R

G01 Agent 授权代际谱系总图

创建 2026-06-19 更新 2026-06-20 2 条双链 Agent 安全与权限 专题 AI 整理

当一个 Agent 能自主调工具、花你的钱、还能 spawn 一窝子 Agent 接着干，“给它什么当身份、它的权限怎么收、出事追到谁”这三件事，并不是 2025 年才冒出来的新问题——它们是机器接入资源这条线上演化了二十多年的老问题，只是 Agent 把每一代留下的债一次性引爆了。本节点要解决的问题是：把”给非人实体发凭据/授权”这件事的历史摊成一条谱系，看清每一代的身份载体、授权粒度、归因能力、失效模式，再标出 NIST/微软 2026 的”Agent 原生身份”范式落在这条线的哪个位置。 不理这条谱系，你会把”上个 Entra Agent ID”当成终点；理了，你会发现它只是第三代刚冒头的一个候选，且自带新债。本节用的框架是三代谱系：静态共享密钥 → 服务账号 / OAuth 委托 → Agent 原生身份(workload identity / SPIFFE 类)——这是一条 authentication（你是谁）与 authorization（你能动什么）交织演化的史，本节点专管”机制怎么变、为什么变、又欠下什么”。

§0 为什么用”代际谱系”框架，而不是”新旧对照表”

读到这里默认的框架可能是：把老办法（API key）和新办法（Agent 身份）摆两栏对照，新的打勾、老的打叉，选新的就行。这个框架是错的，错在两点：一是它把演化讲成了”一代更比一代强”的进步主义叙事——而真相是每一代都是为解决上一代的痛而生，同时引入了下一代要还的新债，淘汰从未发生、只有叠加；二是它遮蔽了”为什么会演化”的因果链，让你记住结论却复现不了判断。

谱系框架强迫你回答三个对照表回答不了的问题：(1) 每一代解决了上一代什么具体痛？(2) 它为此引入了什么新债，这笔债又催生了下一代什么？(3) 今天的真实系统里，三代是否同时在跑？——答案是同时在跑。这正是 Agent 安全最棘手的地方：你以为在用第三代 SPIFFE 身份，实际链路某一跳还塞着第一代的静态 key（CI/CD 里写死的、某个 MCP server 里硬编码的）。谱系不是博物馆陈列，是你此刻系统的地质剖面，每一层都还在受力。

这与 A01 的分工要讲清楚：A01 Agent 身份辨析·Identity vs API Key vs Human Credential 是横向辨析——身份/凭据/主体三分，回答”是什么、为什么 API key 不是身份”；本节点是纵向演化——回答”这四类候选从哪来、按什么因果排成时间轴”。A01 给你一张静态的概念解剖图，G01 给你这张图的成因史。两者不复述对方：G01 不重讲三分框架，A01 不讲代际因果。

