企业官网建设流程全解析

本文针对企业中AI Agent的接入管理，提出了六项关键措施，包括影子AI盘点、身份登记、最小授权、令牌生命周期管理、高危操作人工确认以及日志留存。文章详细阐述了如何将AI Agent视为新的非人类身份进行管理，并通过具体的实施步骤，帮助企业建立完善的Agent台账、权限矩阵和令牌基线，从而有效降低安全风险，确保AI Agent的安全合规使用。

周一上午，OA 里多了一张申请：市场部想让一个 AI Agent 读部门共享邮箱、自动在 OA 里建工单，顺手再帮研发提代码 PR。附件只有一页产品介绍，“使用账号”那一栏写着：用我自己的账号授权就行。

这张单子批还是拦？我的建议是先别急着二选一。把 Agent 当成一类新的“非人类身份”来管，看 6 件事有没有补齐：影子 AI 盘点、身份登记、最小授权、令牌生命周期、高危操作人工确认、日志留存。按下面的步骤走完，你手上会有一份 Agent 台账、一张权限矩阵、一套令牌基线，外加文末那张可以直接挂进内部审批流的《Agent 接入评审表》（分必做、应做、可做三级）。适合正被业务推着走的 CISO、身份与权限负责人，以及兼管安全的 IT 负责人。

为什么是现在？8 月 27 日，NIST 在网络安全博客发文《Back to the Future: Why Agentic AI Needs a Strong Identity Foundation》，直言不少 Agent 系统正在重犯传统 IAM（身份与访问管理）几十年前踩过的坑——共享凭证、长期令牌、权限过宽。最近 MCP Python SDK 又披露了一个 OAuth 校验缺陷，Agent 的授权有被冒用的风险（MCP 是让 Agent 连接外部工具和数据源的开放协议）。

01

开工前先对齐：Agent 到底算哪类身份

▎它和服务账号、API Key 差在哪

先说结论：Agent 像服务账号，但不能完全按服务账号那套管。

相同处好理解：都不是人，都靠凭证调用系统。不同处有三点，决定了现有 IAM 能复用多少。

一是行为路径运行时才决定。服务账号调哪些接口，开发时就写死了；Agent 接到“帮我修这个 Bug”，会自己决定读哪些文件、调哪些工具，事先列不全。

二是它常常代表某个人在做事。服务账号代表的是系统，Agent 背后通常站着一个发起任务的员工，中间还可能再委托给别的 Agent，形成一条委托链。

三是生命周期两极分化。有的 Agent 实例只为一个任务存在几分钟；有的装在员工电脑上，一驻留就是大半年，没人记得它还开着。

API Key 只是凭证形态，证明不了“谁在用”。NIST 那篇博客说得直接：bearer token（持有即可用的令牌）和静态 Key，谁拿到谁能用。“给 Agent 发一把 Key”不等于“给 Agent 建了身份”。

▎本文覆盖的三类接入

按管控难度从低到高，大致分三类：

A 类：SaaS 自带的 Agent 功能，比如邮箱、协同办公、代码托管平台内置的助手；

B 类：员工在本地装的 Agent 客户端、IDE 插件、MCP 客户端，影子 AI 大多在这一类；

C 类：企业自建 Agent 平台，通过 API 或 MCP 调业务系统。

A 类主要管授权范围，C 类主要管身份和令牌。B 类最难——你往往不知道它存在。

▎三个前提，缺了先补

统一身份源（IdP，能对接 OAuth/OIDC 或单点登录）、知道哪些系统存敏感数据的应用清单、能收 IdP 和 SaaS 审计日志的集中日志平台。缺哪个，对应那一步就只能做半截。

▎NIST 的思路怎么对到你现有的 IAM

先澄清一点，免得内部汇报引错：NIST 没有发布叫“Agent IAM 框架”的正式标准。流传的“六要素”，是国内解读文章结合上面那篇博客和 NCCoE（NIST 下属的国家网络安全卓越中心）今年 2 月关于 AI Agent 身份与授权的概念文件归纳的。可以用，但别写成“NIST 提出六要素”。

