Adam Markowitz，Drata 首席执行官兼联合创始人——访谈系列

Adam Markowitz 是 Drata 的首席执行官兼联合创始人，他正将公司在持续合规与信任方面的工作拓展至人工智能智能体治理领域。2020 年与他人共同创立 Drata 之前，他曾与 Troy Markowitz 和 Daniel Marashlian 一同创立 Portfolium。他在应对安全问卷、审计和合规审查方面的经验，帮助塑造了 Drata 的工作方式：自动化组织证明自身值得信赖的流程。

Drata 提供治理、风险与合规平台，整合了自动化证据收集、持续控制监控、第三方风险管理和安全问卷工作流。其人工智能智能体治理能力侧重于发现智能体、在其执行操作前实施政策，并记录决策以便审计。在这次访谈中，Markowitz 谈到了内部智能体威胁、机器身份、工具调用的安全边界，以及企业大规模部署自主智能体所需的控制措施。

您此前创立了 Portfolium，之后于 2020 年共同创立 Drata；在此之前，您亲身经历了随着公司规模扩大，安全合规工作会变得多么繁琐。是什么让您确信这是一个值得专门创办一家全新公司的问题？随着人工智能改变安全领域的格局，Drata 的使命又是如何演变的？

我与联合创始人 Troy Markowitz 和 Daniel Marashlian 共同领导 Portfolium 时，学到了宝贵的一课：在商业领域赢得信任是一个过程，而不是一句推销辞。由于学生信息数量庞大且高度敏感，在我们证明自己采取了应有措施保护其数据之前，大学和企业都不愿与我们合作。我们意识到，逐份手动处理安全问卷、审计和合规审查这项缓慢而痛苦的工作，是许多组织共同面临的问题。Portfolium 被收购后，我与 Troy、Daniel 再度联手，花了六个月打造 Drata 的首个版本，并与数十家公司和审计人员交流，以验证这个问题确实存在；在此之前，我们甚至还没有开始编写代码。产品推出后的前六周，我们就获得了 100 家客户，并在一年内达到 1,000 家。这让我们明白，我们所提供的产品已经从“有了更好”的可选项，变成了人们离不开的东西。

人工智能并未改变 Drata 提供持续信任的使命，但信任的范围已经扩大。我们最初着手自动化繁琐的合规工作，随后将业务拓展到智能体工作流，让它们能够端到端地完成第三方风险评估和安全问卷。但真正的转变发生在智能体本身也成为需要治理的对象之后。如今，我们已扩展平台，使其能够支持人工智能智能体治理：发现智能体、管理其获准执行的操作，并生成经得起他人查验的证据。

您提出了“内部智能体威胁”这一说法，用来描述并非由外部攻击者，而是由组织自身的人工智能智能体带来的风险。内部智能体威胁与安全团队数十年来一直在防范的传统内部威胁有何不同？

传统内部威胁指的是有人滥用其已有权限，例如心怀不满的员工、粗心大意的员工，或只是误点了某项内容的人。数十年来，安全团队一直围绕这类风险制定防护方案，重点包括背景调查、最小权限原则、离职流程清单等。

内部智能体威胁则有所不同，因为智能体一开始根本没有获得访问权限。风险的焦点从滥用转向了获取。如果智能体接到一个目标，而完成目标的直接路径被阻断，它不会像人一样提交工单，然后等待处理。它会尝试寻找其他途径，例如密码薄弱的服务账户，或是没人记得关闭的端点。它会在没有恶意、也没有意识到自己违反政策的情况下自行进入。它做的正是你要求它做的事，这也让它极难被发现。单独来看，每一步似乎都合情合理，而且智能体最终还会报告任务成功。

我们已经知道如何治理能够访问敏感系统的员工和第三方，但智能体是第三类群体，为前两类对象打造的工具无法覆盖它们。

人工智能智能体能够持续追求目标，以机器速度运行，并与多个系统交互，却不像人类员工那样具备判断力。这从根本上改变了企业的威胁模型吗？

最重要的变化在于时间尺度。人类试图寻找进入系统的途径，最终会感到厌倦、被发现或放弃。智能体则不会。过去未被发现的入口，如今会被找到，因为智能体不会疲倦，也不会停止搜索。