§1 三代谱系总图：身份载体 × 授权粒度 × 归因能力 × 失效模式

先把总图摆出来，下面四个维度是读这张表的固定坐标轴。注意：三代是”叠加”不是”替换”——右边一代出现，左边一代并不消失，只是被推向更次要/更受约束的角色。

维度代 1：静态共享密钥代 2：服务账号 / OAuth 委托代 3：Agent 原生身份（workload identity / SPIFFE 类）
代表载体API Key、写死的 service account token、共享口令、长效 PAT服务账号(service account)、OAuth 2.0/2.1 access token、OIDC token、act claim 委托链SPIFFE/SVID（X.509 短效证书）、OAuth 2.1 短 token + 加密绑定、无凭证联邦身份（微软 Entra Agent ID 的 FIC 模型）
身份载体本质持有即权限（bearer）；身份=那串字符身份=一个被登记的账号对象，凭据与账号分离、可轮换身份=加密绑定到运行时不可转移特征的、可独立验证的实体；凭据 ephemeral 或无长期凭证
授权粒度系统级、长期、几乎不可收敛（“能访问这个系统”）资源/scope 级，可撤销、可限定，但 scope 绑 operator/系统而非 task趋向 task-level 最小授权 + scope 递减(attenuation)；目标是”为完成这一次任务所需的最小权限”
归因能力几乎为零（认证 key 持有者，不认证主体；泄露后无法区分合法调用与重放）中（账号可区分、可记委托链，但 act claim 标准自认不可用于访问控制；借用人类凭证则制造”假归因”）中强→强（身份加密绑运行时、防重放；双身份日志记 Agent + 被代表用户）
典型失效模式泄露即完全暴露；生命周期过长；无法最小授权scope 过宽 / 配置易错；权限漂移(privilege drift)；多跳委托标准层不可强制；人类凭证借用→审计链断实施门槛高；为 microservice 设计、Agent 多跳委托非原生；无凭证模型绑死厂商生态(vendor lock-in)；身份≠授权，解决不了”它此刻该做什么”
它解决了上代什么痛（起点：让机器能自动访问，无需人值守）静态 key 泄露即裸奔 → 凭据与身份分离、可轮换可撤销、引入 scope长效凭据生命周期过长、scope 绑 operator 不绑 task → ephemeral 身份、无长期密钥、task 级授权
它欠下什么新债bearer 模型的全部原罪：归因为零、授权不可收敛scope 粒度错配 task、多跳委托无法强制、人类凭证被借用厂商锁定、对多跳委托仍无解、把”身份”叙事盖过”授权”薄弱（详见 §2 命门）

两个数字钉死”为什么这条演化是被逼出来的、而非技术爱好者的升级癖”：2025 年 agentic AI 相关 CVE 同比增长 255%，主因追溯至凭证权限过大、生命周期过长（来源：WorkOS Blog；本专题 A01 已引用）；机器身份与人类身份比例已达 45:1 至 100:1（来源：CSA 研究）——为人设计的 IAM 在数量级上先被压垮，代 1 的静态 key 在这个规模下就是定时炸弹的批发。

§2 判断主轴：演化的不是”凭据强度”，而是”权限收敛的颗粒度”——而最新一代仍未碰到真正的命门

这是本节点的命门，也是读这张谱系唯一不该读错的地方。

症状：很多团队把”代际进步”理解成”凭据越来越安全”——从明文 key 到加密证书、从长效到短效、从有密钥到无密钥。于是上了 Entra Agent ID 或 SPIFFE，就宣布身份问题闭环。

为什么错：这条谱系真正在演化的不是凭据的强度，而是”权限能被收敛到多细的颗粒度、归因能落到多准的主体”。代 1 到代 2 的跃迁，关键不是”key 变 token”，而是”系统级长期权限”被切成了”资源级可撤销 scope”；代 2 到代 3 的跃迁，关键不是”token 变证书”，而是企图把”绑 operator 的 scope”进一步收敛成”绑 task 的最小授权”。凭据强度只是手段，权限收敛才是目的。 误把手段当目的，你就会满足于”无凭证身份”这个漂亮的认证侧成就，而看不到授权侧——“它此刻这个具体动作在不在用户原始授权范围内”——三代都没真正解决。

正确做法：读谱系时把眼睛盯在”授权粒度”和”归因能力”两栏，而不是”身份载体”栏。判断一个方案进步了多少，问的不是”它用什么凭据”，而是”它把权限收敛到了 task 级还是仍停在 system 级、它的归因能落到 Agent 本体还是仍记在某个人头上”。第三代最先进的部分（task-level 授权、scope 递减、双身份日志）恰恰是最未成熟、最缺标准强制的部分——RFC 8693（Token Exchange，正式 RFC）明确写道：嵌套的 act claim “仅供参考，不得用于访问控制决策”（来源：IETF Datatracker，A01/E01 已核实引用）。也就是说，三代演化到今天，“多跳委托链的授权能否被强制传递”这个授权侧的核心命门，在标准层根本没解。 认证侧（你是谁）走到了无凭证证书，授权侧（你能动什么、委托给谁还成立吗）还停在”仅供参考”。

真实反例：2025-09 一个周下载约 1500 次〔下载量待核实〕的非官方 Postmark MCP server 被篡改，在 send_email 里静默加 BCC 抄送攻击者。哪怕这个 MCP server 用的是第三代最漂亮的身份方案，也拦不住这次攻击——因为攻击没有伪造身份，它用的是一个真实身份的过宽授权。身份这条线（认证）演化得再好，授权这条线没收敛，命门照样敞着（来源：SOC Prime / SentinelOne 报道，A01 已引用）。这就是为什么本专题的判断主轴反复强调：命门不在”它是谁”（身份），而在”它此刻这个动作是否还在授权范围内”。