第 1 步“影子 AI 盘点”不在上表里，它是企业侧的前置动作。

02

第 1～2 步：先看见，再登记

▎第 1 步：影子 AI 盘点（产出：Agent 台账初稿）

很多企业第一反应是发通知“禁止私装”。可你不知道现在有多少在跑，禁令就没法验收。所以先盘点，从三处入手。

终端。 在软件资产或 EDR 清单里查 Agent 客户端、IDE 插件和本地 MCP 配置文件。重点看一件事：有没有把云服务 Key、代码平台 Token 直接写进本地配置。NIST 博客点过名，这类凭证经常以明文出现在配置文件、markdown 文件甚至日志里。

网络出口。 用代理或防火墙日志，统计哪些终端在访问主流大模型 API 和 Agent 服务域名。不必精确，能圈出重度使用的部门就够了。

SaaS 授权。 最容易漏、也最该优先看的一处。在 IdP 和各 SaaS 管理后台导出“第三方应用 OAuth 授权”清单，把申请了邮箱读写、文件全盘访问、代码仓库写权限的应用挑出来。员工点一次“同意”，Agent 就拿到了长期访问权，终端和出口日志里都未必看得出来。

▲ SaaS 授权这条路不经过终端和出口，只盘前两处会漏掉拿着长期令牌的 Agent

盘出来之后，原则是先登记、不急着封。按“数据敏感度 × 权限范围”分三档：碰核心数据且权限全量的，立即收回授权；权限过宽但数据一般的，限期整改；其余的纳入正式评审。一刀切全封，结果通常是员工换个更隐蔽的用法。

▎第 2 步：身份登记（产出：Agent 身份登记表）

回到开头那张申请。“用我自己的账号授权就行”——这一条在评审里要直接否掉。

要害在责任边界。Agent 用张三的账号删了一个文件，日志只会记“张三删除了文件”。是张三自己点的，是 Agent 自己判断要删的，还是被一封邮件里夹带的指令带偏了？事后说不清。

所以每个 Agent 都要有自己的身份，同时绑定两个人：责任人（出了事找谁）和委托人（它代表谁行动），两者可以是同一个人，但要分别登记。字段建议至少包括：Agent ID、接入类型（A/B/C）、责任人、代表谁行动、可访问系统、数据级别、凭证方式，以及上线、复审、下线三个日期。

落到 IdP 里很朴素：单独设一个身份类别或统一命名前缀（比如 agt-），和普通服务账号分开。再挂到现有入转离流程上，责任人离职或转岗，名下 Agent 自动进入复审或停用。花不了多少钱，却能堵掉“人走了 Agent 还在跑”的口子。

03

第 3～4 步：权限按任务给，令牌按小时算

这一节最重，也是业务方最容易嫌麻烦的部分。

▎第 3 步：最小授权与委托控制（产出：Agent 权限矩阵）

最常见的偷懒，是让 Agent 直接套用发起人的角色。问题在于 Agent 以机器速度操作，还会为完成目标自己尝试各种路径。NIST 的说法是，即使权限已收紧，这种“机会主义”式解题仍可能去找遗留凭证或绕路。

所以授权口径要从“角色”换成“任务”。还是开头那个例子，合理的授权大概是这样：

具体到 OAuth scope 审查，我自己掌握的几条硬杠杠：

拒绝全量范围。Files.ReadWrite.All、full_access 这一类，没有充分理由一律不批；

能只读就不给写，能限定到具体资源就不给全局；

申请单要写清每个 scope 对应哪个功能，写不出来的砍掉。

多 Agent 场景还有个委托问题：主 Agent 把子任务交给子 Agent 时，权限只能减、不能加。用户有 100 的权限，不代表 Agent A 能拿 100；A 有 30，也不代表它派生的 B 自动拿 30。你用的平台如果做不到逐级收窄，就干脆禁止多级委托。

▲ 每往下委托一级，权限只能收窄，不能自动继承上一级的范围

本地 Agent（B 类）再补一条运行隔离：不让它直接继承用户在这台电脑上的全部权限，SSH Key、云配置、内网访问都在里面。放进独立系统账号、容器或沙箱里跑，限制文件和网络访问。成本不低，我把它放在应做和可做之间，研发终端优先。道理也简单，IdP 里写着“不许读 SSH Key”，操作系统层面它照样能打开用户目录下的密钥文件，策略就成了纸面规则。

