过去二十多年企业安全体系里有一个非常稳定的治理对象人。员工入职就创建账号进入部门就分配角色岗位变动就调整权限离职则冻结账号、回收 Credential。IAM、SSO、RBAC、PAM、IGA这些看上去各管一段的基础设施其实共享着同一个朴素前提——组织里最重要的数字主体基本对应现实世界里的人。这个前提正在迅速失效。JumpCloud 在 2026 年 7 月发布的 Q3 IT Trends Report 调查了美国和英国的 800 名 IT 负责人。结果显示在 83% 的受访组织中Non-Human Identities 的数量已经超过 Human Users三分之一的企业里机器身份与人类用户的比例至少达到 6:1。与之对照的另一个数字更值得停留片刻只有 21% 的组织建立了专门针对 Non-Human Identity 的治理控制。这里需要先把概念说准确。Non-Human Identity 并不等于 AI Agent它同时包含 Service Account、API Key、OAuth Token、机器证书以及各种应用与工作负载身份。所以这组数字并不是在说AI Agent 已经比员工多它说明的是一件更基础也更彻底的事企业数字世界里的主体数量第一次脱离了企业真实员工数量进入由软件自动扩张的阶段。而 Agent只会让这件事继续加速。一、过去Identity 基本可以映射到组织传统 IAM 之所以能长期稳定地运转一个常被忽略的原因是身份的增长速度天然受到现实组织结构的约束。一家一千人的公司大致对应一千名员工再叠加一部分管理员账号、服务账号和系统身份。组织架构本身就是 Identity Governance 的锚点——谁属于财务部谁负责生产环境谁拥有管理员权限都可以映射回现实世界里的职位、部门与责任关系。甚至某项权限为什么存在这种追问多数时候也能用一个人的岗位职责来解释。于是安全治理形成了一条成熟而优雅的链条Identity → Role → Permission → Resource。先确认你是谁再决定你能访问什么。对于以人为核心的企业 IT这套体系足够有效也足够经济。问题在于Agent 并不按这种方式生长。一个产品团队可能顺手创建一个 Agent一名开发者为了完成临时任务再创建几个Workflow 会为不同步骤自动生成不同的执行主体而一个主 Agent 又可能调用 Sub-Agent后者继续调用工具、API、数据库和执行环境。这些主体没有劳动合同没有传统意义上的入职流程也不一定拥有稳定的岗位。它们中的相当一部分甚至是临时的可能只存在几分钟完成一次 Workflow 后消失也可能长期在线在几个月里不断获得新的 Tool、Credential 和任务。于是一个非常关键的治理条件被改写了Identity 的生产成本正在趋近于零。人不可能在一秒钟内多出十名员工软件却可以在一秒钟内产生十个执行主体。企业第一次面对这样一种奇怪的组织形态——机器主体的增长速度可以远远超过组织治理能力的增长速度。JumpCloud 的数据只是把这个变化第一次量化了出来。83% 是今天的数字真正的问题在后面如果一家企业未来拥有十万名人类员工同时拥有一百万、一千万甚至更多短期存在的软件主体我们还能不能继续把逐个治理每一个 Identity当作安全体系最核心的控制方式二、于是行业首先开始补 Agent Identity这正是 Agent Identity 迅速成为独立安全市场的原因。企业首先必须知道一些最基本的事实这个 Agent 由谁创建属于哪个团队能够调用哪些系统持有什么 CredentialCredential 何时过期谁对它负责以及它是否还留着某些早已不再使用、却始终没有被回收的权限。这些问题都很重要而市场也确实在朝这个方向移动。同一份调查显示完全把 AI Agent 纳入现有身份管理体系的组织比例在半年内从 37% 上升到 45%。企业正在非常自然地做一件事先把 Agent 变成一个可以被管理的 Identity。这个方向是对的。如果连一个 Agent 是谁、属于谁、持有什么 Credential 都不知道后面的一切治理都无从谈起。Non-Human Identity Governance 一定会成为 Agent Security 的地基Discovery、Registration、Ownership、Lifecycle、Credential Rotation、Least Privilege、Access Review这些能力一个都不会消失只会变得更重。但问题恰恰是从地基砌好之后才真正开始的。因为当我们终于把所有 Agent 都登记清楚、归属明确、权限收敛之后会发现企业安全仍然缺少一个答案这个 Agent 此刻为什么要使用这个权限这已经不再是一个 Identity 问题了。三、合法身份并不意味着合法行动设想一家金融机构部署了一个 Treasury Agent。