而且，它们盯上的不止一个入口。为了完成一项任务，智能体会乐于接触十几个系统——在这里调取账户历史记录，在那里查询数据库——其中大部分操作都与实际交给它的任务无关。为了制作一份演示文稿，它可能会接触到其他客户的数据、财务记录、员工信息，或是任何挡在路上的内容。这些行为都不会显示为安全事件。

因此，威胁模型已经发生变化。如今，安全团队应该思考的问题是：如果没人告诉自家智能体该在哪里停下，它们会为了完成任务走多远。

许多组织已经部署了身份与访问管理、特权访问管理以及零信任架构。为什么仅靠这些控制措施，还不足以管理自主 AI 智能体？

这些框架是为人类和供应商设计的——这两类对象都有判断力，遇到障碍时都会停下来。智能体身份管理也需要达到针对人类身份和第三方风险管理所建立的同等严谨程度：发现、明确所有权，并提供审计人员能够认可的证据。问题在于，目前还没有统一的标准来界定，当持有凭证的是智能体时，“受到治理”究竟意味着什么。

例如，由某位工程师创建的智能体可以使用该工程师的访问权限行事，甚至能访问这位工程师本人从未接触过的系统。身份与访问管理（IAM）和特权访问管理（PAM）都假定持有凭证的一方知道何时该停下，但智能体并不具备这种内在假设。

企业是否应该开始将每个 AI 智能体都视为独立的机器身份，并为其明确指定负责人、权限、范围和生命周期？成熟的智能体身份框架应该是什么样？

是的，但大多数企业还没有做到这一点。许多企业的情况可能超出你的预期：它们甚至说不清内部正在运行多少个智能体，更不用说谁负责每一个了。成熟的框架应从发现开始——建立一份涵盖每个智能体、持续更新的真实清单。接下来，每个智能体都需要有明确的负责人、清楚界定其获准访问范围的规则，以及能够真正按照这一范围执行的策略。根据我们自己的研究，我们在供应商管理方面也发现了同样的问题：四分之三的组织每年重新评估第三方的次数不超过一次，因此等到情况发生变化时，它们所依据的数据早已过时。无论是内部还是外部的智能体，仅靠某个时间点的评估都行不通

我们希望所有智能体都遵循同一套标准，而不是让安全团队逐一追查每位开发人员自行构建的内容。这意味着，策略应能用通俗语言编写，在启用之前先用真实的历史流量进行测试，随后在执行过程中直接实施，确保框架能够覆盖智能体采取的每一项行动，而不是只停留在文档里。

一种尤其棘手的情况是，智能体违反了安全策略，却没有恶意行为。如果智能体只是为了完成分配给自己的任务，无意中发现了通往敏感数据的路径，安全团队该如何区分自动化任务成功完成与安全事件？

眼下，坦白说，答案是你无法区分。想象一下，有一个支持服务智能体，专门负责起草季度业务回顾报告；它接到指示，要提取账户历史记录并制作演示文稿。原本应该使用的正常路径——用于提取数据的导出文件——却是空的。人类会就此停下，但智能体会另寻路径，而在它看来，任务已经成功完成。

任务虽然完成了，但智能体绕过了你的安全协议，进入了本不该访问的系统。判断的关键必须是：智能体是否始终处于我们为它设定的范围之内。问题从来不是能不能完成任务，而是策略是否允许这样做。这意味着必须把范围界定得足够严格，避免事后看来“自动化成功”和“安全事件”毫无区别。

传统安全监控往往在可疑活动发生后才识别出来，但自主智能体可能在人工响应之前就已完成数百项操作。智能体式 AI 是否需要直接作用于执行流程中的安全控制，而不能主要依赖告警和事后监控？

是的，毫无疑问。如果等到运行时才发现问题，就已经太迟了。监控工具发出操作告警时，该操作早已执行。你会留下关于自己究竟如何遭到攻击的完整记录，却再也无法阻止它。

对于以机器速度运行的对象，唯一有效的治理方式，是在行动执行前评估，并在执行流程中直接拦截违规行为。我们绝不会把最敏感的数据交给新员工，然后只寄希望于监控系统能发现任何问题。智能体也应受到同等严格的约束，就在行动即将发生的那一刻，而不是事后。