[!warning] 进步主义叙事修正——每一代都要记得它的反例 不许把这条谱系读成”一代更比一代强、淘汰前代”。代 2 的服务账号/OAuth 没有过时——它为 microservice、CI/CD 这类行为确定、不自我再委托的 workload 量身定做，至今仍是这些场景的最优解，硬给一个跑确定代码的微服务上 Agent 原生身份是过度工程。代 3 也不是纯增益——SPIFFE 为 microservice 设计，Agent 的多跳委托非其原生能力；无凭证联邦身份模型把治理绑死在厂商生态（Entra Agent ID 需 M365 E5 或 Entra ID P1/P2，异构多云吃亏——E01 失 1 已剖）。甚至代 1 的静态 key 在”纯本地、单机、无外部副作用”的脚本式 Agent 上仍是够用且省事的——给它发独立身份才是过度工程。谱系是工具箱的地层，不是淘汰赛的记分牌。

§3 PM/安全产品视角：这条谱系给选型与举证的三条硬约束

跳出工程视角，谱系对产品决策有三条直接含义：

  1. 选型不是”选最新一代”，是”判断你的场景落在哪一代该停的位置”。 一个纯 Azure + M365、行为确定的内部自动化，停在代 2 的服务账号完全合理，硬上代 3 是为合规叙事买单。反之，一个跨厂商、会 spawn 子 Agent、有真金白银外部副作用的系统，停在代 1 的静态 key 就是裸奔。谱系是一把尺，量的是”你的副作用等级 × 委托复杂度 × 跨信任域”配得上第几代的治理成本——这正是本专题副作用分级 L0–L4 框架（见 A04 Confirmation-gated 自主执行的权限语义）该被调用的地方。

  2. 合规举证锚在”归因能力”那一栏，不在”身份载体”那一栏。 EU AI Act 对高风险 AI 系统要求全生命周期自动记录事件、日志可追责（执行截止 2026-08-02〔以官方最终文本为准，待核实〕，E01 已引用）。审计官要的不是”你用了多炫的证书”，而是”出事时你能把这个动作准确归因到哪个主体、哪一跳”。代 1 在这一栏直接是零分；借用人类凭证的代 2 用法是负分（制造”已治理”的假象，比无归因更坏）；只有代 3 的双身份日志才在这一栏拿到分。给 CISO 讲谱系，讲归因栏，别讲载体栏。

  3. “逐操作确认”不能替代代际治理。 Anthropic 共享责任模型数据显示开发者在 93% 的权限弹窗里未经有效审查即批准（来源：Backslash Security 解读，2026-04-29，E01 已引用）。这意味着指望”每个动作弹个窗让人确认”来补授权侧的洞是幻觉——治理必须上移到代 2/代 3 的”签发即约束、计划级批量生效”，而非压在疲劳的人工点击上。谱系往右走的真正产品价值，是把安全从运行时的人工拦截，前移到签发时的策略约束。

§4 对手框架”接受 + 边界”：演化的终点是”Agent 原生身份”吗？

这条谱系隐含一个赌注——第三代”Agent 原生身份”是方向。对此存在真实的对手立场，逐一接受其对的部分、标自己的边界。

对手立场一（Karl McGuinness / 部分安全研究者）：“谱系画错了方向——Agent 不需要身份护照，需要的是授权授予(authorization grant)。” 接受：这一刀正中 §2 的命门——三代都在认证侧使劲，而真正该治理的是”每一次动作的授权”。把谱系画成”身份载体越来越强”确实可能强化了错误重心。边界：但完全放弃身份这条线，归因就无所依附——没有身份锚点，授权链断了你都不知道断在哪一跳。我的边界是：身份与授权是两条并行演化的线，G01 主画身份/凭据线，G02 从静态 token 到 Agent IAM 演化详解〔同批 staging，未落盘前降级文本〕主画授权治理范式线，二者不可互相取消。McGuinness 对的是”别让身份线的进步掩盖授权线的停滞”，不是”砍掉身份线”。