它的 Identity 完全合法Credential 没有泄露证书有效权限经过严格的 Least Privilege 收敛只允许调用几个指定账户和支付 API。PAM 正常IAM 正常RBAC 正常所有身份治理流程都通过了审计。现在这个 Agent 发起了一笔转账。问题随之而来这笔转账是不是应该发生传统 Identity Security 能回答的是它是不是那个合法的 Treasury AgentAccess Control 能回答的是它有没有权限调用这个支付接口Least Privilege 能回答的是它是否只拥有完成工作所需的最小权限。这三个答案加在一起依然无法回答另一组问题为什么是现在转账为什么是这个收款人为什么是这个金额这笔操作来自哪一个业务任务是否已经获得必要批准那份批准是否恰好针对这一笔交易执行环境此刻是否仍然满足条件以及在从 Intent 到 Action 的传递过程中有没有发生语义漂移。一个身份完全真实、Credential 完全合法、权限配置完全正确的 Agent依然可能执行一件错误的事情。这是 Agent 时代最容易被忽略的一处结构性变化Identity 证明的是谁在请求它天然不等于这个请求为什么应该发生。过去这两个问题之所以经常被混为一谈是因为请求背后通常站着一个人。一名财务人员登录系统、点击转账、输入金额、再次确认大量 Intent、Context 与 Judgment 实际上隐藏在人类行为里。系统不需要理解为什么因为人在执行过程中默默承担了这部分判断也承担了随之而来的责任。Agent 出现之后这个隐藏层开始消失。机器拿到 Credential 之后可以自行连续完成观察、判断、调用与执行。于是过去由人类隐性承担的行动合理性第一次必须被系统显式地表达出来。四、Least Privilege 解决的是爆炸半径不是行动正当性这可能是未来几年 Agent Security 领域最重要的一次认识转向。今天讨论 Agent 安全主流方法依然集中在同一组动作上给 Agent 独立 Identity缩短 Credential 生命周期使用 Just-in-Time Access限制 Tool 与 Scope实施 Least Privilege。这些措施都非常必要但它们本质上都在回答同一个问题——这个主体最多能做多大的事情。这叫 Blast Radius。而另一个问题始终悬在旁边它现在做的这一件具体的事情到底应不应该发生。这是完全不同的安全维度。一个 Agent 被允许每天最多转账一百万元这是 Permission它在今天上午 10:32 向 A 公司支付 37.2 万元这是 Action。一个生产 Agent 被允许重启 Kubernetes Pod这是 Permission它为什么此刻要重启 production-payment-03这是 Action。一个客服 Agent 被允许在五百美元以内退款这是 Permission它为什么要给这个用户退 438 美元这是 Action。权限可以收得非常小行动仍然可以是错的。所以 Agent 时代真正危险的并不只是权限过大这种显性问题还有一种更隐蔽的情形权限完全正确但行动错误。传统 Least Privilege 可以限制一场事故最终会有多大却不一定能够判断这场事故究竟该不该开始。五、治理对象正在从谁向哪一次行动移动这或许是 Non-Human Identity 爆炸之后更值得关注的一次产业迁移。第一阶段企业治理的是 Identity回答你是谁第二阶段企业治理的是 Access回答你能访问什么而当自主系统真正进入生产环境企业开始不得不治理第三件东西——Action回答你现在究竟准备做什么。这意味着未来的控制对象可能不再只是那些长期存在的 Identity 和 Permission而会越来越多地落到每一次具体行动上。一个真正可被治理的 Action至少需要回答谁发起了它它来自什么 Intent要操作什么 Object执行参数是什么基于什么 Approval当前 State 是否仍然满足条件这些条件何时失效以及最终真正执行的结果又是什么。换句话说Identity 是主体的属性Action 是一次具体事件。Agent 带来的最大变化就是把安全系统从管理主体推向了管理事件。这也是为什么未来真正重要的权限很可能越来越不是这个 Agent 永久拥有某项能力而是在这一任务、这一对象、这一上下文和这一时间窗口内这个 Agent 获得完成这一行动所需要的临时 Authority。Authority 开始从 Identity 中被拆出来成为一个独立的问题。六、Identity、Authority 和 Action正在变成三层不同的问题沿着这条线再往前推一步未来的 Agent Security 很可能逐渐分化出三个不同的控制层。