AI平台之所以強大，是因為它能訪問並推理海量企業資料；同樣的能力使它成為安全風險——一旦被攻破，擁有廣泛資料許可權的AI代理將成為攻擊者的夢想入口。零信任架構（"從不信任，總是驗證"）是應對這一風險的安全模型。本文解釋零信任在AI場景下的落地原則、代理身份模型、MCP閘道器的控制機制與異常響應流程，並給出企業可以立即著手的第一步。
為什麼傳統邊界安全擋不住AI風險？
傳統安全模型假設"內網可信"，只要通過防火牆與VPN，內部系統就預設安全。AI平台打破了這一假設：AI代理是動態的、自主的程式碼執行者，其行為無法用"人+裝置"的傳統身份模型描述；一次提示注入攻擊就可能讓代理執行非預期操作；而代理一旦獲得寬泛的資料許可權，洩露面會指數級擴大。
更現實的問題是身份模糊：過去是"某使用者訪問某系統"，現在是"某代理代表某使用者訪問數十個系統"。據Verizon《2024年資料洩露調查報告》，約68%的資料洩露涉及非惡意的人為因素；而在AI時代，攻擊面從"人"擴展到"人+代理+模型"，邊界安全的失效速度只會更快。這正是零信任從"可選項"變成"必選項"的原因。
AI還引入了獨有的攻擊面：提示注入可以讓代理把"查詢銷售額"誤解為"匯出全部客戶資料併發送到外部"；模型供應鏈攻擊可能在權重或工具鏈中埋入後門；影子AI（員工私自接入未審批的AI工具）則繞過所有企業控制。這些風險沒有一個能被防火牆解決，必須下沉到資料訪問層逐一攔截。
人工智慧的零信任核心原則是什麼？
零信任在AI平台上有四條核心原則。第一，每次請求都驗證身份：AI代理必須在每次資料訪問時證明身份，而不是隻在會話開始時——會話可能持續數小時，期間許可權可能被濫用。第二，最小許可權：代理只能訪問完成當前查詢所需的資料，而不是整個資料庫；查詢"華東區銷售額"就不該觸達客戶明細。第三，微隔離：資料來源相互隔離，攻破一個源不會自動獲得其他源的訪問權。第四，持續監控：每一次訪問都被記錄並分析異常，安全不是一次配置，而是持續執行的狀態。
這四條原則共同指向一個轉變：從"信任位置"轉向"信任行為"。AI代理能用自然語言生成看似合理的請求，安全控制必須基於身份、上下文與策略的組合判斷，而不是對流量來源的信任。
落地時建議按"先窄後寬"推進：先從只讀、低風險的查詢場景開始，把驗證、授權與審計跑通，再逐步放開寫操作與更廣的資料範圍。每放開一類許可權，都伴隨一輪紅隊測試。據我們觀察，分階段放開的專案，安全事故發生率明顯低於一次放開的專案。
為什麼每個AI代理都需要獨立身份？
AI代理需要屬於自己的身份，而不是共享一個服務賬號。每個代理應擁有唯一身份與受限許可權範圍，並與其所服務的使用者身份繫結。當銷售代理查詢客戶資料時，系統應當能回答：哪個代理、由哪個使用者觸發、訪問了哪些資料、是否符合策略——四個問題的答案缺一不可。
據行業統計，超過40%的企業AI試點仍在使用共享服務賬號，這意味著一旦賬號洩露，審計將無法區分具體代理與使用者的行為，安全事件處置也會陷入"查不清、定不了責"的僵局。為代理建立身份台賬（代理清單、許可權範圍、負責人）是零信任落地的第一項基礎設施工作。
身份的生命週期同樣要管理：代理上線時簽發憑據、許可權變更時更新範圍、下線時立即吊銷，並保留完整的身份變更歷史。建議把代理身份納入企業統一的身份治理平台（IGA），與員工賬號享受同等的治理與審計待遇——代理不是"另類系統"，而是數字員工。
如何通過MCP落地資料訪問控制？
