AI智能体正成为权限提升路径
AI智能体已迅速从实验性工具转变为安全、工程、IT和运维等日常工作流的核心组件。最初作为个人生产力助手的工具——例如个人代码助手、聊天机器人和协同编程工具——现已演变为嵌入关键流程的、全组织共享的智能体。这些智能体能够跨多个系统编排工作流，例如：
- 人力资源智能体：根据HR系统更新，在IAM、SaaS应用、VPN和云平台中创建或注销账户。
- 变更管理智能体：验证变更请求、更新生产系统配置、在ServiceNow中记录审批信息，并在Confluence中更新文档。
- 客户支持智能体：从CRM获取客户背景信息、在计费系统中检查账户状态、触发后端服务修复，并更新支持工单。
为实现规模化价值，组织级AI智能体被设计为服务于多用户和多角色。与个人用户相比，它们被授予更广泛的访问权限，以便获取高效运作所需的工具和数据。
这些智能体的应用已带来切实的生产力提升：更快的分类处理、减少人工操作、简化运维流程。但这些早期成果伴随着隐性成本。随着AI智能体功能日益强大、集成度不断加深，它们也成为了访问中介。其宽泛的权限可能模糊实际访问者、访问内容及访问权限的边界。许多组织在追求速度与自动化的过程中，忽视了由此产生的新型访问风险。
组织级智能体的访问模型
组织级智能体通常被设计为跨越多资源运作，通过单一实现服务多用户、多角色和多工作流。这些智能体并非绑定于个人用户，而是作为共享资源，能够响应请求、自动化任务，并代表多用户跨系统协调操作。这种设计使智能体易于部署并具备组织级扩展性。
为实现无缝运作，智能体依赖共享服务账户、API密钥或OAuth授权来与交互系统进行身份验证。这些凭证通常长期有效且集中管理，使得智能体无需用户介入即可持续运行。为避免操作阻碍并确保智能体能处理广泛请求，其权限往往被宽泛授予，覆盖的系统、操作和数据范围通常远超单个用户所需。
尽管这种方法最大化了便利性与覆盖范围，但这些设计选择可能无意中创建出强大的访问中介，从而绕过传统的权限边界。
打破传统访问控制模型
组织级智能体通常以远宽于个人用户的权限运行，使其能够跨越多个系统和工作流。当用户与这些智能体交互时，他们不再直接访问系统，而是通过智能体代为执行请求。这些操作以智能体身份而非用户身份运行。这打破了传统访问控制模型——在传统模型中，权限是在用户层级实施的。权限有限的用户通过智能体间接触发操作或获取数据时，可能获得其直接访问未授权的资源。由于日志和审计记录将活动归因于智能体而非请求者，这种权限提升可能在缺乏清晰可见性、问责机制或策略执行的情况下发生。
组织级智能体可悄然绕过访问控制
智能体驱动的权限提升风险往往体现在细微的日常工作中，而非明显的滥用行为。例如，对财务系统访问权限有限的用户可能通过组织级AI智能体请求"总结客户表现"。拥有更宽权限的智能体从计费、CRM和财务平台提取数据，返回用户本无权直接查看的分析结果。
另一种场景中，没有生产环境访问权限的工程师要求AI智能体"修复部署问题"。智能体使用其提升后的凭证调查日志、修改生产环境配置并触发流水线重启。用户从未直接接触生产系统，但生产环境已因其请求而被更改。
这两种情况下都没有违反显式策略：智能体已获授权，请求看似合法，现有IAM控制在技术上也被执行。然而，由于授权是在智能体层级而非用户层级评估，访问控制实际上已被绕过，从而产生无意且通常不可见的权限提升。
传统访问控制在AI智能体时代的局限性
传统安全控制围绕人类用户和直接系统访问构建，难以适应智能体中介的工作流。IAM系统基于用户身份执行权限控制，但当操作由AI智能体执行时，授权评估针对的是智能体身份而非请求者身份。因此，用户层级的限制不再适用。日志和审计记录将活动归因于智能体身份，进一步加剧了问题，掩盖了动作发起者及其意图。在智能体介入的场景中，安全团队已无法有效执行最小权限原则、检测滥用行为或可靠归因操作意图，导致权限提升发生时无法触发传统控制机制。缺乏准确归因还会增加调查复杂性、延缓事件响应，并在安全事件中难以确定意图或影响范围。