摘要 以思科于 2026 年 11 月发布的 AI Discovery 能力为样本，考察智能体（AI agent）治理中 "可见性" 这一命题的实际含义与限度。该能力在身份智能平台内为每个智能体建立记录，涵盖运行位置、连接对象、所用凭证与可访问资源，并通过两条路径采集数据：对接主流智能体平台的注册清单，以及读取终端检测响应、网络传感器与浏览器扩展的遥测信号以发现本地运行、不与云平台通信的实例。文章认为，可见性是智能体安全的前置条件，但不构成充分条件；真正决定治理效果的是 "可见性 — 上下文 — 约束 — 复核" 这条转化链是否完整。据此提出三重落差：注册态与运行态的覆盖落差、权限声明与运行行为的语义落差、人类身份范式与机器身份的治理落差。结合机器身份与人类身份比例失衡的行业测量、模型上下文协议（MCP）的授权规范与生态测量结果，文章说明清单化为何常常止步于资产台账，并从资产归属、权限收敛、受众绑定、持续复核与制度衔接五个方面给出治理路径。结论指出，智能体治理的难点不在于采集不到数据，而在于采集到的数据能否回答 "这个智能体代表谁、依据何种授权、做了什么"。
关键词 智能体；身份安全；可见性；非人类身份；最小权限
1 问题的提出
"看不见的东西无法保护" 这句行话在身份安全领域流传已久，它在智能体（AI agent）场景中被反复引用，却很少被追问后半句：看见了，是否就等于管住了。
2026 年 11 月 11 日，思科在身份智能（Identity Intelligence）产品中发布 AI Discovery 能力，给出了一个较为完整的回答尝试。按其公开说明，该能力为组织内的每个智能体及其关联资源建立完整记录，覆盖四个方面：智能体在何处运行、连接了什么、使用了哪些凭证、能够访问什么。数据采集通过两条彼此独立的路径完成。一条是对接主流智能体平台的接口，包括微软 Copilot、亚马逊 Bedrock、谷歌 Vertex、OpenAI、Salesforce Agentforce 等，实时捕获这些环境中已注册的智能体与 MCP 服务器；另一条是读取终端检测与响应系统、网络传感器以及浏览器扩展的遥测信号，用以发现运行在受管设备本地、从不与云平台通信的智能体与 MCP 服务器。厂商同时说明，这些上下文会被送入威胁检测、网络分段与合规审计等环节，持续认证检查以接近实时的频率复核依赖关系的配置，智能体清单则作为安全团队与合规团队共同的评审基础，使组织能够向审计方解释 "发现了什么、缺口在哪里"。
这套设计的技术判断是准确的：智能体的痕迹分布在两类位置，一类是平台侧的注册表，一类是设备侧的执行现场，只覆盖其中一类必然留下盲区。但把它放到治理链条上看，一个更基础的问题浮现出来：清单（inventory）与治理（governance）之间隔着若干环节，这些环节并不会因为清单变得完整而自动成立。本文要论证的正是这一点 —— 可见性是必要条件，其治理价值取决于能否转化为身份上下文、权限约束与持续复核，三者缺一，可见性就退化为一份昂贵而静态的资产台账。
需要说明的是，本文不讨论某一家厂商的产品优劣，而是把这套架构当作一个可观察的治理样本，用它暴露出的覆盖边界与语义缺口，讨论智能体身份治理的一般性问题。文章材料包括该能力的公开说明、身份安全厂商的年度测量数据、模型上下文协议的授权规范与安全最佳实践文本、针对 MCP 生态的学术测量，以及国内人工智能治理的制度文本。方法上采用机制分析与文本对照，不进行统计推断，也不对攻击发生率作出估计。厂商公布的测量数据存在样本来源与统计口径的差异，本文在引用时标明来源，不作横向合并。
2 智能体为何不是 "又一个服务账号"
讨论可见性之前，必须先确认被观察对象究竟是什么。把智能体当作服务账号的一类，是当前治理实践中最常见的简化，也是最容易导致控制空转的简化。