MCP語義層在資料層面強制執行零信任。每個查詢都經過閘道器，閘道器依次完成：驗證代理身份、檢查觸發使用者的RBAC許可權、校驗請求資料是否在授權範圍內、記錄完整訪問日誌，然後只返回授權資料。整個鏈路中不存在直接的資料庫訪問——代理永遠接觸不到原始表，只能通過受控的指標與工具消費資料。
這種架構的價值在於把安全控制集中到一個點：策略變更只需修改閘道器配置，而非逐系統改造；審計日誌天然完整，因為所有訪問都流經同一通道。據Gartner預測，到2026年將有10%的大型企業採用成熟的零信任架構，而在AI資料訪問場景中，MCP閘道器正是該架構最落地的承載點之一。
閘道器還應具備兩項能力：動態策略與請求上下文感知。例如，根據查詢涉及的欄位敏感度動態收緊返回結果，對含個人資訊的欄位自動脫敏；對同一使用者的連續高頻查詢自動降級。這些能力讓零信任從"靜態規則"升級為"行為感知"，更貼合AI查詢的多樣性與不確定性。
異常檢測與自動響應應該如何運作？
零信任不是一次性配置，而是持續監控的迴圈。AI平台訪問模式應被持續分析，關注三類異常：異常查詢量（例如某個代理一小時內查詢量激增10倍）、越界資料訪問（訪問與角色無關的資料域）、異常來源與時段（非工作時間的批次提取）。當異常被檢測到時，系統應自動撤銷訪問並告警安全團隊，而不是僅僅記錄日誌。
響應速度是成敗關鍵。IBM《2024年資料洩露成本報告》顯示，全球資料洩露平均成本達488萬美元，而識別與遏制時間越長成本越高。蜂啟諮詢建議企業為AI平台建立"異常—降權—阻斷—復盤"的四步響應流程，並把檢測規則與MCP閘道器聯動，實現分鐘級的自動處置。
檢測規則本身也要持續演進：AI查詢模式會隨業務變化，建議按季度復盤規則集，剔除失效告警、補充新風險模式。把異常檢測做成可運營的流程，而不是上線即固定的配置——安全水位隨威脅變化而調整，零信任才名副其實。
如何防禦提示詞注入與智慧體被操控？
零信任假設呼叫方可能已經失陷，而對AI智慧體來說，這個假設是字面意義上的。提示詞注入並不罕見：任何進入模型的文件、網頁、工單評論或檢索到的記錄，都可能攜帶指令。一個讀取了被投毒的支援工單、隨後帶著寬泛許可權呼叫工具的智慧體，就是智慧體世界的SQL隱碼攻擊，防禦方式也相同——永遠不要把不可信輸入當作可執行的授權。
防禦分為三層。第一，在協議層把指令與資料分開：檢索到的內容以"資料"的身份帶著來源宣告進入，絕不進入系統提示詞。第二，在MCP閘道器強制執行能力白名單，這樣即使模型被成功操控，也無法呼叫批准清單之外的工具，或訪問超出呼叫方授權範圍的資料。第三，對寫操作、匯出、付款、許可權變更等改變狀態的動作強制二次確認，無論智慧體自稱有多高的置信度。
有兩個測試可以區分真實的防禦與幻燈片上的防禦。第一個是通過內容進行許可權提升：在智慧體將要檢索的文件裡植入一條看起來合理的指令，然後確認什麼都沒有發生。第二個是越權訪問：讓一名低許可權使用者請求智慧體技術上能夠觸達的資料，確認閘道器拒絕。任一測試通過，都說明白名單寫在提示詞裡，而不是寫在基礎設施裡。
審計方對AI平台期待哪些治理控制？
審計方不會問你的智慧體是否安全，他們會要求你證明四件事，而且答案必須可復現，而不是口頭承諾。
- 完整的智慧體清單。每個智慧體的用途、負責人、可觸達的系統，以及最近一次評審的日期。拿不出這份清單的組織會在第一個問題上失敗，而這正是其餘一切的基礎。
- 身份與授權對映。每個智慧體以什麼身份執行、附帶哪些授權。共享服務賬號是最常見的審計發現，因為它讓事件發生後的歸因變得不可能。