标准层面，NIST 博客提到 RAR（RFC 9396，细粒度授权请求）、AuthZEN（把授权判断交给独立策略引擎的接口规范）、Transaction Tokens（在调用链上传递授权上下文，仍是 IETF 草案）。知道方向即可，不必强求马上上。

▎第 4 步：令牌生命周期（产出：令牌管理基线）

Agent 是临时的，它带的权限也该是临时的。基线就四条：

1

禁止把长期静态 Key 直接配给 Agent；

2

访问令牌短时效（以小时计，能按任务签发更好），并限定受众（audience，即这个令牌只能用在哪个服务）；

3

刷新令牌可吊销，而且吊销要有明确的操作路径；

4

凭证集中托管在密钥管理系统或凭证库，不落本地明文。

光有基线还不够。我看过的几次 OAuth 相关整改，缺口大多出在配置上，而不是协议本身：

授权服务器的 issuer（签发方标识）没有固定，客户端信了对端下发的 OAuth 元数据；

回调地址写得太宽，甚至用了通配；

client secret 一用好几年不轮换，几个 Agent 共用一个客户端；

没有吊销预案，出事时不知道该吊销哪些令牌。

MCP Python SDK 这次的问题，正好撞在第一条上。据安全内参转载的看雪学苑报道（转引 Cycode 的披露），部分客户端在处理 OAuth 发现时过度信任了 MCP 服务器返回的配置，没有严格校验 issuer。受影响版本为 1.9.1～1.29.1 和 2.0.0～2.1.1，修复版本是 1.30.0 和 2.2.0。公开报道里我没找到 CVE 编号，具体以 MCP 官方 GitHub 安全公告为准。

对甲方来说，处置清单比漏洞原理有用：升级；显式配置预期 issuer；连过不可信 MCP 服务器的，清理旧 OAuth 注册、轮换 client secret、吊销可能暴露的令牌、回查日志。这几步做不做得下去，取决于第 2 步登记得清不清楚——不知道哪些 Agent 用了这个 SDK，就不知道该轮换谁。

可做项有两个参考：NIST IR 8587（草案）讨论令牌和断言怎么防伪造、防窃取；DPoP（RFC 9449）把令牌和持有者密钥绑定，被偷了也没法直接重放。规模不大的企业，先落实四条基线更划算。

04

第 5～6 步：高危操作有人点头，每一步追得到人

▎第 5 步：高危操作人工确认（产出：高危操作清单 + 确认规则）

先定义什么算高危。建议从这几类起步，再按业务补：对外发邮件或群发、删除数据、付款和审批流转、权限变更、代码合并到主干、访问生产环境、导出敏感数据。

怎么弹确认，比弹不弹更关键。每一步都弹窗，用户很快会闭眼点“允许”，NIST 博客把这叫 consent fatigue（授权疲劳），跟 MFA 推送轰炸一个道理。更可行的做法：任务开始时由人批准一份“任务边界”，读哪些、改哪些、能调哪些工具写清楚，边界内放行，越界才弹确认。

还有一条容易忽略。判断“这算不算高危”的，不能是 Agent 自己。确认规则要落在 Agent 之外的确定性系统里，比如审批流、API 网关或策略引擎。模型会误判、会被诱导，网关上的规则不会。

▲ 任务边界内由网关直接放行，越界或高危才转人工确认，判断不交给 Agent 自己

▎第 6 步：日志留存与责任链（产出：日志字段规范 + 留存策略）

日志要达到的效果，一句话说得清：把“张三删除了文件”还原成“张三发起任务 T-123，Agent-A 在该任务中执行了删除”。

表里的来源要能用任务 ID 或令牌标识串起来，否则查起来还是各看各的。

留存有法规底线。《网络安全法》第二十一条第（三）项要求采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月；GB/T 22239-2019 第三级的 8.1.4.3 条（安全计算环境·安全审计）要求审计覆盖到每个用户，审计记录包括日期时间、用户、事件类型和是否成功。Agent 要不要单独算作一个“用户”，目前没有明确说法。我倾向于按用户管，具体以监管部门和测评机构的解释为准。