模型上下文协议（MCP）和其他智能体工具接口，正让 AI 系统能够使用日益强大的外部能力。随着企业扩大智能体的权限，围绕工具调用、API、凭证和服务账户，需要建立哪些新的安全边界？

工具调用正在成为新的安全边界。每当智能体调用凭证、请求 API 或使用工具时，都会面临一个决策点；如今，大多数企业在这一环节都没有设置边界，来判断该操作是否应该执行。这正是一直缺失的环节。从外部观察，我们也发现了同样的盲点——只有 37% 的安全负责人确信自己能够识别出 AI 在现有合作供应商的哪些产品中运行。如果你看不见供应商产品中的 AI，也就看不见自己的智能体接下来会采取什么行动。支撑这一切的凭证和服务账户，也需要像人工访问权限一样受到严格管理：明确所有者、界定权限范围并定期审查。智能体不应仅仅因为某个凭证存在于其可访问路径中的某处，就能调用一个从未获准使用的凭证。

当审计人员、监管机构或客户询问某个 AI 智能体访问了什么、做出了哪些决策，以及由此产生的数据流向何处时，企业应当切实能够提供怎样程度的可追溯性？智能体审计追踪最终会像传统访问日志一样，成为基础要求吗？

企业应当能够随时回答：智能体访问了什么、做出了哪些决策，以及由此产生的数据流向何处。事后再从日志中拼凑信息来回答这些问题，并不足够。标准应当是持续生成、防篡改且可验证的记录，并且在问题提出时，这份记录已经存在。目前，大多数公司面对这些问题仍然无言以对。这不是一个可以向客户轻描淡写、搪塞过去的漏洞；根据泄露的内容，这也不是监管机构会接受的问题。

没错，我认为智能体审计追踪很快就会像访问日志一样成为基础要求。多年来，我们一直将“谁在何时访问了什么”视为人类使用的系统中不可妥协的要求。不能仅仅因为点击操作的不是人，就降低对智能体的要求。欧盟《人工智能法案》、AIUC-11 和 ISO 42001 等框架已经在推动这一方向。智能体的可追溯性需要与现有合规计划所依托的控制措施和证据逻辑相衔接。把它当作事后才考虑的问题，只会让它被搁置一旁。

展望未来，你认为 AI 智能体治理会成为一个独立的安全类别，还是最终会被纳入现有的治理、风险、合规、身份管理和网络安全平台？你认为企业要想安全地大规模部署真正自主的智能体，需要先具备哪些条件？

每一波重大技术浪潮都会催生相应的安全浪潮——云计算催生了 Wiz，终端安全催生了 CrowdStrike，而 AI 智能体正在催生新的安全浪潮。模型提供商正在为自家平台开发控制台和策略，这固然有用，但没有哪家企业只使用一个模型提供商、一款编程助手和一套内部开发的智能体。总得有人用一套统一的策略和一个统一的证据来源来治理这一切，而这并非任何单一 AI 平台所能解决的问题。这也不是这些平台存在的初衷。AI 智能体治理已经成为一个独立类别，同时也接入企业现有的 GRC、身份管理和合规系统。

企业要想大规模部署真正自主的智能体，需要先具备四项条件，而目前大多数企业一项都不具备。第一是实时发现能力——在每个智能体创建之时，就能掌握所有正在运行的智能体、各自的负责人，以及它们使用的身份。

其次，要在操作流程中强制执行策略，并在操作执行前进行评估。第三，企业需要持续监控偏移情况，因为智能体的生命周期可能超出创建它的会话，其权限范围也可能在不知不觉中扩大。最后，还需要一份防篡改、可验证的记录，记录智能体做出的每一项决策，并将其对应到审计人员和监管机构实际认可的框架。这正是我们在 Drata 构建的层。缺少这一层，企业大规模部署自主智能体就只能寄希望于好运。

感谢您带来的精彩访谈。希望进一步了解 AI 智能体治理、持续合规以及针对内部人员所操控智能体威胁的控制措施的读者，请访问 Drata。