服务账号的行为是可预期的：它执行一段由人写定的调用序列，权限在部署时确定，行为在运行中基本不变。智能体不是这样。它依据目标自主选择调用哪些工具，同一条指令在不同上下文里可能触发完全不同的工具链；它的子智能体可能在数秒到数分钟内产生并消失，生命周期远短于传统账号的开通与复核周期；它以委托方式行动 —— 一个智能体代表一个人，一个子智能体又代表这个智能体，形成嵌套的授权链。传统身份模型（无论是 OAuth 2.0、OIDC 还是 SAML）假定的是单一已认证主体加静态粗粒度范围，这套假定在智能体面前逐条失效。
失效的直接表现是语义缺口。日志可以告诉你某个令牌被签发、某个接口被调用，却回答不了三个调查中最需要的问题：这个工具为什么被调用、为完成什么任务、在谁的授权之下。这一缺口不是日志质量问题，而是模型表达能力问题 —— 平面主体模型无法表达链式委托。安全团队因此在事件复盘时常常只能还原 "发生了什么"，还原不了 "应当发生什么"，也就无法判断某次调用是越权还是正常。
授权层的进展可以说明这一点。模型上下文协议（MCP）2025 年 6 月版的授权规范把 MCP 服务器定位为 OAuth 2.1 资源服务器，要求实现保护资源元数据（RFC 9728）以便客户端动态发现授权服务器，要求客户端在授权与令牌请求中携带资源指示参数（RFC 8707），使令牌的受众被限定到单一服务器，并明确禁止令牌透传。这些要求的针对性很强：受众校验失败与令牌透传正是 "混淆代理"（confused deputy）问题的技术根源 —— 当下游接口无法分辨令牌是发给谁的，它就会把一个由中介转手的令牌当作可信凭据。规范还强制使用带 S256 方法的 PKCE，但这一点需要说清楚边界：PKCE 保护的是授权码交换环节，防止授权码被截获后兑换，它并不确立工作负载自身的身份。协议层面把 "谁被授权访问哪个资源" 表达得更精确了，但 "这个智能体代表谁" 仍然依赖部署方自行建立映射。
由此可以给智能体的身份画一个轮廓：它是一个具备自主性、短生命周期、链式委托与动态工具访问的非人类身份。自主性意味着行为不可完全预判，短生命周期意味着周期性复核失效，链式委托意味着责任归属需要额外记录，动态工具访问意味着静态范围声明与实际触达之间必然存在差额。这四点合起来，解释了为什么 "清点数量" 这一步在智能体场景中格外重要，也解释了为什么只做清点远远不够。
3 可见性的两条路径与它们的覆盖边界
回到样本本身。两条采集路径的设计逻辑是互补的，但互补不等于完备，各自的边界需要逐条说明。
平台侧对接覆盖的是 "注册态"。凡是经由主流智能体平台注册、托管、编排的智能体与 MCP 服务器，都会在平台侧留下记录，接口读取可以得到较完整的清单，且能随注册变化近实时更新。这条路径的强项是准确与及时，弱项是只认平台。开发者在本机用开源框架搭起来的智能体、以脚本形式存在的自动化流程、直接在容器里跑的推理服务，不会出现在任何平台的注册表里。
设备侧遥测覆盖的是 "运行态"。终端检测响应能看到进程与命令行，网络传感器能看到通信对端与流量特征，浏览器扩展能看到页面内的智能体交互与本地端点调用。这条路径的强项是能触及平台之外的执行现场，弱项是覆盖面取决于部署范围：未安装终端的设备看不见，未纳入管理的自带设备看不见，加密流量内部的语义看不见，容器与无服务器环境中的短时进程也可能在采集间隔内消失。
