和加密治理习惯，且这些问题常在团队和环境之间被继承。这是一种悄无声息的失效状态，极易演变为灾难性损失。
其影响远不止企业数据泄露。请考虑关键基础设施：电网、应急通信系统和国防物流。此处的凭证泄露不仅威胁正常运行时间，更威胁生命安全。
政策制定者和监管机构已开始采取行动。美国政府颁布的授权，如NSM-10、EO 14028和OMB M-23-02，现要求实时进行加密资产盘点，以加强国家网络安全。它们认识到，若不能准确、及时地掌握您的加密资产以及谁在访问这些资产，合规与安全便无从谈起。
加密技术确立并强制执行人类和非人类（智能体）的身份识别及访问权限（身份验证）。如果加密技术以及访问权限/特权未被正确映射和维护，那么我们就等于向AI智能体失控、人类黑客入侵我们的系统敞开了大门。近期的行政命令进一步推动加密管理的自动化，并加速向抗量子算法（即后量子密码学）过渡。一台能够破解RSA或ECC的量子计算机，将使那些如今截获加密流量的人能够获取各类数据。
应对这一挑战，首先需要可见性：组织必须能够发现并映射其非人类身份和加密资产。在此基础上，基于身份感知的访问控制、自动化密钥管理以及跨系统和合作伙伴的政策执行至关重要。最后，通过采用NIST标准化的后量子算法（如ML-KEM和ML-DSA）为量子韧性做好准备，将确保长期安全。
世界经济论坛如何为人工智能制定护栏？
人工智能卓越中心汇聚各行业领袖，共同理解人工智能的快速演进及其对经济和社会的影响。它支持就人工智能应用相关的机遇、风险和权衡进行知情对话。
通过可信空间和协作倡议，该中心使合作伙伴能够建立共同理解，并携手推进人工智能创新与应用的负责任方法。
在一个日益由AI塑造的世界中，安全韧性——以强大的非人类身份和加密治理为先导——即是国家韧性。我们不能将其视为后端合规任务。它必须置于前列：在每一个董事会、安全计划和数字化转型倡议中都应如此。因为一旦加密技术失效，其他一切都将随之崩塌。
