AI辅助整理：本文基于下方列出的公开原始来源改写，不代替原文。
核心摘要： Snowflake工程博客指出，静态的谁能访问什么IAM模型约束不了会跨系统推理、动态链式执行、实时决策的AI智能体。它提出三支柱：归属，每个智能体须有独立身份、可观察动作信号和一名实名负责人，能审计与回收授权；授权，按任务意图而非仅按身份给最小权限，采用委托而非冒充，防止智能体越出边界；策略，在运行时持续执行企业规则，监测偏离声明意图的行为，防范提示注入与授权后漂移。文中引用Linux基金会2026科技人才报告：96%组织在规模化AI时遇挑战，AI安全顾虑从2024年17%升至2026年48%。
业务背景
企业身份与访问管理长期建立在静态模型之上：管理员为每个用户分配一组权限，用户登录后便持续拥有这些权限。这套模型假设访问主体是行为相对可预测的人类。
AI智能体的出现打破了这一假设。智能体会跨系统推理、动态链式调用工具、根据实时上下文做决策，其行为路径在授权时无法完全预知。Snowflake工程博客认为，传统IAM模型已不足以约束这类新型访问主体。
问题定义
最危险的做法是让智能体直接继承某个人类用户的完整身份。一旦智能体被提示注入攻击或恶意操纵，攻击者便获得了该用户在企业内的全部权限，形成被放大到企业规模的Confused Deputy问题。
这与OWASP总结的过度代理故障模式一致：智能体被授予超出任务所需的权限，而权限边界在运行时又缺乏持续校验。静态的授权清单无法回答一个关键问题：这个智能体此刻正在做什么、它是否仍在其声明意图之内。
AI怎么落地
Snowflake提出智能体身份三支柱作为治理框架。第一支柱是归属：每个智能体必须有独立于任何人类用户的身份标识，其动作可被观察和记录，并指定一名实名负责人，负责定期审计与回收授权。
第二支柱是授权：权限授予应基于任务意图而非仅基于身份，采用最小权限原则。关键区别在于，智能体代表用户行事时应采用委托模式而非冒充模式，让系统能区分这是智能体在用户授权范围内执行，还是用户本人在操作。
第三支柱是策略：安全策略需要在运行时持续执行，监测智能体行为是否偏离其声明的意图，及时发现提示注入攻击和授权后漂移。
实施步骤
企业可先从盘点现有智能体入手，为每个智能体建立独立身份并指定负责人。第二步是梳理每个智能体实际需要访问的系统和数据，把权限收敛到任务所需的最小范围。
第三步是在身份与授权层区分委托与冒充两种模式，确保智能体以可审计的委托身份行动。第四步是把安全策略从设计时静态配置迁移到运行时持续执行，配合行为异常检测机制。
结果证据与边界
本文为架构方法论论述，未披露特定企业的量化收益数据。其论据主要来自第三方调研：Linux基金会《2026科技人才报告》显示96%组织在规模化AI时面临显著挑战，AI安全顾虑从2024年的17%升至2026年的48%。
来源同时援引NSA等机构对自主智能体过快增长的警示。需要说明的是，这些数据用于说明问题普遍性，并非本文提出方案的直接效果证明。
可复制动作
企业可以立即采取的行动包括：为每个智能体建立独立身份并指定真人负责人，定期复核权限合理性；把访问控制从按身份授权升级为按任务意图动态降权。
对代表用户行事的智能体，坚持委托而非冒充，明确区分自治型与委托型代理。最后，把安全策略放到运行时持续执行，用行为异常检测替代事后审计，确保即使发生越权，攻击者也被困在划定边界内。
证据与边界
- 来源未披露具体企业量化落地数据，本文为架构方法论论述。
- 引用Linux基金会《2026科技人才报告》：96%组织在规模化AI时遇挑战。
- 引用同一报告：AI安全顾虑从2024年17%升至2026年48%。
- 援引NSA等机构对自主智能体过快增长的警示。
企业今天可以做什么
可复制动作：给每个智能体建独立身份，并指定一名真人负责人定期复核其权限是否仍合理；访问控制从按身份授权升级为按任务意图动态降权到最小所需；对代表用户行事的智能体坚持委托而非冒充，明确区分自治型与委托型代理；把安全策略放到运行时持续执行，用行为异常检测替代事后审计，并确保越权时攻击者被困在划定边界内。