云安全联盟2026年报告

核心观点与关键数据

AI 代理的快速普及与身份管理挑战
AI 代理正从概念走向企业实际应用，但现有身份管理（IAM）体系难以适应其动态特性。调研显示，40%的企业已部署代理，31%处于测试阶段，预计未来12个月将大规模扩展至数百个代理，涵盖公有云、私有云和本地环境。然而，仅18%的企业对现有IAM系统管理代理身份表示“高度自信”，多数仍依赖静态凭证（如API密钥、用户名/密码）和传统授权机制（IAM角色、关系型访问控制），导致安全风险和治理空白。

关键发现

1. 代理采用加速但身份管理滞后：未来12个月代理数量预计激增，但定义模糊（部分企业将AI代理与通用自动化工具混淆），加剧了安全预期不一致问题。
2. IAM系统对代理信任度低：仅18%企业高度信任现有IAM工具，责任归属分散（Security占39%、IT占32%），多数未建立正式代理治理策略，审计准备度不足（仅16%“非常自信”）。
3. 静态凭证与碎片化控制加剧风险：44%使用静态API密钥，35%依赖共享服务账户，动态认证（OIDC、OAuth PKCE）普及率不足30%。授权机制同样碎片化，仅17%跨环境一致执行实时访问控制，12%实施细粒度权限。
4. 发现与可追溯性存在盲区：仅21%维护实时代理目录，28%能跨环境可靠追溯代理行为，多数依赖人工介入（68%认为HITL“必要”），凸显信任缺失。
5. 投资与治理意识提升：40%企业增加身份安全预算，34%设立专项预算，23%已制定正式治理策略，但超半数仍处于早期阶段，主要担忧包括数据泄露（55%）、权限滥用（45%）和标准缺失（45%）。

研究结论
AI代理的兴起催生新型身份治理需求，传统IAM体系因静态凭证、手动流程和缺乏实时控制而失效。企业需从“反应式”转向“主动式”治理，通过统一身份编排（覆盖发现、认证、授权和持续可追溯性）实现安全自主。当前处于“建立信任”阶段，未来需实现：

• 从分散控制到统一身份编排
• 从有限可见性到实时可追溯性
• 从被动监督到主动保障
  成功关键在于将代理身份管理标准与人类用户同等严格，才能在扩展AI应用的同时确保安全可控。