Agent 时代的凭证安全：构建可追溯的调用治理体系

Agent 正在成为企业数字化的新基建。它调用工具、读写数据、访问第三方服务，而这些动作背后全部依赖同一个东西：凭证。

凭证安全在传统 IT 体系里已经很成熟，但 Agent 时代出现了新的变量：Agent 是自主执行的。一个被注入恶意指令的 Agent，可以在合法凭证下做出越界操作；一把散落在配置里的 Key，可能被悄悄用于非业务用途。安全问题从"防外部攻击"扩展到了"防内部失控"。

一、Agent 凭证的三个典型风险

共享凭证失控。 团队共用的 Key 看似方便，实则人人裸奔：调用不可追溯，泄露后无法定位影响面，撤销等于全员停摆。

凭证硬编码。 把真实 Key 写进 Agent 配置、客户端、镜像文件，是当前最常见的做法。相关安全研究显示，大量 AI 应用在运行时流量中直接暴露了可用凭证，且修复率很低。这个问题在企业内部链路中同样存在。

权限无边界。 Agent 需要的最小权限是什么？能不能访问生产库？能不能调用高成本模型？没有明确的权限定义，Agent 的"自主性"就成了风险敞口。

二、分层防护的三个关键动作

1. 最小权限：凭证与策略绑定

不要给 Agent 一把"万能钥匙"。合理的做法是引入虚拟凭证机制：真实密钥集中存放，对外签发绑定策略的派生凭证——每个凭证限定可用模型、额度上限、运行环境。Agent 拿到的不是原始 Key，而是"能做什么"的契约。

2. 可撤销：凭证全生命周期管理

凭证要支持签发、续期、撤销、轮换全生命周期管理，且撤销要能快速生效。人员离职、项目下线、调用异常时，能精准吊销对应凭证而不影响其他业务，是安全底线。

3. 全链路审计：每一次调用都可追溯

每次调用记录四要素：谁（凭证身份）、何时、调用了什么模型、消耗了多少资源。审计的意义不只是事后追责，更是事前检测——异常调用模式（非业务时段高频调用、Token 突增）往往就是风险的前兆。

三、MCP 生态下的新暴露面

MCP 让 Agent 接入外部工具变得异常简单，但也带来了新的凭证暴露面：每个 MCP 服务器都可能需要独立的 API Key，工具链越长，凭证挂得越多。建议对 MCP 工具接入建立统一登记：谁接入了哪些工具、每个工具挂的什么凭证、调用是否在审计范围内。Agent 台账的核心价值，就是让每一个暴露面都可查、可管、可撤。

四、安全治理的落地建议

• 先盘点：登记现有 Agent、凭证、调用链路，识别高风险项（共享 Key、硬编码、无审计）。
• 再收紧：将高频凭证切换为最小权限的虚拟凭证，配置额度和异常告警。
• 后闭环：用审计数据持续优化权限边界，形成"签发-使用-审计-回收"的闭环。

Agent 的能力越强，凭证的管控就要越严。安全不是 Agent 化的阻碍，而是它规模化的前提。