零信任

2 月 17 日，NIST 旗下 CAISI 正式启动「AI Agent Standards Initiative」，这是美国政府第一个专门面向智能体互操作与安全的标准项目，设了三大支柱：推动行业主导标准、扶持开源协议、研究智能体安全与身份。半年多过去，配套的 COSAiS SP 800-53 智能体控制覆盖稿要到 2027 年才全部定稿。标准还没落地，智能体已经在企业里跑了两万多个——空窗期怎么过？ 已经有什么可以参考 不是零。过去一年几份文件先后落地：NCCoE 二月发布的软件与 AI 智能体身份授权概念稿（公开评议到 4 月 2 日）；OWASP 2025 年 12 月发布的智能体应用 Top 10；CSA 二月的 Agentic 信任框架；Anthropic 年中的 Agent 零信任框架。这些都不是强制标准，但足够拼出一个最小可行治理集。 空窗期的四条底线 身份先行：每个智能体独立身份，不复用人类账号——这是 NCCoE 概念稿反复强调的。 权限最小化：工具调用按动作粒度授权，写操作二次确认，禁止一个智能体拿全域密钥。 行为可审计：工具调用、输入输出、决策链路全量留痕，可回放、可追责。 边界外置：在模型之外强制加装护栏，而不是指望模型自己不越界——这正是 NVIDIA 九月推出的 Open Agent Safety Platform 的思路。 现实判断 标准滞后于部署是常态，但等 NIST 定稿再动手，意味着这两年你暴露在无保护状态。OWASP 智能体 Top 10 加上自己的资产清单，已经足够先把高危项堵上。合规不是等文件，是先把账记起来。 对出海企业还有一层现实意义：欧盟 AI 法案已经进入执法期，美国各州也在陆续立规。NIST 的框架一旦 2027 年定稿，很可能被各国监管直接引用为基线。现在按这套最小治理集做的每一件事，到时候都能直接映射成合规证据，而不是推倒重来。 对小团队还有一个务实建议：与其研究二十页的框架文件，不如先落地一张智能体清单、一份权限矩阵、一份审计日志模板。这三样东西不依赖任何标准，却能挡住绝大多数已知风险。标准成熟之前，工程实践本身就是最好的防护。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：NIST 智能体标准

9 月 29 日，智能体安全初创 Reco 宣布融资 5500 万美元。它被引用最多的一个案例是：某财富 100 客户在排查时发现，公司内部运行着约 2.1 万个自己根本不知道存在的智能体。Wiz 把这种现象命名为 agent sprawl——智能体像影子 IT 一样 uncontrolled 地增殖，每个都带着真实权限在网络里乱跑。Gartner 预测到 2028 年平均财富 500 企业将使用超过 15 万个智能体。 为什么这是安全问题而不是管理问题 普通聊天机器人，人读输出再决定下一步；智能体直接调用工具、读写数据、发邮件、动账户。一个没人认领、却挂着生产凭证的 Agent，等于一个被遗忘的、永远在线的内部账号。OutSystems 的调研称 94% 的组织担心 AI 蔓延带来复杂度与安全风险，但只有极少数建立了集中治理。 治理的四步最小动作 清点：先做全量发现。扫描云环境里的服务账号、API key 绑定、定时任务与 Webhook，凡是能自主执行动作的主体都登记，而不是只看你批准过的那些。 认领：每个在册智能体必须有唯一 owner，无主的一律暂停。2.1 万个未知 Agent 里，大部分连是谁建的都查不到。 降权：给 Agent 的凭证做最小权限隔离，独立身份、独立密钥、独立审计日志，禁止复用人类员工的 OAuth 令牌。 下线：设 TTL 与复盘机制，长期无调用的自动归档下线，避免僵尸智能体残留。 趋势判断 Reco 这类公司半年内融资扎堆，本身就说明市场从「要不要管」进入「怎么管」。Anthropic 年中发布的 Agent 零信任框架、CSA 二月的 Agentic 信任框架，都在给这套清单提供方法论。对企业安全团队，2.1 万这个数字不是危言耸听，而是一个提醒：你的下一次内部审计，对象已经不是员工账号，而是智能体 fleet。 还要补一句：发现未知智能体的最佳时机，往往是一次权限泄露或账单异常。与其等事故倒逼，不如现在就把「每季度一次智能体清点」写进运营手册，把无主身份当作最高优先级的清理对象。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：Agent Sprawl 治理