随着人工智能的应用形态从被动响应工具加速演进为具备自主决策与跨域协作能力的智能体，传统的信任边界已被彻底打破。当前普遍依赖的API Key等静态凭证存在权限泛滥的隐患，而OAuth、DID等身份管理框架在应对智能体多跳委托，亦暴露出场景错位、中心化瓶颈与溯源断层等结构性缺陷。身份治理的缺失直接引发了越权代理、意图脱节导致的链路污染、问责黑洞及信任链路劫持等系统性风险。针对上述问题，本文系统剖析了多智能体生态中的身份与授权体系痛点，并从确立动态授权规范、身份与意图绑定、构建追加型全链路溯源、推动跨协议互操作标准以及实施零信任持续核查五个维度提出治理建议，探索构建可信、可控、可追溯的下一代自主智能体身份体系。

从被动工具到智能委托：智能体正重塑信任边界

(一) 智能体向自主工作流执行者的角色跃升

人工智能系统正经历一场结构性转型，从辅助人类用户的被动工具演进为能够自主发起操作、协调关键业务流程并代表组织与内外部系统交互的智能体。随着Anthropic模型上下文协议（MCP）以及Google智能体间通信协议（A2A）协议的相继发布，智能体在工具调用与横向协作的能力被大幅拓宽。在这一架构下，智能体不再局限于执行预设脚本，而是具备了非确定性任务推理、自主工具调用及跨环境上下文理解等核心特征。以全自动网络安全威胁响应智能体为例：当监测到未知流量异常时，它并非执行固定的告警策略，而是自主拆解溯源任务，利用MCP协议动态调用外部沙箱与情报库进行深度研判，并根据分析结果，主动通过A2A协议协调外部合作伙伴同步阻断污染链路，甚至代表组织跨云平台执行资产隔离。这种超越预设逻辑、跨越组织边界的自主运行模式，使得传统的基于组织边界的信任假设彻底失效，亟需一种能够适应高度动态、跨域协同的全新数字身份体系。

(二) 静态凭证机制成为生态安全的脆弱点

在当前的智能体应用实践中，系统间交互仍普遍依赖API Key或Bearer Token（不记名令牌）作为身份鉴权的核心手段，这种静态凭证机制存在多维度的安全盲区。首先，静态凭证“认钥不认人”。一旦这些凭证通过代码仓库或CI/CD流水线泄露，任何获取者都能冒充合法智能体身份，发起敏感操作。其次，静态凭证无法封装主体的能力特征、意图上下文以及受限范围。在复杂的任务执行中，智能体往往需要长时间、多步骤的自主运行，但API Key难以随授权链条的传递实现动态权限衰减，也无法约束智能体在特定时间窗口、特定操作白名单或严格预算额度内执行操作。这种“一经授权、全盘接管”的粗粒度管控模式，极易导致权限溢出，成为悬在智能体应用上方的达摩克利斯之剑。

业内已逐步认识到在智能体协同场景中使用API Key来进行身份认证的安全风险，并尝试在底层协议层面引入改良机制，但现状依然不容乐观。以MCP为例，尽管官方早在2025年3月的规范更新中就支持OAuth 2.0/2.1作为可选的授权层以提升验证强度，然而根据NimbleBrain 2026年发布的最新扫描显示，实际采用OAuth认证的服务器占比仅为8.5%左右，安全标准的实际落地依然严重滞后。而在A2A通信协议的实践中，当前的智能体凭证往往仅包含自声明的身份信息，缺乏任何强制性的身份验证约束。当智能体A将任务委托给智能体B时，现有机制既无法验证A是否具备下发该任务的合法权限，也难以对B执行操作时的权限边界进行实质性限制，更无法在事后生成用于合规审计的完整委托行为记录。这种安全机制的滞后，使得多智能体间的信任传递如同建立在沙丘之上。

(三) 从“任务拆解”到“智能委托”的治理跃迁

多智能体系统的应用，正在推动技术认知层面的深刻转变。正如Google研究报告《智能AI委托（Intelligent AI Delegation）》所指出的，当下众多所谓的多智能体系统，本质上仍停留在初级的“任务拆解”水平。它们往往通过硬编码规则将目标分割为子任务，并利用简单的并行化或预设流程来调度各个子模块，这种机制在受控实验环境中运行良好，但一旦进入开放、充满不确定性的真实生态，就会显得极度脆弱而僵化。真正的“委托”远非简单的“任务拆解”，而是技术流程编排与安全授权机制的深度耦合。它要求在下达执行逻辑的同时，同步完成权限的精准让渡于责任的链式绑定——在复杂的智能体协作网络中，当一个智能体将高风险任务移交给另一个智能体乃至人类时，安全考量不应再局限于单纯的技术执行层面，即“谁来做”，而是不可避免地触及“谁对最终结果负责”“执行失败如何精准归因”“全链路是否可以追溯”及“结果是否可以独立验证”等深度治理命题。因此，在设计之初就必须充分考虑身份体系的可追溯与授权管理的配合。