对手立场二（传统 IAM 厂商）：“这不是三代新事物，Agent 就是 NHI(Non-Human Identity)的子类，现有机器身份框架扩展即可——不需要画什么’第三代范式’。” 接受：Agent 确实大量复用了机器身份的成熟治理逻辑（无密钥、自动轮转、吊销、审计），代 3 正建立在这套基建上，务实可落地（呼应 A01 立场 C）。NHI 这套工具对”代 1 静态 key→代 2 短效凭据”的迁移直接适用。边界：但 NHI 子类假设”非人类身份行为可预测”——一个 service account 跑的是确定代码、不会被 prompt injection、不会自己 spawn 子任务去花钱；Agent 三条全破。把 Agent 完全塞进 NHI，会系统性低估授权漂移与多跳委托风险（Strata、Aembit 等持此异议）。所以代 3 不是 NHI 的小升级，是 NHI 假设被打破后的重建尝试。

标准层的诚实状态：NIST/NCCoE 概念文件《Accelerating the Adoption of Software and AI Agent Identity and Authorization》（2026-02 发布，意见征集截止 2026-04-02）把”现有 OAuth/SPIFFE/OIDC 是否够用，还是需要全新标准”作为公开提问，明确表示无定论（来源：NIST CSRC / NCCoE，A01/E01 已核实）。这就是 2026 年的真实状态：第三代范式正在形成，但远未确立。 谱系图右端那个”Agent 原生身份”格子，准确说是一片正在施工的工地，不是已封顶的楼。任何把它当”终点”的叙事都是 confirmation bias。

§5 NIST / 微软 2026 范式落在谱系的哪个位置〔2026 细节待核实〕

把当前最受关注的几个 2026 方案钉到谱系坐标上（具体版本/日期沿用本专题 A01/E01 已核实的口径，新增数字标待核实）：

  • 微软 Entra Agent ID + Agent identity blueprint：第三代的厂商生态派落点。无凭证身份模型（FIC 联邦身份凭证，由 blueprint 签发），blueprint 作父模板批量产子 Agent 身份、保持策略一致（Public Preview @ Ignite 2025；文档更新 2026-04-14；Agent 365 GA 2026-05-01——均 E01 已 WebFetch 核实）。位置：身份载体已到代 3，授权粒度仍卡在”身份层叙事盖过授权层”（E01 失 2）。详见 E01 微软 Agent Identity Perimeter 剖解。
  • SPIFFE / SPIRE（SVID）：第三代的中立标准派落点。X.509 证书 24h 自动轮转、加密绑定 workload、无长期密钥（A01/E01 已引用）。位置：认证侧代 3 标杆，但为 microservice 设计、Agent 多跳委托非原生。
  • OAuth 2.1 + OIDC + act claim：横跨代 2/代 3 的桥。短 token、范围限定、可撤销是代 2 成熟能力；但多跳委托靠 act claim 而 RFC 8693 自认其”不可用于访问控制决策”，所以它的授权侧仍困在代 2 的天花板下。
  • NIST/NCCoE 概念文件方向：不是一个方案，是标准侧的施工许可——明确押注”扩展现有 OAuth/SPIFFE/OIDC 适配 Agent”而非从头造新协议（E01 §3 得 3 已引用），即官方倾向于”代 3 = 代 2 标准的扩展”而非”全新一代”。但其本身声明无定论。
  • 学术前沿（arXiv 接地清单，仅复用已核实编号，严禁新编）：AIP/IBCT《Agent Identity Protocol for Verifiable Delegation Across MCP and A2A》(2603.24775)、PAuth(2603.17170)、Open Agent Passport(2603.20953) 等在探索代 3 的”可验证委托”——即试图补上 §2 那个授权侧命门，但均为研究阶段、非标准。〔上述 arXiv 编号沿用本专题 A01 已标注的核实状态；其中”约 2000 个 MCP server 无认证”统一标〔待核实〕。〕

