零信任长期以来一直是保护人员访问安全的标准，但如今的企业环境需要将这一理念扩展到新的领域：AI零信任。随着AI智能体开始做出决策、与系统交互并发起操作，传统的安全边界也必须随之扩展。问题已不再是是否应信任AI，而是如何从一开始就对AI系统实施零信任。
当“设计即安全”仍不够安全时
越来越多的人认为，模型上下文协议（MCP）等协议提供了一种“安全”的AI智能体部署方式，可以限制其访问范围或可执行的操作。但将MCP视为安全协议是一种错误认知。它限制了潜在收益，却没有限制潜在风险。
看似安全的操作也可能使数据库不堪重负、锁死资源并产生漏洞。例如，智能体使用只读SQL语句查询数百万条客户记录。整个过程并未违反任何规则。这不是程序错误，而是在缺乏严格监督的情况下为智能体提供工具所带来的后果。
智能体零信任始于一无所有
因此，现在应将零信任不仅应用于用户，也应用于AI智能体。这不是一种比喻，而是一套框架：默认拒绝每项操作，并在整个过程中由人工协助授予权限。
该框架假定每个智能体最初都不可信。访问权限不仅基于角色，还基于用例，并与时间、上下文和意图相关联。需要读取某个表？只能获得该表的访问权限，无法访问其他内容。需要执行操作？该操作将受到范围限制，并被记录和监控。
正如当前需要防范API凭据泄露一样，代理密钥和模型权限也必须按照管理云工作负载和特权用户的同等严格标准进行治理。
为何这一转变至关重要
随着AI日益融入各类工作流，安全防护不能再依赖传统假设。智能体不会遗忘，不会疲劳。一旦遭到滥用，也不会请求原谅。
面向智能体的零信任意味着：
- 默认拒绝：智能体最初没有访问权限，必须通过验证才能获得权限
- 人工介入升级：敏感权限需要明确批准
- 用例范围界定：访问权限取决于具体情境，并非普遍适用
- 设计内置可观测性：每个请求、响应和输出都会被记录和分析，并可供审计
这种方法可确保AI的运行速度不会成为隐患。
新时代的新安全层
这正是AI运行时安全解决方案发挥作用之处：围绕AI智能体与系统、数据和用户的实时交互方式，建立动态防护机制。正如我们曾为云重新定义网络边界一样，现在也需要为自主系统重新定义行为边界。归根结底，零信任需要进一步发展，因为AI智能体已经到来。它们能力强大，却缺乏良好的判断力。安全团队必须构建相应系统，假设智能体的每次交互都可能出现问题，并提供必要的监督，确保问题不会发生。
关于作者
相关博客文章
三家企业如何借助AI驱动的WAF改进虚拟补丁和运行时安全
了解三家F5客户如何利用AI驱动的WAF加快虚拟补丁部署、将误报减少50%以上，并更有信心地启用阻断模式。
F5 BIG-IP v21.0增强S3工作流的AI数据交付与摄取能力
使用F5 BIG-IP 21.0版优化S3工作流：通过低接触式配置，为AI数据交付、对象存储和RAG管道提供可扩展的安全解决方案。
Everest Group报告：生成式AI行业应用的当前趋势与未来前景
我们很高兴能为全球知名研究机构Everest Group发布的一份重要新报告作出积极贡献。该报告题为《生成式AI应用：审视横向职能中的实际应用与未来展望》，深入分析了各行业对生成式AI（GenAI）的应用情况。报告指出，IT［……］