05

最容易踩的 5 个坑

1. 让 Agent 用员工本人的账号或 Cookie 登录。 接入最快，但日志里分不清人和 Agent，出了事说不清责任。修法看第 2 步。

2. 只看连了哪个系统，不看 scope。 授权页一路点“同意”，拿到的往往是全量读写。修法看第 3 步，scope 逐条对应功能。

3. 一个客户端、一把 Key，多个 Agent 共用。 吊销一个就全停，不吊销又分不清是谁。修法看第 2、4 步。

4. 以为加了人工确认就安全了。 确认太频繁，等于没确认。修法看第 5 步的任务边界。

5. 只管自建平台，不管员工本地装的。 C 类管得最严，B 类反而没人看。修法看第 1 步，按季度复跑。

扯一句：这 5 个坑，很多团队当年管服务账号时几乎都踩过一遍。NIST 那篇文章叫《回到未来》，我猜也是这个意思。

06

怎么算验收通过

验收不看文档写得多漂亮，看能不能拿出证据。建议按下面 6 条抽查：

每个 Agent 都有独立身份和责任人。证据：IdP 身份清单与台账逐条对得上；

没有全量 scope，没有直配的
| 令牌生命周期 | 每个 Agent 独立客户端，不共用 client | 应做 | 客户端注册清单 | 通过 / 整改 / 不通过 |
| 令牌生命周期 | DPoP 等持有证明令牌 | 可做 | 方案说明 | 通过 / 整改 / 不通过 |
| 高危操作确认 | 高危操作清单与确认规则，确认在 Agent 之外执行 | 必做 | 清单、审批流日志 | 通过 / 整改 / 不通过 |
| 高危操作确认 | 任务开始时批准任务边界，越界再确认 | 应做 | 任务授权记录 | 通过 / 整改 / 不通过 |
| 日志留存 | 日志含发起人、Agent ID、任务 ID、令牌标识、资源、操作、结果 | 必做 | 日志抽查结果 | 通过 / 整改 / 不通过 |
| 日志留存 | 留存不少于六个月（《网络安全法》第二十一条） | 必做 | 留存策略配置 | 通过 / 整改 / 不通过 |
| 日志留存 | 接入 SOC，异常调用有告警 | 应做 | 告警规则 | 通过 / 整改 / 不通过 |
| 影子 AI 发现 | 终端、网络出口、SaaS 授权三处完成首次盘点 | 必做 | 盘点报告 | 通过 / 整改 / 不通过 |
| 影子 AI 发现 | 每季度复跑并处置 | 应做 | 季度报告 | 通过 / 整改 / 不通过 |
| 影子 AI 发现 | 出口访问和新增 SaaS 授权自动告警 | 可做 | 告警规则 | 通过 / 整改 / 不通过 |

评审结论建议分三档：必做项全部通过，可以上线；必做项有缺口，限期整改后上线；涉及核心数据且必做项缺口在 2 项及以上，不予接入。

如何学习大模型 AI ？

由于新岗位的生产效率，要优于被取代岗位的生产效率，所以实际上整个社会的生产效率是提升的。

但是具体到个人，只能说是：

“最先掌握AI的人，将会比较晚掌握AI的人有竞争优势”。

这句话，放在计算机、互联网、移动互联网的开局时期，都是一样的道理。

我在一线互联网企业工作十余年里，指导过不少同行后辈。帮助很多人得到了学习和成长。

我意识到有很多经验和知识值得分享给大家，也可以通过我们的能力和经验解答大家在人工智能学习中的很多困惑，所以在工作繁忙的情况下还是坚持各种整理和分享。但苦于知识传播途径有限，很多互联网行业朋友无法获得正确的资料得到学习提升，故此将并将重要的AI大模型资料包括AI大模型入门学习思维导图、精品AI大模型学习书籍手册、视频教程、实战学习等录播视频免费分享出来。

这份完整版的大模型 AI 学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】

为什么要学习大模型？

我国在A大模型领域面临人才短缺,数量与质量均落后于发达国家。2023年，人才缺口已超百万，凸显培养不足。随着AI技术飞速发展，预计到2025年,这一缺口将急剧扩大至400万,严重制约我国AI产业的创新步伐。加强人才培养,优化教育体系,国际合作并进是破解困局、推动AI发展的关键。

