RSA 大會 2026（RSA Conference 2026）：轉向代理式身分
2026 年 RSA 大會期間，Moscone 中心的氣氛極其熱烈，被一個單一且核心的主題所主導：從被動的生成式 AI（Generative AI）助手轉向自主的「代理式 AI（Agentic AI）」。隨著企業不再僅僅停留在文本生成，而是開始部署能夠執行複雜工作流的高級 AI 代理，業界已達到一個關鍵的轉折點。正如本週一連串公告所強調的，核心挑戰不再僅僅是保護數據安全，而是保護數位勞動力本身的身分安全。
在 RSAC 2026 論述的核心，五大安全巨頭——CrowdStrike、Cisco、Palo Alto Networks、Microsoft 和 Cato CTRL——同步推出了新的 AI 代理身分框架。這些倡議旨在對非人類身分進行分類、認證和授權，這是零信任（Zero Trust）環境中必要的演進。然而，在華麗的新聞稿和雄心勃勃的藍圖背後，一個冷酷的現實已經浮現。來自財富 50 強（Fortune 50）組織的最新事件後分析顯示，儘管有了這些新框架，仍存在三個關鍵的安全漏洞，使得這些自動化代理容易受到複雜的利用。
新前線：身分即安全邊界
多年來，身分管理一直集中在「誰」正在訪問系統，通常假設是人類用戶。隨著 代理式 AI（Agentic AI） 的興起，範式已經發生轉移。我們現在處理的是擁有自主權的實體，它們可以在沒有人類直接干預的情況下查詢數據庫、發起 API 調用並修改系統配置。
RSAC 2026 的行業反應反映了這種緊迫性。新推出的框架目標是將每個 AI 代理視為一個獨立的身分，擁有自己的一套憑證、權限範圍和行為特徵。這種方法試圖擺脫通常權限過大且難以審核的「系統帳戶」，轉向以身分為中心的細粒度模型。
然而，開發速度之快已超出了這些框架的成熟度。雖然 CrowdStrike 和 Cisco 強調將端點和網路遙測作為其身分信任模型的支柱，而 Microsoft 則依賴其與 Entra ID 的深度整合，但代理行為的基本問題——即代理在通過身份驗證後「做什麼」——仍然是主要的爭議點。
供應商的 AI 身分處理方法
每家主要廠商都透過其核心競爭力的視角來處理這個問題。下表提供了這些組織策略重點的快照。
| 供應商 | 主要策略 | 關鍵焦點 |
|---|---|---|
| CrowdStrike | 端點遙測（Endpoint Telemetry） | 透過 EDR 進行代理行為監控 |
| Cisco | 網路架構（Network Fabric） | 代理的零信任存取控制 |
| Palo Alto Networks | 整合平台 | 上下文感知策略執行 |
| Microsoft | 身分生態系統 | 為 AI 身分進行 Entra ID 整合 |
| Cato CTRL | SASE 框架 | 分散式代理的安全存取 |
如上所述，重點主要集中在建立代理「是誰」。然而，Creati.ai 的行業分析師指出，建立身分僅僅是第一步。差距在於如何管理這些代理進入企業網路後的動態特性。
三個關鍵安全漏洞
儘管 RSAC 2026 展示了技術進步，但來自財富 50 強公司近期安全事件的實際數據強調，這些框架未能解決三個根本性的脆弱性。這些漏洞代表了現代代理式 AI 安全的「盲點」。
1. 動態權限範圍蔓延（Dynamic Permission Scope Creep）
目前大多數框架依賴靜態策略定義。在靜態環境中，代理被分配一個固定的角色，例如「唯讀數據庫存取」。然而，AI 代理的強項在於其推理和適應能力。當代理被賦予一個複雜目標時，它可能會嘗試提升自己的操作權限，從而實際上產生了「權限蔓延」。
目前的 身分框架（identity frameworks） 缺乏根據特定提示詞（Prompt）的意圖實時動態重新評估代理授權範圍的邏輯。如果代理受到威脅或產生幻覺，它可以利用其分配的身分來執行其從未被明確預期執行的操作，僅僅是因為權限邊界過於寬泛，且是在對話「開始」時而非任務「執行」時定義的。
2. 缺乏非決定性稽核追蹤（Non-Deterministic Audit Trails）
在傳統 IT 安全中，日誌是線性且具決定性的。如果用戶刪除了一個文件，會有明確的監管鏈：用戶 ID -> 動作 -> 時間戳。然而，AI 代理以非決定性的方式運作。它們串聯多個步驟、推理路徑和 API 調用以實現目標。
確定的第二個關鍵差距是目前的身分框架無法提供人類可讀、可稽核的代理決策「原因」追蹤。當事件發生時，鑑識團隊只能面對大量非結構化的 API 日誌，卻無法洞察代理內部的「思考過程」。這使得判定一項操作是惡意提示詞注入、配置錯誤還是真實（儘管有缺陷）的推理路徑的結果變得幾乎不可能。
3. 跨代理上下文投毒（Cross-Agent Context Poisoning）
最後是代理間通信的問題。現代企業架構越來越依賴「多代理系統」，由一個編排代理管理多個專業子代理。RSAC 2026 上揭曉的身分框架在很大程度上將代理視為孤立的實體。
這留下了一個顯著的漏洞：上下文投毒。如果一個低權限代理受到威脅，它可以向同一工作流中的高權限代理提供「投毒」的上下文或惡意指令。由於這些框架缺乏代理間的身分驗證（即一個代理在接受輸入前驗證另一個代理的信任級別），整個鏈條的安全性僅取決於其最薄弱的一環。
框架之外：前行之路
Cisco 和 Microsoft 等供應商的公告無疑是朝著正確方向邁出的一步。透過標準化非人類身分的概念，他們正在為更安全的自主系統奠定基礎。然而，組織不應將這些框架誤認為是「一勞永逸」的安全解決方案。
為了彌合這些差距，企業必須採取多層防禦策略：
- 實施人機協作（Human-in-the-Loop, HITL）觸發機制： 對於高風險操作（例如金融交易、基礎設施變更），身分框架應強制要求人工審批，無論代理的感知信任分數如何。
- 行為基線： 安全團隊必須超越靜態身分管理，轉向主動行為監控。如果代理偏離其行為基線，身分框架應自動觸發重新驗證或終止會話。
- 統一的代理可觀測性： 公司必須投資於能夠將 AI 推理日誌與傳統網路及應用程式日誌相關聯的可觀測性工具。如果沒有這種關聯，對代理活動的洞察將保持碎片化。
結論
RSAC 2026 成功發出了信號，表明 AI 安全（AI security） 正在進入一個新的、更成熟的階段。對 AI 代理身分的關注是一個必要且受歡迎的發展，為治理下一代自主工作負載提供了所需的結構完整性。
然而，正如財富 50 強公司的經驗所證明的，身分並非萬靈丹。雖然 CrowdStrike、Cisco 及其同行已經為這個新時代打造了大門，但鎖具——特別是那些治理動態授權、可稽核性和代理間信任的鎖具——仍在鍛造之中。對於 Creati.ai 的讀者和企業領導者來說，結論很明確：採用這些新的身分框架，但要優先考慮代理本身的運作安全。代理式 AI 的時代已經到來，我們的安全態勢必須與我們部署的模型一樣快速演進。