两条路径的并集，仍然漏掉第三类位置：既不在平台注册、又不在受管设备上执行的智能体。这类实例常见于研发团队的试验环境、第三方托管的自动化服务、以及以浏览器插件形态分发的轻量客户端。MCP 生态的测量数据可以说明这一盲区的现实规模：针对六个公共注册表、67,057 个服务器的分析显示，注册表缺少受控的提交审核流程，大量服务器可被劫持；对 6,836 个服务器的版本行为分析发现，其中 377 个（约 5.51%）发布过至少 20 个版本，这种高频发布可能被用于在不同版本间隐藏恶意改动；同一项研究还在公共注册表上发现了仍在有效的 GitHub 令牌泄露。另有安全厂商的现场案例记录了一条完整链路：一个无需认证即可从公网访问的 MCP 服务器，其工具定义可被任意读取，其中一个接受 URL 参数的工具存在服务端请求伪造问题，被用来探测内网；另一个未做路径校验的工具造成本地文件包含，最终使配置文件中的云平台凭证被读出。这条链路上没有任何一步利用了协议自身的缺陷，全部是 "按设计正常工作的功能" 被组合使用。
这提示一个容易被忽略的判断：可见性的难点不在技术采集能力，而在 "采集范围的定义权"。当组织的资产边界由平台注册表与设备管理清单共同划定，边界之外的实例就既不被清点，也不被承认存在。而攻击者恰恰偏好边界之外的位置 —— 那里没有清单、没有归属人、没有复核周期，也没有人会因为在清单上找不到它而发现问题。
4 身份蔓延：规模、结构与攻击面的非线性
可见性之所以在智能体时代被抬到 "前提" 的位置，与身份数量的结构变化直接相关。
身份安全厂商 2025 年的年度测量给出了一个量级参照：在接受调研的两千余名决策者所在组织中，机器身份数量约为人类身份的 82 倍，其中 42% 的机器身份可访问敏感数据，而人类用户中这一比例为 37%。同一份测量显示，72% 的员工在工作中有规律地使用 AI 工具，但 68% 的受访组织尚未对这些技术建立身份安全控制；94% 的组织报告过去三年机器身份数量上升；近九成组织仍将 "特权用户" 定义为仅指人类，把机器身份排除在特权治理之外的比例较上一年还有上升。
这些数字放在一起，指向的不是 "数量多"，而是 "治理范式错位"。人类身份有入职、有主管、有离职流程、有季度复核，机器身份没有这些锚点：它由某个工程问题催生，问题解决后仍然存在，权限往往保留在最初配置的宽度上，且没有人被明确指认为它的所有者。非人类身份领域的风险清单把 "不当下线" 列在首位，正是对这一结构性缺陷的确认 —— 不是没有人想下线，而是没有机制知道该下线什么、由谁决定。
智能体把这一缺陷放大。因为智能体通常不是单独一套凭证，而是携带或继承凭证去调用下游系统：一个共享助手可能沿用其创建者的权限，一个本地编码代理可能连接一个被忽视的 MCP 服务器，一个已停用的智能体可能仍保留着当初授予的访问权。四类风险在样本说明中被逐一列出，它们的共同点是 "权限与任务不匹配"，而这种不匹配在缺少运行时记录的情况下无法被发现。
关于攻击面扩张的量级，样本引用了安全研究机构的一组计算：四万个身份可能对应七亿两千五百万条攻击路径。这个数字需要正确理解：它是在身份与资源的可达关系图上，按路径组合方式统计出的可能路径数量，属于理论上限的量级刻画，而不是实际被利用的路径计数。它的意义在于揭示增长的非线性 —— 身份与资源之间的可达关系是组合式增长的，身份数量线性上升，可达路径可能呈指数式上升。据 DiMiao, CN 分析，这组数字的治理含义不在于 "路径太多防不住"，而在于 "路径数量对新增身份极其敏感"：每增加一个高权限身份，被打开的不是一条通道，而是一族通道。这正好解释了为什么 "先清点、再收敛" 的顺序不能颠倒 —— 在身份持续新增的环境里，任何静态的权限评审都会被增量淹没。
5 三重落差：可见性为何常常止步于台账
有了清单，为什么仍然管不住？把样本的主张与实际的治理环节对照，可以看到三处结构性落差。
5.1 注册态与运行态的落差
