技术深度解析
主密钥模型的核心技术缺陷在于其违背了基本的最小权限原则。一个被赋予CRM系统完全管理员API密钥、仅负责汇总上季度销售数据的智能体，本质上就具备了删除整个客户数据库、修改财务记录或泄露敏感个人身份信息的能力。新的架构范式引入了一个位于智能体与目标资源之间的安全中间层。
该中间层通常包含以下几个关键组件：
1. 智能体身份与认证：每个智能体实例不再使用共享密钥，而是获得一个可加密验证的身份（例如签名的JWT令牌），其中编码了其用途、创建者和运行时环境。SPIFFE/SPIRE等项目正被适配用于此类非人类实体的场景。
2. 策略引擎：一个集中化的决策点，根据一组声明式策略评估智能体的请求。这些策略不仅是简单的允许/拒绝规则，还可以具备上下文感知能力，综合考虑时间、先前操作序列、数据敏感度级别，甚至智能体自身推理轨迹的可信度得分等因素。OPA和Cerbos等开源策略引擎在智能体治理中的应用日益增多。
3. 实时访问代理：智能体不再持有长期有效的凭证，而是为特定操作请求访问权限。代理在咨询策略引擎后，可以生成一个短期、范围受限的凭证（例如有时效的AWS STS令牌，或仅限于单张数据库表的连接），并将其直接注入智能体的运行时环境或中间服务。这体现了零信任“永不信任，始终验证”的模型。
4. 操作净化与验证：在请求被转发至后端API之前，中间层可以对输入进行净化（防止SQL注入或通过操纵参数进行提示词注入），并验证所请求的操作是否符合该类型智能体的预期模式。
体现这一转变的相关开源项目包括LangGraph及其新兴的安全扩展。虽然它主要是一个编排框架，但其架构迫使开发者以图中离散的、带权限的节点（代表智能体操作）来思考，从而更容易在每条边上应用策略。另一个例子是微软的AutoGen框架，它正逐步演进，纳入更复杂的可对话智能体安全上下文，根据智能体的角色限制其可调用的工具。
| 安全模型 | 攻击面 | 审计追踪清晰度 | 运营开销 | 复杂任务适用性 |
|---|---|---|---|---|
| 主密钥/宽泛凭证 | 灾难性（全系统） | 差（操作关联至人或服务账户） | 极低 | 高（但危险） |
| 按智能体划分的限定API密钥 | 大（范围内的所有操作） | 中等（关联至智能体身份） | 中等 | 中等 |
| 通过中间层的实时访问 | 最小（按请求限定范围） | 优秀（完整的请求/决策上下文） | 高（初始设置） | 高（设计得当） |
数据启示：上表揭示了一个鲜明的权衡。主密钥模型以低摩擦和高能力为诱饵，却付出了灾难性风险的不可接受代价。实时访问中间层模型则颠覆了这一点，它接受更高的初始设计复杂度，以换取最小化、合理的攻击面和清晰的审计能力——这是生产系统必须做出的权衡。
关键参与者与案例研究
当前格局正分化为构建底层基础设施的供应商，以及将这些控制集成到其产品中的企业平台。
基础设施与SDK先驱：
* Bitwarden / Agent Access SDK：将其密码管理理念延伸至智能体领域。其SDK旨在成为一个通用代理，允许智能体请求访问任何已连接资源（数据库、API、云控制台），而无需接触底层凭证。其价值主张在于集中的策略管理和与智能体开发者解耦的凭证轮换。
* HashiCorp：凭借其在机密信息管理（Vault）和基于身份的访问（Boundary）方面的成熟技术栈，HashiCorp正自然地将其概念延伸至机器身份，乃至如今的AI智能体身份。Vault的动态机密和Boundary的基于会话的访问，正是实时智能体访问的架构先驱。
* SPIFFE/SPIRE项目：虽然并非AI专用，但这个CNCF项目为工作负载提供了关键的“身份层”。将其用于AI智能体是合乎逻辑的演进，为Kubernetes中的智能体容器提供了一种标准化方式，使其在请求访问前能够证明*它是什么*。
企业AI平台集成商：
* 微软（Copilot技术栈）：微软的企业级Copilot架构正日益强调安全边界和托管身份。其愿景是将Azure Active Directory和Microsoft Entra ID的治理模型扩展到Copilot及其执行的AI智能体，确保每个自动操作都能追溯到经过授权的、范围受限的身份，而非一个拥有过度权限的通用服务账户。