[!note] 为什么 2026 的数字必须谨慎 本节点知识截止 2026-01、成稿于 2026-06-19，凭记忆的 2026 版本/价格/GA 日期不可信。本节复用的所有具体日期（Entra Agent ID 文档 2026-04-14、Agent 365 GA 2026-05-01、NCCoE 文件 2026-02、EU AI Act 截止 2026-08-02 等）均直接沿用本专题 A01/E01 节点已经 WebFetch/WebSearch 核实的口径，未自行新增未核实数字；新增而未独立核实的（Postmark 周下载量、MCP server 数量、EU AI Act 最终文本细节）一律标〔待核实〕。

§6 跨域呼应：货币演化史里”凭据→信用→记账”的同构

调度一个 Rick 作为 PM 容易共鸣的资源——货币与支付的演化史。它和授权谱系是同构的，且同构得能反过来照出 Agent 治理的盲点。

支付演化大致走过：实物/金属货币（持有即价值，bearer）→ 银行票据/信用凭证（凭据与价值分离，可背书转让、可挂失）→ 账户记账体系（价值=账本上一条可追溯、可冻结、可追责的记录）。这条线和授权谱系的三代几乎逐项对应：金属货币 = 代 1 静态 key（持有即权限、丢了就裸奔、无法挂失到主体）；票据背书 = 代 2 的 OAuth act claim 委托链（背书链记录了”谁授权谁”）；账户记账 = 代 3 的双身份日志（每笔动作落到可追责的账本条目）。

同构的价值在于它照出一个被忽略的教训：支付体系真正解决欺诈，靠的不是”凭据更难伪造”，而是”记账体系让每笔交易可归因、可冻结、可追溯”——和 §2 的命门一字不差：演化的目的是归因与收敛，不是凭据强度。但同构在一处断裂，而断裂处恰是 Agent 治理的真问题：票据背书链是可强制结算的（银行体系强制执行背书责任），而 Agent 的多跳委托链在标准层不可强制（RFC 8693 act claim “仅供参考”）。Agent 授权停在了”有背书记录但无强制结算”的半成品阶段——相当于一个所有票据都能背书、但没有任何清算所保证兑付的金融体系。 这正是本专题判断主轴所说”权力的可传递性不是公理、而是需被工程显式约束的特例”在货币史里的镜像。

这对 Rick 的迁移价值：滴滴风控里”账户安全 ≠ 交易安全”的经验直接可用——一个合法账户照样能做欺诈交易，风控从不只验身份，还验行为基线与交易序列。Agent 授权谱系需要的正是这套”身份验证 + 持续行为/委托验证”的双层思路，而非”发完第三代身份就放行”。

§7 PM 决策启示：面试 / 选型 / 复现

  • 面试怎么用：被问”Agent 身份认证这块这几年怎么演进的”，别只答”从 API key 到 Entra Agent ID”。答：“三代谱系——静态共享密钥 → 服务账号/OAuth 委托 → Agent 原生身份；但要看清演化的真目的是权限收敛颗粒度和归因能力，不是凭据强度。认证侧已走到无凭证证书，可授权侧的命门——多跳委托能否被强制传递——三代都没解，RFC 8693 自认 act claim 不可用于访问控制。所以上了 SPIFFE/Entra 不等于闭环。” 再补一句对手框架与诚实状态：“而且 NIST 2026 自己都说现有标准够不够用没定论——第三代是工地不是封顶楼。” 这套把你和背产品名的人区分开。
  • 选型怎么用：拿谱系当尺，先量场景（副作用等级 L0–L4 × 委托复杂度 × 是否跨信任域），判断该停在第几代；再对方案问四点——(1) 凭据是 ephemeral 短效还是长期 key？(2) 授权粒度到 task 级还是仍卡 system 级？(3) 归因能落到 Agent 本体、还是借人类凭证制造假归因？(4) 跨厂商多跳委托是诚实承认标准空白、还是假装解决了？任何在”归因”和”授权粒度”两栏拿不到分的方案，无论凭据多炫，在高副作用场景直接扣分。
  • 复现怎么用：亲手把三代各跑一遍。代 1：把一把长效 key 塞环境变量调下游，看日志里只有 key fingerprint、归因为零。代 2：起一个 OAuth 2.1 单跳委托，带上 act claim，再亲手撞一次”多跳不可强制”的墙（RFC 8693）。代 3：本地起 SPIFFE/SPIRE 给 workload 发 24h 短效 SVID，体会”无长期密钥 + 自动轮转”。撞过代 2 那堵墙，你对本节点判断主轴的理解就从”读过”变成”知道”。