大模型入门到实战全套学习大礼包

1、大模型系统化学习路线

作为学习AI大模型技术的新手，方向至关重要。 正确的学习路线可以为你节省时间，少走弯路；方向不对，努力白费。这里我给大家准备了一份最科学最系统的学习成长路线图和学习规划，带你从零基础入门到精通！

2、大模型学习书籍&文档

学习AI大模型离不开书籍文档，我精选了一系列大模型技术的书籍和学习文档（电子版），它们由领域内的顶尖专家撰写，内容全面、深入、详尽，为你学习大模型提供坚实的理论基础。

3、AI大模型最新行业报告

2025最新行业报告，针对不同行业的现状、趋势、问题、机会等进行系统地调研和评估，以了解哪些行业更适合引入大模型的技术和应用，以及在哪些方面可以发挥大模型的优势。

4、大模型项目实战&配套源码

学以致用，在项目实战中检验和巩固你所学到的知识，同时为你找工作就业和职业发展打下坚实的基础。

5、大模型大厂面试真题

面试不仅是技术的较量，更需要充分的准备。在你已经掌握了大模型技术之后，就需要开始准备面试，我精心整理了一份大模型面试题库，涵盖当前面试中可能遇到的各种技术问题，让你在面试中游刃有余。

适用人群

第一阶段（10天）：初阶应用

该阶段让大家对大模型 AI有一个最前沿的认识，对大模型 AI 的理解超过 95% 的人，可以在相关讨论时发表高级、不跟风、又接地气的见解，别人只会和 AI 聊天，而你能调教 AI，并能用代码将大模型和业务衔接。

• 大模型 AI 能干什么？
• 大模型是怎样获得「智能」的？
• 用好 AI 的核心心法
• 大模型应用业务架构
• 大模型应用技术架构
• 代码示例：向 GPT-3.5 灌入新知识
• 提示工程的意义和核心思想
• Prompt 典型构成
• 指令调优方法论
• 思维链和思维树
• Prompt 攻击和防范
• …

第二阶段（30天）：高阶应用

该阶段我们正式进入大模型 AI 进阶实战学习，学会构造私有知识库，扩展 AI 的能力。快速开发一个完整的基于 agent 对话机器人。掌握功能最强的大模型开发框架，抓住最新的技术进展，适合 Python 和 JavaScript 程序员。

• 为什么要做 RAG
• 搭建一个简单的 ChatPDF
• 检索的基础概念
• 什么是向量表示（Embeddings）
• 向量数据库与向量检索
• 基于向量检索的 RAG
• 搭建 RAG 系统的扩展知识
• 混合检索与 RAG-Fusion 简介
• 向量模型本地部署
• …

第三阶段（30天）：模型训练

恭喜你，如果学到这里，你基本可以找到一份大模型 AI相关的工作，自己也能训练 GPT 了！通过微调，训练自己的垂直大模型，能独立训练开源多模态大模型，掌握更多技术方案。

到此为止，大概2个月的时间。你已经成为了一名“AI小子”。那么你还想往下探索吗？

• 为什么要做 RAG
• 什么是模型
• 什么是模型训练
• 求解器 & 损失函数简介
• 小实验2：手写一个简单的神经网络并训练它
• 什么是训练/预训练/微调/轻量化微调
• Transformer结构简介
• 轻量化微调
• 实验数据集的构建
• …

第四阶段（20天）：商业闭环

对全球大模型从性能、吞吐量、成本等方面有一定的认知，可以在云端和本地等多种环境下部署大模型，找到适合自己的项目/创业方向，做一名被 AI 武装的产品经理。

• 硬件选型
• 带你了解全球大模型
• 使用国产大模型服务
• 搭建 OpenAI 代理
• 热身：基于阿里云 PAI 部署 Stable Diffusion
• 在本地计算机运行大模型
• 大模型的私有化部署
• 基于 vLLM 部署大模型
• 案例：如何优雅地在阿里云私有部署开源大模型
• 部署一套开源 LLM 项目
• 内容安全
• 互联网信息服务算法备案
• …

学习是一个过程，只要学习就会有挑战。天道酬勤，你越努力，就会成为越优秀的自己。

如果你能在15天内完成所有的任务，那你堪称天才。然而，如果你能完成 60-70% 的内容，你就已经开始具备成为一名大模型 AI 的正确特征了。

这份完整版的大模型 AI 学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】