非人类身份危机：机器身份治理最大缺口
当企业安全负责人谈及身份风险时，关注点几乎总在人类身上：高权限用户、被盗账户、内部威胁。然而，对于大多数企业而言，更大的风险已经悄然转移——它与员工无关，而是源自以服务账户、API密钥、OAuth令牌、SSH密钥、RPA机器人、云工作负载凭证及AI代理为代表的非人类身份（NHI）。据Rubrik Zero Labs研究，现代企业中NHI与人类身份的比例已达45:1，而在云原生和DevOps环境中，这一数字更是飙升至144:1。这些身份持续认证、访问敏感系统且权限惊人，但绝大多数处于治理真空状态：8%的企业身份在HR系统中无所有者，47%的NHI超过一年未轮换凭证，三分之二的企业曾因NHI被攻破而遭受损失。一场关于“机器身份”的治理危机正在悄然蔓延。
非人类身份:45:1的隐形攻击面与治理黑洞
NHI的泛滥并非理论威胁。一个从CI/CD日志、支持导出或合作伙伴邮件中窃取的单一令牌，即可横向扩散至CRM、存储及生产环境，克隆的令牌和后台作业在报警静默的情况下长期隐身。IBM《2024年数据泄露成本报告》显示，全球数据泄露平均成本高达488万美元，而NHI漏洞往往是隐秘推手。更致命的是，普通PAM平台仅能解决“静态凭证安全”问题，却无法回答：我的混合环境中到底存在多少NHI？谁为每个身份负责？它的业务理由是什么？是否权限过大？上次轮换何时执行？当关联应用或项目退役时，它该如何处置？这些问题暴露了现有治理框架的根本性缺失。
Agentic AI:动态权限升级引爆新维度的风险
与静态服务账户不同，AI代理本质上是自主的。它们能执行动作序列、调用外部API、生成子代理、编写并运行代码，甚至在运行时动态获取新权限。在传统NHI治理框架中，一个API密钥拥有可盘点、可审计的定义范围；而一个拥有委派访问权的AI代理，可能以任何政策文件未曾预料的方式动态扩展其权限。GigaOm安全与风险行业CTO Chris Ray直言：“历史将指责行业假装机器人不在治理范围之内。”随着大多数企业开始部署AI代理，一个紧迫的治理缺口已然形成——绝大多数组织连基本的NHI生命周期管理框架都未建立，遑论针对AI代理身份的专门策略。
合规压力倒逼变革:从保险库到统一治理的成熟路径
NHI泛滥不仅带来安全风险，更构成叠加的合规问题。SOC 2、ISO 27001、PCI DSS及NIST 800-53等框架均包含访问治理要求——理论上同样适用于非人类身份，但实践中审计流程往往聚焦人类用户，将NHI留作灰色地带。这一灰色空间正在收窄：监管机构和审计师越来越多地追问具体机器身份治理证据，“我们用保险库”或“我们定期审查服务账户”的答案已难以服众。GigaOm与One Identity合作提出了一套成熟度框架，推动企业从被动、孤立的NHI管理迈向涵盖人类与非人类身份的统一身份治理——通过策略执行、自动化生命周期管理和持续审计能力，同时落实最低权限原则，才能彻底堵住这一最大的治理缺口。
