声称执行 AI 代理权限的 40 个团队中，有 17 个仍共享其背后的凭证

调查核心矛盾

VentureBeat 2026 年 9 月调查访问 102 家企业。40 家称执行 scoped identities 和运行时权限检查，其中 17 家承认部分或多数 agent 仍共享凭证；整体仅 14 家 可在几分钟内撤销访问。撤销能力：14 家指定具名负责人，45 家需安全或平台团队数小时，17 家需超一天或先追踪凭证，10 家不确定能否撤销每个 agent，14 家不知道。27 家慢/不确定，其中 13 家来自 44 家共享凭证者，3 家来自 34 家独立身份者，11 家来自 22 家不知认证方式者，比例最高。全样本：35 家独立身份，45 家某种程度共享，22 家无法说明；19 家主要用人类或服务账户凭证运行 agent。

事件与厂商回应

Zenity Labs 本月展示：若执行角色覆盖账户所有 agent，向 Amazon Bedrock AgentCore 上带 URL-fetching 工具的公开 agent 发一个提示，即可返回临时 AWS 凭证；默认 IAM 角色覆盖同账户、同区域所有 AgentCore 资源，凭证可启动其他 agent、读取会话、拉取 secrets。AWS 初标“informative”，称需开发者错误；但过度权限至少持续到 2026-06-22，到 2026-09-29 似乎缓解。次日 Fireworks AI 公告，未授权第三方用泄露内部凭证访问客户评估作业环境变量，可能捕获 API keys 和 tokens；检测四天后完成一次凭证审查，更多轮换进行。NIST 和 CISA 于 9 月 15 日最终确定 Interagency Report 8587，建议访问和身份令牌寿命不超过一小时；静态 API key 不符合，Fireworks 事件涉及该报告搁置的凭证类别。AgentCore 临时凭证仍可达每个 agent，因权限范围过宽。

专家观点与行动建议

Cobalt CISO Andrew Obadiaru 称 agent 打破服务账户模型：撤销传统凭证可停止请求，但 token 可能太快，来不及收回；共享凭证不识别发送 agent，撤销还可能破坏其他工作负载，轮换和 secrets managers 不回答只撤回一个 agent 的问题。CrowdStrike 总裁 Mike Sentonas 9 月 2 日在 Fal.Con、同日公司宣布新 agentic identity provider 时问：“与谁共享？可访问哪些第三方系统？”AISLE 联合创始人 Jaya Baloo（周四称将被 Cohere 收购，她将任全球 CISO）说，企业已有数万服务账户且不明用途，加入 AI 与 API keys 更糟。Ivanti 产品管理副总裁 Chris Goettl 在 RSAC 称攻击者预先购买凭证；AI 压缩暴露生命周期，发现到利用窗口从数周缩至数小时，安全团队无法手动分类数千漏洞，无过期静态 API key 位于错误一侧。SynSphere Italia CEO Egiziago Cioffi 发现生产 Azure OpenAI assistant 用索引作业权限而非用户权限回答，遂将权限检查移入检索路径；修复是权限更改，启用后 60% 请求仍自动解决。Okta、Microsoft、CrowdStrike 均推出 agent-identity 产品，但 99 名列出工具的九月受访者只有一人点名 Microsoft Entra Agent ID；共享 keys 企业未列这些产品。文章建议：选一个可安全离线的 agent，计时撤销且不影响其他 agent；若需先追踪 key，库存就是遏制问题。40 家过去一年报告确认 agent 安全事件或 near-miss，12 家不追踪，20 家不知运行多少 agent 身份；72 家计划 12 个月内采用新或替换方案，但若凭证仍共享则无效。Obadiaru 的库存问题同样适用：“谁拥有它？创建来做什么？什么访问级别？最后何时使用？若不知道拥有什么，就无法防护。”