清单描述的是 "应当存在的智能体"，运行时发生的是 "实际在执行的智能体"，两者并不重合。注册表记录的智能体可能已经停用但记录未撤，本地执行的智能体可能从未注册，配置被改动后清单不会自动跟随。样本用持续认证检查来缩小这一落差，思路是对的：把依赖关系的配置当作需要持续复核的对象，而不是一次性的开通动作。但持续复核本身有成本与频率的约束，复核间隔内发生的变更仍然构成窗口。真正缩小落差的不是更高的采集频率，而是让 "变更必须留痕" 成为部署流程的一部分 —— 清单的准确性应当由配置管理保证，而不是由扫描频率保证。
5.2 声明权限与运行行为的落差
这一点在智能体身上比在任何其他身份上都更尖锐。静态范围声明描述的是 "允许触达的上界"，而智能体每次执行实际触达的是 "任务所需的下界"，两者之间的差额既是灵活性的来源，也是风险的来源。更麻烦的是，声明无法表达意图：同一个 "读取文件" 的权限，用于整理资料和用于打包外传，在权限模型里是同一条。协议层已经开始回应这个问题：令牌的受众绑定使一次授权只对一个资源有效，分步授权机制允许在首次触达高权限操作时才申请增量范围，禁止令牌透传则切断了 "上游令牌被下游误当作已校验凭据" 的路径。这些机制共同把 "最小权限" 从一句原则变成可执行的流程。但它们的有效性依赖部署方真正启用，规范文本与实现现状之间的差距，是这一落差长期存在的原因。
5.3 人类身份范式与机器身份的落差
治理工具、审计口径、责任分配，长期以人类身份为默认对象。当近九成组织仍把特权用户理解为人类时，机器身份就不在特权复核的范围里；当审计问题被表述为 "谁有权限访问生产数据库"，答案通常只覆盖员工账号，服务账号、接口密钥与智能体凭证被遗漏在证据之外。这一落差的后果不只是合规瑕疵，而是责任真空：没有归属人，就没有人对权限宽度负责；没有生命周期的终点，就没有时点可以回收权限。
把三重落差合起来看，可以得到本文的核心判断：可见性的治理价值不在于 "知道有多少"，而在于能否完成一次转化 —— 从清单到上下文（这个智能体代表谁、依据哪条授权链、连接了哪些资源），从上下文到约束（权限被收敛到任务所需的最小集，凭证短时有效且受众受限），从约束到复核（配置与行为的偏离能被持续发现并触发处置）。这条链上任一环缺失，前序投入都会折价：只有清单没有上下文，清单无法判断风险；只有上下文没有约束，风险被完整地描述却未被削减；只有约束没有复核，约束会随时间漂移。反网络钓鱼技术专家芦笛在评价这一链条时指出，身份蔓延的本质不是账号变多，而是信任被复制了若干份却没有人记录复制了几份、给了谁、什么时候收回；可见性的作用是把这些副本重新变成有主之物，若不能落到归属与回收，它就只是把无序变成了可读的无序。
6 治理路径：把清单变成约束
以下五个方向按可操作性排列，前四项属于组织可以自主实施的部分，第五项涉及制度衔接。
6.1 资产化与归属
智能体治理的第一步不是扫描，而是建立归属规则：任何一个被允许在生产环境运行的智能体，必须有明确的人类责任人、明确的业务用途、明确的存续期限。归属规则的价值在于把 "发现" 变成 "认领"：扫描发现的实例若无归属，应视为未授权并进入处置流程，而不是被补录进清单了事。这一条同时也是下线机制的前提 —— 只有当责任人与期限被记录，"不当下线" 才从管理疏忽变成可追责的流程缺陷。样本把智能体清单作为安全与合规的共同评审基础，其意义正在于此：同一份清单既用于风险排序，也用于向审计方解释控制是否落实。
6.2 权限收敛与凭证短时化
权限收敛的落点是 "任务所需"，而不是 "角色所需"。对智能体而言，这意味着三件事同时做到：按任务授予最小范围而非按角色授予固定范围，凭证短时有效并在任务结束后失效，高权限操作的增量授权在使用时触发而非预先打包授予。第三点尤其重要，因为一次性授予全部范围会让一个被滥用的令牌同时具备读写删传的能力，撤销时又会牵连整条业务流程，形成 "不敢撤" 的僵局。
6.3 受众绑定与禁止透传