从静态授权到动态协同：身份管理框架需结构性变革

(一) 传统身份授权与云原生机器身份框架的适配缺陷

传统的身份与访问管理（IAM）系统，如OAuth 2.0/2.1、OpenID Connect（OIDC）等协议，最初主要服务于人类用户授权第三方应用访问资源的跨域场景。虽然这些协议能够实现跨域身份交互，但在面对海量、高频的自主智能体协同生态时，暴露出四点显著的结构性错位。一是高度依赖预设信任关系。OAuth的跨域授权建立在预先配置的信任联邦基础之上（如提前注册客户端并分配密钥），而开放环境下的多智能体往往需要与其他陌生节点进行自发式的点对点（P2P）交互，联邦学习、动态联盟等去中心化场景不存在统一的可信中心，参与主体动态可变、事先无预置信任链路，OAuth协议的中心化注册架构与静态信任模型难以适配这类业务需求。二是交互时效性存在严重瓶颈。OAuth的核心授权码等机制深度绑定了浏览器的重定向跳转与人类用户的显式同意动作，这在要求亚毫秒级响应、机器对机器（M2M）高并发通信的智能体网络中显得极其繁重且不切实际。三是多跳委托存在溯源断层。当智能体A将任务委托给智能体B，B再调用智能体C时，OAuth令牌对中间层代理不可见，无法完整封装并追踪这种多层级的委托授权链，导致信任链条在传递过程中丢失上下文。

除面向用户的OAuth协议外，即便是专为云原生机器间通信设计的身份框架（如SPIFFE），在应对多智能体生态时同样面临结构性困境。SPIFFE虽然为微服务提供了标准的机器身份标识（SVID），但其底层深度依赖公钥基础设施（PKI）和X.509证书，本质上依然需要庞大的中心化证书颁发机构（CA）作为核心信任锚点。在跨组织的开放智能体协作中，要求不同运营实体临时配置并建立SPIFFE信任域（Trust Domain）联邦，不仅管理成本极高，更缺乏动态建立信任的灵活性。同时，面对高并发、短生命周期的瞬态智能体，依赖中心化CA进行频繁的证书签发与吊销将引发不可承受的系统性能瓶颈，完全无法满足智能体轻量级、实时身份绑定的技术诉求。

(二) 去中心化身份方案的落地瓶颈

为解决动态协作中的身份认证问题并摆脱对中心化服务器的依赖，业界开始探索基于W3C去中心化标识符（DID）以及可验证凭证（VC）的基础设施层方案。这些技术虽然赋予了实体自主创建和控制身份的能力，但在适配智能体生态时却遭遇了严峻的落地瓶颈。首先是性能开销与智能体实时性需求的根本冲突。DID的验证过程往往需要通过底层分布式账本或区块链网络进行状态解析与公钥获取，这种高延迟的查询开销完全无法满足多智能体系统中高频、极速（亚毫秒级）的交互需求。更为致命的是，DID机制在实际业务中陷入了“信任循环”的结构性缺陷。最新研究指出，DID虽然具备密码学上的自我认证能力，能够证明“请求方确实拥有该标识符的私钥”，但这并不等同于业务上的可信。验证方在决定是否赋予该智能体高危操作权限时，依然需要依赖外部的声誉系统、传统信任注册表或权威机构的背书来确认其真实业务身份。这种机制在无形中又重新引入了集中式的信任锚点，使得去中心化的初衷大打折扣，无法真正支撑无预设信任环境下的多智能体开放协同。

(三) 委托权限弱化与安全审计溯源的缺失

在智能体间协作中，安全的核心诉求之一是“最小权限委托”，即上游智能体向下游传递任务时，必须能够单方面、离线地削弱下游的权限范围。然而，无论是广泛使用的JWT令牌还是Macaroons机制，均无法完美解决这一痛点。基于JWT的凭证在签名后不可修改，持有者若需收缩权限必须重新向集中服务器申请新令牌，这不仅增加了不必要的通信往返与中心化依赖，更制约了智能体在复杂编排中的即时响应能力；而基于共享密钥的Macaroons机制则面临每一个验证节点都可能成为伪造者的风险。此外，现有方案普遍缺乏溯源感知能力，当一长串任务执行完毕或出现违规操作时，系统难以通过追加型记录追溯原始委托链条，导致在金融交易、医疗决策等高敏感场景下面临责任归属不清的巨大合规风险。