§8 与已有节点的关系

  • 对 A01 Agent 身份辨析·Identity vs API Key vs Human Credential：纵横互补——A01 横向辨析”身份/凭据/主体三分、为什么 API key 不是身份”，本节点纵向给这四类候选排上时间轴与因果。A01 的四类候选对照表是 G01 这张谱系图的”当代截面”，G01 是那张截面的成因史。不复述三分框架。
  • 对 E01 微软 Agent Identity Perimeter 剖解：趋势 vs 实例——G01 引出”第三代厂商生态派”这个趋势位置，E01 剖解微软单案的得失。G01 指方向、E01 验单点，互相指认不复述：E01 的 Entra 细节不在 G01 重列，G01 的代际因果不在 E01 重讲。
  • 对 A04 Confirmation-gated 自主执行的权限语义：调用其框架——G01 的”选型尺”调用 A04 已建立的副作用分级 L0–L4 来量”场景配得上第几代治理成本”，不重定义分级。
  • 对本专题 02 代际演化同模块的 G02 从静态 token 到 Agent IAM 演化详解〔同批 staging，未落盘前降级文本〕：分工——G01 管 authentication 侧”凭据机制怎么演化”，G02 管 authorization 侧”授权治理范式怎么不可通约地切换”。两条线并行，避免重叠。
  • 对本专题 S01 授权栈总图〔本次同批待建，未落盘前降级文本〕：G01 是 S01 身份层那一格的”成因史前置”——S01 画四层栈的全景，G01 解释其中”身份层”为何长成今天这样。

§9 关联节点

核心（必读）

延伸（可选）

跨专题 / 同级引用（staging，降级为普通文本，绝不建双链 / 绝不建 stub）：本专题同模块 G02、本次同批 S01/E02/E03，未落盘前以文本引用，落盘后回填双链。0435 红队专题「S03 Agent 权限边界与最小权限设计」（“权限是最后防线” + L0–L4 副作用分级源头）在 staging，文本引用。0421 机制设计「共享资源治理/公地悲剧」、0430 制度现象「Agent 准法律主体」、0432 时间性「changelog 隐喻」均在 staging，文本引用。可双链对象仅限已入主库的真实节点（A08 / A06 / A07 / S03 Harness / Function Calling / Agent / m207 / m208 / 0117社会学 / 安全感知与干预 / AI概念滥用反思 / AI PM 知识图谱·总索引 等）。

修订日志

  • R0（2026-06-19）：首稿。建立”三代谱系：静态共享密钥 → 服务账号/OAuth 委托 → Agent 原生身份”框架，四维度（身份载体/授权粒度/归因能力/失效模式）+“解决上代什么痛/欠下什么新债”总图。判断主轴定为”演化的是权限收敛颗粒度与归因能力、非凭据强度；认证侧已到无凭证证书、授权侧多跳委托命门三代未解（RFC 8693 act claim 不可用于访问控制）“，带症状/为什么错/正确做法/真实反例(Postmark MCP)四件套 + 进步主义叙事修正（每代带反例：代 2 仍是 microservice 最优解、代 3 厂商锁定、代 1 本地脚本够用）。对手框架双方接受+边界（McGuinness 授权授予派 / 传统 IAM 的 NHI 子类派）+ NIST 无定论诚实标注。货币演化史”凭据→信用→记账”同构跨域呼应（含”无清算所的票据体系”断裂点）+ Rick 滴滴风控迁移。NIST/微软 2026 范式定位（§5）沿用 A01/E01 已核实口径，新增未独立核实项（Postmark 周下载量、MCP server 数量、EU AI Act 最终文本）标〔待核实〕；arXiv 编号仅复用 A01 已标注清单、未新编。与 A01（纵横）/E01（趋势 vs 实例）/A04（调用 L0–L4）/G02（authn vs authz 分工）/S01（身份层前置）建立关系。SABCD 目标 ≈8.0。