- 帶上下文的訪問日誌。不只是"智慧體X查詢了表Y"，還要有請求使用者、查詢語句、被授予的範圍、返回的行數以及判定依據。無法還原一次決策的日誌無法讓審計方滿意。
- 變更與吊銷的證據。智慧體許可權如何變更、由誰批准、訪問可以多快被吊銷。當智慧體規模每週都在變化時，"一年評審一次"不是答案。
能從容通過這類評審的團隊，都是從一開始就把控制嵌入資料訪問路徑的。反過來，給一個共享賬號寫了一年的日誌做歸因補錄，既昂貴，又很少能讓任何人滿意。
零信任如何應用於語義層自身？
這裡存在一個不太舒服的遞迴：執行安全策略的元件本身也是軟體，也有憑證、依賴和攻擊面。把語義層預設視為可信，等於在下一層重建了邊界模型——而恰恰是成熟的團隊最常犯這個錯誤。
把用於智慧體的同一套紀律用在閘道器上。讓它以自身的最小許可權機器身份執行，而不是資料庫超級使用者。對每個語義定義簽名並版本化，這樣指標定義就不會被悄悄改寬、讓查詢返回更多資料。限制誰能釋出新的資料產品、誰能修改授權對映，並要求與生產程式碼變更同級的評審——因為它本來就是。把閘道器自身的管理操作日誌與它產生的訪問日誌分開存放，這樣即使攻擊者獲得了查詢許可權，也無法篡改自己進入方式的記錄。
然後測試它。把閘道器納入同一份清單、同一套最小許可權評審、同一套異常檢測——只是告警物件從資料訪問改為管理操作。一個可以豁免自身策略的控制平面，不是控制平面。
最常見的零信任落地錯誤有哪些？
五個錯誤解釋了大多數停滯的專案。
採購一個產品，而不是採取一種姿態。零信任不是一個SKU。廠商售賣的是元件——身份、閘道器、監控——但姿態是圍繞它們的運營紀律：逐請求驗證、最小許可權、自動響應。從採購開始的專案會停滯，從智慧體清單和訪問路徑開始的專案會完成。
為了省事把智慧體掛到服務賬號上。整合時確實更方便，但它會永久摧毀歸因能力。在閘道器強制執行逐請求身份，讓這條捷徑不可用，並對任何代表多於一個使用者行事的智慧體身份發出告警。
只記錄不響應。如果沒有人讀取，再完整的審計軌跡也不是控制措施。在智慧體的速度下，等待人工處理的告警只是對既成事實的記錄；對最高風險的資料，吊銷與升級必須自動化。
把人類身份與機器身份當成同一個問題。它們的生命週期、行為模式和吊銷路徑都不同。在多數大型企業中，機器身份的數量已經超過人類身份，它們需要獨立的生命週期管理。
在交付任何成果之前追求全覆蓋。應按風險排序推進：先清單、再身份、閘道器、日誌，最後對最敏感的資料啟用自動響應。按資料來源而不是按風險排序的專案，往往在觸及真正重要的資料之前就耗盡了耐心。
要點是什麼？
把本文的核心判斷濃縮為以下五點，便於安全團隊對齊與執行。
- AI平台把攻擊面從"人"擴展到"人+代理+模型"，傳統邊界安全不再夠用。
- 零信任四原則：每次驗證、最小許可權、微隔離、持續監控。
- 每個代理應有唯一身份並與觸發使用者繫結，杜絕共享服務賬號。
- MCP閘道器在資料層面集中執行驗證、授權、審計，代理無法直連資料庫。
- 異常檢測要與自動降權聯動，把響應從"事後追查"升級為"即時阻斷"。
領導者應該從中帶走什麼？
AI的力量來自資料訪問，AI的風險同樣來自資料訪問。零信任為這一矛盾提供了系統性的解法：身份細化到代理、許可權收縮到查詢、控制集中到閘道器、監控貫穿到每個請求。蜂啟諮詢幫助企業設計並落地AI平台的零信任體系，從代理身份台賬與MCP閘道器策略做起，在8周內形成可運營的安全基線。
