行业新闻与博客

SANS 研究所警告称，将人工智能融入企业工作流程的竞赛可能会超过安全措施的推进速度，此前该研究所揭露了普遍存在的凭证安全漏洞。

该安全培训和研究机构在其2026 年 SANS 身份威胁与防御状况调查中公布了这些调查结果，该调查基于对全球 500 多名安全专业人员的采访。

调查显示，四分之三 (76%) 的组织报告称，非人类身份 (NHI)（例如服务帐户、 API 密钥、自动化机器人和工作负载身份）有所增长。

SANS 研究所表示，其中越来越多的问题与智能体人工智能有关：74% 的组织已经在使用需要凭证的人工智能代理或自动化程序。

报告称，这导致组织内部运营的 NHI 数量悄然翻了一番或两番。

然而，智能体人工智能尤其代表了一种潜在的新安全风险，而很少有企业能够应对这种风险。

SANS 研究所表示，代理需要凭证和访问权限才能自主工作，并且通常会被授予特权访问权限，以便直接与关键基础设施和数据进行交互。

然而，与遵循固定逻辑的传统人工智能不同，智能体人工智能会解读指令并采取不可预测的行动——这意味着它们的行为更像是拥有特权的内部人员，但运行速度却像机器一样快。此外，还存在产生幻觉的风险。

Forrester 去年警告称，到 2026 年底，部署智能 AI 将导致公开披露的数据泄露事件，并呼吁各组织遵循“最低限度可行安全”方法来降低相关风险。

人工智能治理缺失

根据 SANS 研究所的研究，大多数组织似乎缺乏以安全为先的协调一致的人工智能部署方法。

调查发现，92%的用户未能按 90 天周期轮换机器凭证，担心这可能会导致服务账户失效。大多数用户（59%）每季度轮换的 NHI 凭证不足一半，而部分用户（15%）甚至不知道自己的轮换频率。

报告指出，另有 5% 的人不知道他们所在的组织是否正在运行智能体人工智能。

报告中强调的另一个挑战是，许多组织依赖手动访问审查、基于工单的配置和定期轮换，但当环境中有大量 NHI 在 DevOps 、云和 SaaS 系统中以机器速度运行时，这些方法根本无法扩展。

SANS 学院认证讲师 Richard Greene 警告说，各组织赋予人工智能决策权的速度，远远超过了他们建立治理框架来控制人工智能的速度。

“我们已经看到，当非人类身份在没有防护措施的情况下规模化时会发生什么，而智能人工智能的发展速度甚至更快，”他补充道。

“治理的早期迹象令人鼓舞——近十分之四的组织现在对人工智能代理的操作采用人工审批——但真正的挑战在于，随着这些系统从试点阶段过渡到核心运营阶段，如何才能保持领先地位。”

SANS 研究所建议采用密钥库、自动轮换和最小权限访问范围作为抵御人工智能代理风险的屏障，但强调必须扩大这些措施的规模，以适应国家健康信息 (NHI) 的持续增长。