Identity 回答 Who are you确认主体的真实性以及这个主体与组织之间的关系Authority 回答 Why are you allowed to act确认这一次行为来自什么任务、什么授权、什么责任关系和什么有效上下文Action 回答 What exactly is allowed to happen now在真正执行之前对对象、参数、状态、时间和证据做出最后判断。过去这三件事经常被压缩进同一个 Login Session 和同一组 Permission 里。Agent 正在迫使它们重新分开因为它们的时间尺度本来就不一致软件主体可以长期在线Credential 可以长期有效Permission 可以持续存在但一个业务任务本身也许只有十分钟有效一次 Approval 可能只针对某一个 Object一个 Intent 可能只允许执行一次一个环境状态可能几秒钟后就已改变。于是安全系统迟早必须承认一件事身份的生命周期、权限的生命周期、授权的生命周期与行动的生命周期本来就不是同一件事。把它们统统绑定在一个 Credential 上只是在人类操作速度较慢、自动化程度较低的年代里足够好用而已。Agent 把这个抽象推到了它的极限。七、真正值得注意的是自主权也正在同时上升如果 Non-Human Identity 只是数量变多这或许仍然只是一个 IAM 扩容问题。但同一份调查里还有另一组数据必须和 83% 放在一起看。半年之前40% 的受访组织要求高风险 AI Action 在执行前接受人工 Review如今这个比例只剩 25%与此同时允许高风险行动在完全没有人工 Review 的情况下自主执行的组织比例从 11% 上升到了 26%。事前审查在退场事后审查在补位。这意味着今天正在同时发生两件事机器主体越来越多机器主体获得的自主行动能力也越来越强。如果只有前者我们需要的是更好的 Identity Governance如果只有后者我们需要的是更好的 AI Governance。但当两者叠加问题的性质就变了。企业需要治理的已经不再只是系统里有哪些 Agent而是这些 Agent 每天可能自主产生多少次真实世界的行动。Identity 的增长也许是十倍Action 的增长完全可能是千倍、万倍甚至更多——一个人一天大概能完成几十次高价值操作一个 Agent 可以在一分钟内完成几百次。到那个时候真正无法靠人力扩展的不是账号管理而是行动判断本身。八、IAM 不会消失但它会从终点变成起点所以不能草率地得出IAM 不再重要这样的结论。恰恰相反当机器身份的数量超过人类之后Identity Infrastructure 会比过去更加重要。企业必须能够发现、注册、验证、归属、回收和审计每一个 Non-Human Identity——没有 Identity就没有后面的任何责任链。但 Agent 时代正在重新定义 IAM 在整条链路中的位置。过去完成 Authentication 和 Authorization 之后一次安全判断在很大程度上已经结束以后它可能只是开始。Authentication 证明主体是真的Authorization 证明它拥有权限而企业最终仍然需要回答这一次行动究竟可不可以发生。这个问题发生在 Runtime也只能发生在 Runtime。它面对的不再只是 Identity而是 Intent、Authority、Object、State、Evidence 与最终的 Action。这也意味着安全的重心正在从批准转向执行——真正决定风险的不是某人某时在某个流程里点下的同意而是在调用真正落地的那一刻系统是否仍然保留着最后一次说不的能力。一个无法在执行瞬间拒绝的体系无论前面堆叠了多少审批环节本质上都只是在记录而不是在控制。这或许才是 Agent Security 接下来几年最值得关注的一条产业演进路径Identity → Authority → Action。Identity Governance 管理谁存在Authority Governance 管理为什么能够行动Action Governance 管理此刻究竟允许什么发生。83% 的企业已经提前看到了第一个问题21% 的治理覆盖率则说明大多数企业连第一步都还没有补齐。但更大的变化很可能在后面。因为当机器主体的数量最终远远超过人的时候企业真正不可能逐个管理的或许不是 Identity而是它们产生的每一次行动。这也是整件事最深处的那层含义企业过去之所以敢把权力交出去靠的是我们信任这个人。当行动的发起者不再是人也不再具备被信任的前提时安全就必须从依赖可信的主体转向依赖可信的结构——不是相信某个 Agent 会做正确的事而是让错误的行动在结构上无法被执行。到那一天安全系统最重要的问题也许不再只是Who are you?而会变成Why this action, on this object, under this authority, right now?机器身份爆炸只是这场变化最先亮起的那盏警报。真正的下一道安全边界是行动本身。