當我們在開發 AI Agent（AI 代理）時，最容易陷入的誤區就是將其視為一般的「使用者」或「後端服務」。然而，AI Agent 的運作模式與這兩者截然不同。使用者通常受限於 Session（會話）與 UI 介面，而後端服務則是可預測且路徑固定的程式碼定義的。AI Agent 則處於中間地帶：它能自主執行多步驟任務、呼叫工具，甚至將工作委託給另一個 Agent。
如果我們簡單地給 AI Agent 一個具有高權限的 Service Account（服務帳戶），一旦 Agent 產生幻覺或被誘導，可能會導致毀滅性的權限濫用。因此，Uber 與 Auth0 提出了一套全新的存取控制思維，核心在於將權限從「靜態賦予」轉向「動態委託」。
AI Agent 的身分認證挑戰
傳統的權限模型無法滿足 AI Agent 的需求，主要原因在於代理鏈（Agent Chain）的複雜性。當一個使用者要求 Agent A 處理問題，Agent A 決定請 Agent B 協助，而 Agent B 最終呼叫某個內部 API 工具時，系統必須知道：誰是最初的請求者？哪些 Agent 參與了過程？目前的呼叫者是否有權執行此操作？
如果只傳遞使用者的 Token，會喪失對 Agent 行為的稽核能力；如果只用 Agent 的身分，則無法驗證該 Agent 是否真的代表該使用者在操作。
Uber 的解決方案：動態令牌交換與 actor chain
Uber 為了在零信任（Zero Trust）架構下實現 AI Agent 的安全運作，建立了一套基於 Token Exchange（令牌交換）的機制。其核心流程不再是傳遞一個長效的憑證，而是採取單跳（Single-hop）且短效的 JWT（JSON Web Token）。
在這套架構中，Uber 引入了 Agent Registry（代理註冊表）來記錄每個 Agent 與其允許承載的工作負載關係。當 Agent 需要呼叫下一個環節時，會向 Security Token Service（安全令牌服務）請求新 Token。這個過程會結合當前的本地元數據、傳入的上下文以及目的地，生成一個有效期僅數分鐘、且具有特定 Audience（目標受眾）限制的 Token。
最關鍵的設計是 actor chain（執行者鏈）。Token 中不僅包含目前的呼叫者，還記錄了整個委託路徑。例如：工程師 $\rightarrow$ Oncall Agent $\rightarrow$ Investigation Agent $\rightarrow$ 內部工具。下游系統在決定是否允許存取時，可以同時評估最初的人類身分與中間代理的身分，確保權限在委託過程中被正確縮減而非擴大。
實作層面的關鍵組件
為了讓這套複雜的流程在實務上可行，Uber 部署了幾個核心組件。首先是 MCP Gateway（Model Context Protocol 閘道），它作為 Agent Mesh 與內部系統之間的中繼站，負責執行工具存取檢查，並在必要時對敏感數據進行遮蔽（Redaction）。
其次，為了降低開發者的負擔，Uber 並未要求每個團隊自行實作身分傳遞，而是開發了一個標準化的 A2A（Agent-to-Agent）客戶端。這讓身分傳遞與令牌交換變成底層自動化行為，達到 Secure-by-default（預設安全）的開發體驗。
在效能方面，頻繁的 Token 交換可能會帶來延遲。但 Uber 的實測數據顯示，其 Security Token Service 的 P99 延遲維持在 40 毫秒以下，證明了這種精細化權限控制在生產環境中是可行的。
Auth0 的觀點：限制爆炸半徑
Auth0 對此趨勢的看法是，AI Agent 的權限模型應聚焦於限制「爆炸半徑」（Blast Radius），即防止單一錯誤導致大規模損害。他們建議採取三種模式：能力範圍權限（Capability-scoped permissions）、任務範圍憑證（Task-scoped credentials）以及分層強制執行（Layered enforcement）。
這意味著 Agent 不應擁有「管理所有伺服器」的權限，而應在執行特定任務時，僅獲得「讀取特定伺服器日誌 10 分鐘」的臨時權限。
對工程師的啟示
對於設計 AI Agent 系統的架構師來說，最重要的教訓是：不要將 AI Agent 視為普通客戶端。一個安全的 AI Agent 架構必須具備以下特性：
第一，保留原始使用者上下文，確保所有操作可追溯至人類發起者。 第二，實作短效且具備範圍限制的動態憑證，避免長效 Token 洩漏。 第三，建立明確的委託鏈記錄，讓下游系統能根據執行路徑做出授權決定。 第四，透過閘道（Gateway）統一管控工具存取與數據脫敏，而非依賴 Agent 自身的自律。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。