风险剖析：身份与授权体系衍生的多智能体系统脆弱性

(一) 权限传递失控：多跳委托下的越权风险

即便多智能体系统引入了现有的身份认证机制，但在应对跨域、多跳的复杂委托流时，权限传递的不可衰减性依然是最核心的风险。由于现有的身份凭证缺乏伴随委托链路进行“动态权限衰减”的能力，上游智能体往往只能将自身的高权限凭证完整传递给下游智能体，而非“最小权限委托”。这导致在任务委托过程中，上游智能体无法根据子任务的实际需要，单方面地将自身权限“裁剪”后向下游传递，使得链路下游智能体被迫持有远超其实际任务所需的特权，形成了巨大的潜在攻击面。其在长路径的业务流中，这种滞留的特权会随委托层级的增加而不断叠加，使得任何一个处于链条末端的边缘智能体，都可能成为整条信任链上权限最过剩、也最危险的薄弱点。

(二) 意图脱节与链路污染：缺乏上下文绑定的单点投毒扩散

在多智能体协作网络中，当前身份凭证仅能证明“我是谁”和“我能做什么”，却无法约束“我准备做什么”。当执行链条中的某个关键智能体遭受提示词注入攻击或知识库投毒时，其决策逻辑会被恶意篡改。由于下游智能体在接收指令时，只校验上游身份凭证的合法性，而无法验证该指令是否偏离了系统的初始总体意图，这种“认人不认事”的缺陷将导致被污染的指令畅通无阻地向下游传递。最终，单点智能体的认知污染会借助合法的信任链路扩散至全局，导致整个系统沦为攻击者执行恶意载荷的工具。

(三) 问责机制失效：复杂执行链条中的责任黑洞与合规危机

智能体从“任务拆解”走向“真实委托”的核心标志是责任的承接，而现有身份框架对多跳委托溯源能力的缺失，直接导致了严重的合规与审计危机。在金融交易、医疗诊断等高价值场景中，一项决策可能经历了多环节流转。当最终操作触发红线时，传统授权体系缺少将节点决策意图、上下文信息、委托行为密码学固化至令牌的能力，会造成审计溯源的责任盲区，无法精准界定故障诱因是大模型幻觉、人类指令歧义还是恶意输入劫持。这种问责机制的瘫痪，直接违背了全球 AI 监管法规中关于透明度与人类监督机制的强制性要求。

(四) 信任链路劫持：瞬态身份滞留与凭证生命周期的安全盲区

大量为了特定任务动态创建的子智能体在任务结束后会瞬间销毁，但现有身份基础设施的生命周期管理无法与其同频共振。例如，DID 状态的链上更新延迟或证书撤销列表的同步时间差，造就了“智能体已死，凭证犹存”的滞后性，为攻击者创造了致命的时间窗口。恶意节点可以通过截获这些尚未失效的“幽灵凭证”，在系统中伪装成合法节点继续活动，甚至利用合法身份在中间环节悄无声息地篡改任务目标。传统的网络边界防护设备在面对这种披着合法身份外衣的内部指令劫持时，往往完全失效。

思考与行动：构建具有智能体特色的身份与授权体系

面对多智能体系统从“被动工具”向“主动发起”、“真实委托”演进过程中爆发的结构性风险，修补传统的身份与访问管理（IAM）框架已无法应对系统性挑战。建议从授权规范、意图绑定、问责溯源、底层架构、全局互操作与持续验证六个维度，加速重构自主智能体的数字身份防线。

一是确立基于动态委托与权限自衰减的新型授权规范。彻底摒弃静态令牌，推动支持在离线状态下通过密码学机制单向缩减权限的“能力令牌”技术，将时间限制、预算上限与调用白名单直接编码于凭证中，确保多跳传递始终遵循权限最小化原则。

二是推行身份与任务意图深度绑定的校验机制。针对单点投毒引发的链路污染，要求智能体身份凭证必须封装上游原始任务上下文与核心决策意图。下游节点在核查身份合法性的同时，可对指令意图进行强一致性核验，从源头阻断被篡改意图的跨域扩散。

三是融合追加型机制重塑全链路溯源与合规问责体系。引入基于追加型（Append-only）密码学签名的凭证结构，将每一跳的委托流转、输入提示词哈希不可篡改地绑定在信任链上，打破多跳协作中的“责任黑洞”，满足审计追踪与监管合规的严苛要求。

四是推动跨通信协议互操作的全局身份标准建设。打破MCP、A2A等不同底层通信协议间的身份孤岛，联合行业组织制定统一的智能体命名、发现与语义解析规范，实现不同网络域的智能体在互相识别身份的同时，精准解析并对接彼此的能力与授权边界。

五是全面实施零信任架构下的持续行为安全核查。将安全管控从“单次握手验证”升级为全生命周期的“持续行为动态核查”。结合零知识证明（ZKP）等隐私保护技术，实时评估智能体交互链路基线，一旦监测到偏离预期的行为特征，迅速执行微隔离以保障开放生态的安全韧性。

作者：

张梦圆、张艳

就职于中国移动研究院安全技术研究所（中国移动人工智能安全治理研究中心），主要从事密码、安全协议领域研究工作。

审核：

杨凯 | 中国移动研究院安全技术研究所（中国移动人工智能安全治理研究中心）

声明：本文来自中移智库，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。