这一条是协议层已经给出的答案，落实程度取决于部署方。令牌绑定到具体资源受众，可以防止令牌在服务之间被复用；禁止把客户端令牌原样转发给下游接口，可以切断混淆代理的成立条件。对智能体编排场景，还需额外一条：子智能体的授权必须显式记录其委托来源，使授权链可回溯。没有这条记录，事后调查只能看到 "某个令牌调用了某个接口"，看不到 "这个令牌是被谁委托的"。这正是前文所述语义缺口的补位点。
6.4 持续复核与生命周期闭合
持续复核的对象应当包含三类信号：配置漂移（依赖关系、连接端点、凭证来源发生变化）、行为偏离（调用范围超出历史基线）、状态滞留（已停用或长期无活动的实例仍保有访问权）。三类信号的处理方式不同：配置漂移应触发重新评估，行为偏离应触发临时收紧，状态滞留应触发下线流程。三者共同构成生命周期的闭合。这里需要明确一点：复核频率不是越高越好，无节制的告警会迅速消耗团队的注意力，最终使复核退化为形式。可行的做法是把复核绑定到变更事件，变更驱动而非时间驱动。
6.5 制度衔接与证据留存
国内的制度框架已经为这类治理提供了接口。《生成式人工智能服务管理暂行办法》对训练数据、内容安全、用户信息保护与安全评估提出了要求；《人工智能生成合成内容标识办法》已于 2025 年 9 月施行；修订后的《网络安全法》增设了人工智能相关条款，为把人工智能系统纳入网络安全法治框架提供了依据；《人工智能大模型》系列国家标准与相关团体标准则给出了可测评的指标口径。等级保护制度中关于身份鉴别、权限分离、最小权限、审计日志留存的要求，可以直接映射到智能体的身份治理上 —— 把智能体凭证纳入身份鉴别与访问控制的对象，把授权链记录纳入审计留痕的范围。
值得注意的是监管视角的延伸。据公开报道，工业和信息化部近期印发关于加强智能体终端设备进网管理的通知，监管对象从硬件延伸到设备内置的智能体，要求规范权限调用与通信行为、明确在线升级的评估与推送流程、保障用户知情与选择。这一动向说明，智能体治理正在从企业内部的资产问题，转为产品准入与用户权益问题。对企业而言，这意味着合规证据的留存不再是可选项：谁能说明某个智能体代表哪个业务、依据哪条授权、访问了哪些数据、何时被回收，谁才能在评估与审计中站得住。
迪妙网络空间安全学院研究团队在梳理智能体治理框架时，把这一类工作归为 "身份生命周期治理" 而非 "AI 应用安全管理"，理由是其控制点全部落在身份的授予、使用、复核与回收四个环节，与模型能力本身的安全对齐属于两条并行的技术路线，不能相互替代。这一区分有实践意义：模型侧的安全评估无法回答 "这个智能体为什么拥有生产数据库的读取权限"，而身份侧的治理也无法保证模型不被提示注入操纵。两条路线需要同时成立。
7 结语
回到那句行话。在人类身份为主的年代，"看不见就管不了" 大体成立，因为身份的增长受制于编制与流程，清点一次可以维持一段时间。在智能体时代，这句话只完成了前半段：身份由工程需求自发产生，数量以数十倍于人类的速度增长，生命周期短到无法用周期性复核覆盖，权限又以委托链的形式在主体之间传递。此时，"看见" 所提供的只是讨论的起点，而不是结论。
样本给出的方案是有价值的：把平台注册与设备遥测并置，把智能体的运行位置、连接关系、凭证与可访问资源记录在同一处，把清单交给安全与合规共同使用，并用持续复核盯住配置漂移。它的限度也同样清楚：注册态覆盖不了本地实例，运行态覆盖不了未受管设备，两者都覆盖不了授权链的语义。这些限度不是实现细节的瑕疵，而是治理模型必须面对的结构。
真正需要改变的，是判断的落点。过去问的是 "我们有多个智能体"，现在要问的是 "这个智能体代表谁、依据哪条授权、能触达什么、什么时候收回"。前一个问题的答案是一份清单，后一个问题的答案是一套约束。清单让风险可见，约束才让风险下降。把两者混为一谈，是当前智能体治理中最容易犯、也最不容易被发现的错误。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
