在企业网络安全领域，我们一直有一个常见的罪魁祸首：人为因素。员工可能会点击不该点击的链接，高管可能会为所有账户使用相同的密码，管理员可能会忘记关闭具有特权的会话。但是，当我们仍然沉迷于教育人类关于钓鱼文化时，一个新的角色已经掌握了主动权，并以我们难以想象的速度移动：人工智能代理。
来自软件工程和云基础设施的最新报告是明确的。人工智能代理不再是简单的被动查询工具；今天，它们是深入嵌入我们组织的运营实体。它们在端点、开发环境（IDE）和持续集成/持续部署（CI/CD）管道中自主生成和使用凭证。
问题在于，它们这样做是在传统治理的盲点中。
代理蔓延的解剖结构
到目前为止，身份和访问管理（IAM）一直是为人类设计的由人类实施的学科。我们有明确的协议来处理员工入职、离职或调动。但是，当请求访问权限的不是人类，而是一个没有面孔、没有工资单、可以在一秒钟内创建一千个访问“钥匙”来完成编码任务的实体时会发生什么？
我们正在经历一个纯粹非人类的凭证蔓延现象。人工智能代理在自动化过程、优化工作流或自我修复软件错误的过程中，动态创建访问令牌、API密钥和连接秘密。这些凭证出生在传统的秘密管理工具（Secrets Management）之外。
它们本质上是幽灵凭证。它们存在于系统的边缘，授予机器之间的权限，访问关键存储桶或在生产中部署容器。所有这些都发生在没有安全管理员手动签署任何授权的情况下。
为什么人工智能代理正在扩大爆炸半径
风险不仅在于这些凭证的存在，还在于缺乏对它们的生命周期管理。有三个关键因素将这个“蔓延”变成任何CISO的定时炸弹：
授权主权的风险
真正让我担心的是，我们正在将基础设施的主权委托给算法中介。当我们允许人工智能代理管理CI/CD管道而没有专用的秘密监控时，我们正在接受机器决定其运行所需的权限级别。
历史上，最小权限原则是神圣的。今天，人工智能的速度迫使开发人员为代理授予广泛的权限，以避免自动化停止。这是本世纪最危险的交换：我们正在用部署速度换取安全。
结论：从人类身份到代理身份
企业生产力的未来无疑是自主的。我们不能也不应该阻止这些代理的实施。然而，我们不能让速度牺牲公司的完整性。我们需要进行紧急转变：我们必须从以人类为中心的身份管理转变为机器和代理身份管理。
我们必须能够：
人工智能以指数级的速度发展。遗憾的是，我们的安全仍然以线性速度发展。如果我们不开始照亮这些幽灵凭证的盲点，我们将醒来发现自己已经不是我们自己技术的主人。
你们知道你们的人工智能代理在过去一小时内创建了多少个凭证吗？如果你们没有答案，风险已经是你们的了。
Larry