Zero Trust security for AI agents

• 1

  AI 威脅的本質轉變：傳統攻擊需要破解加密或發現零日漏洞，但 AI 只需一個被盜憑證、過度授權帳戶或受害工作階段就能入侵，並能自動串聯多個低風險問題組成完整的端對端攻擊，時間成本遠低於人類攻擊者。

• 2

  身份與存取控制的重新定義：不只人類使用者需驗證身份，AI 代理也需獨立身份。條件式存取需實時評估代理風險、用戶風險、設備健康狀況，搭配無釣魚認證機制（如密鑰），確保只有授權的代理能存取資源。

• 3

  最小權限原則的強制執行：AI 代理只能訪問完成任務所需的最少數據和工具。過度授權的單一誤設就可能導致秒級大規模洩露，因此需透過資料存取治理、敏感度標籤、DLP 政策等方式嚴格限制代理能接觸的文件、後端系統和 API。

• 4

  運行時可觀測性的必要性：無法觀測的代理無法信任。必須記錄每個工具呼叫、API 訪問、數據查詢，並導入 SIEM 系統、異常偵測，自動指派風險等級，才能在事件發生時快速偵測與回應。

• 身份與存取管理工具：
• Microsoft Entra（含條件式存取）
• Agent ID（為代理分配獨立身份）
• Access Packages（限時限度授權，工作完成後自動過期）
• Agent 365（統一發現和管理所有代理）
• 數據保護與監控：
• Microsoft Purview（數據安全態勢管理、自動風險分級）
• DLP 和敏感度標籤
• Data Access Governance
• 簽入和審計日誌
• Microsoft Sentinel（SIEM）
• 工具與代理防護：
• MCP（Model Context Protocol）目錄治理
• Azure API Management（保護自建 MCP 伺服器）
• Microsoft Foundry（含越獄防禦、提示注入防護）
• Microsoft Defender for Cloud Apps
• Windows Execution Containers（識別本機 AI 代理）
• 端點與應用防護：
• Microsoft Intune
• Microsoft Defender
• Microsoft Edge（防止商用影子 AI）
• Intune 安全基準
• 零信任三大原則的新詮釋：
• 明確驗證：確認身份（人或設備）與意圖（AI 或流程），每個代理獲得離散身份
• 最小權限存取：AI 只能接觸授權目的所需的數據與工具
• 假設漏洩：任何提示可能含惡意、任何響應可能洩漏數據、任何 AI 元件都有漏洞風險

“零信任在 AI 時代的核心是：每個代理都需獨立身份、即時風險評估、運行時觀測，以機器速度的防禦來對抗機器速度的攻擊。”