雷法埃尔·安吉尔，Akeyless联合创始人兼CTO – 采访系列

Refael Angel是Akeyless联合创始人兼首席技术官，也是一位在云安全、加密、机器身份验证和企业基础设施方面拥有深厚经验的网络安全与软件工程领导者。自2018年共同创立Akeyless以来，他一直帮助公司围绕现代秘密管理和云原生环境的身份安全打造业务。在加入Akeyless之前，他曾在Intuit (INTU ) 担任安全高级软件工程师，构建公有云加密密钥管理与机器身份验证系统，并积累了AWS、Go、Python、Java、PHP、Bash、Linux、Git和Jenkins方面的实践经验。职业生涯更早期，Angel曾在3D Systems (DDD ) 和Cimatron担任软件工程职位，使用C/C++、C#、WPF、MFC和面向对象设计模式开发CAD/CAM及Windows应用程序。

Akeyless是一家身份安全公司，通过一个以零知识密码学为基础的云原生平台保护机器、AI智能体和人类。该平台整合了秘密管理、加密密钥管理、证书生命周期管理、特权访问和机器身份安全，让组织能够以统一方式管理混合云、多云、DevOps和AI环境中的凭据、密钥、证书与访问权限。公司的定位反映出网络安全领域更广泛的转变：随着工作负载、服务和AI智能体越来越多地在没有人类直接参与的情况下访问系统，企业需要对非人类身份、短期凭据、自动轮换和运行时治理实施更有力的控制。

您在Intuit构建加密密钥管理和机器身份验证系统之后，于2018年共同创立了Akeyless。云安全和身份管理中的什么缺口让您确信创办Akeyless的时机已经成熟？随着AI智能体成为一种新的数字身份，最初的愿景又发生了怎样的演变？

在Intuit，我所在的团队负责构建加密密钥管理和机器身份验证系统。当时，Intuit是最早迁往云端的大型企业之一。我逐渐清楚地看到，每一个采用云的组织最终都会面对我们正在内部解决的同一个问题：如何在分布式、动态基础设施中管理秘密和密钥。自行构建这样的能力会消耗巨量工程资源，让每家公司都重复发明它毫无意义。合乎逻辑的答案是SaaS模式。

难点在于信任。这些是企业拥有的最敏感材料，任何严肃的组织都不会把访问它们的能力交给第三方。因此，需求近乎矛盾：既要以SaaS方式交付，以获得规模和简便性，又要从架构上让供应商永远不可能看到客户的数据。正是这种张力催生了分布式片段密码学（Distributed Fragments Cryptography，DFC）。DFC让我们能够运行完全托管的SaaS控制平面，同时由客户持有一个我们从不掌握的片段，因此从数学上说，我们无法访问客户的密钥。这成为Akeyless所建立的“SaaS加零知识”模式的基础。

最初的愿景是保护云中的人类和机器访问。AI智能体是同一问题自然且最极端的延伸。它们是以任何目录系统都未曾为之设计的规模和速度运行的非人类身份，而同一套零知识、以身份为中心的基础如今也直接延伸到了它们。

您被认为是Akeyless已获专利的零信任加密技术的架构师。在构建既能消除信任假设、又能满足大型企业实际需求的安全模型时，最大的技术挑战是什么？

最难的部分，是让“不信任任何人”变得实际可用，而不只是学术概念。大多数拆分密钥或秘密共享方案仍会在某个时刻组装完整密钥，通常是在单一进程、硬件安全模块或可信执行环境里执行密码学操作的一瞬间。这个短暂窗口恰恰是攻击者、恶意内部人员以及法律强制场景所瞄准的目标。

在DFC中，密钥永远不会被组装，无论是在创建时、静态存储时还是使用过程中。各片段在彼此分离的信任域中独立生成，密码学操作以分布式计算方式运行，每个片段持有方在本地计算自己的部分，只交换部分结果。工程挑战在于，既要实现这一点，又要达到大型企业在生产环境中要求的延迟、吞吐量和可靠性。

第二个挑战也是最重要的挑战之一，是实现片段的持续刷新。我们必须能够在每一个位置用新的数学值替换每个片段，同时让这些片段所代表的底层主密钥保持不变，并且不干扰密码学过程。这给方案增加了一层非常实质性的安全保障。由于存在刷新机制，攻击者不能再耐心地随时间收集片段。上周捕获的片段与今天存在的片段在数学上毫无关联，所以它只是噪声，而不是领先一步。对手若想获知密钥的任何信息，就必须在同一个刷新窗口内同时攻陷所有片段所在位置；随着位置、信任域和刷新频率的增加，这一要求会以指数级变难。再加上“全有或全无”的阈值，即必须拥有100%的片段才能泄露任何内容，而任何严格意义上的片段子集都不会泄露信息，刷新机制便把安全模型从静态保证转变为带有时间边界的保证。

许多组织正争相部署AI智能体，但身份安全往往仍是事后才考虑的问题。企业在让AI智能体访问内部系统和敏感数据时，最常犯哪些错误？

最大的错误是把智能体当作服务账户，并交给它一个静态、长期有效的API密钥。这个凭据会变成永久且可被窃取的资产，驻留在一个行为不确定、可能遭受提示注入的行动主体中。

我看到的其他常见错误包括：授予常驻权限，而不是即时访问；依赖粗粒度的基于角色权限，这类权限只描述智能体能访问什么，却从不描述它打算做什么；给智能体提供直达数据库和API的网络路径，使一次入侵演变成横向移动；以及缺少能够把智能体操作追溯到触发它的人类和提示词的审计链。每一种错误都在试图把为人类时代设计的控制措施硬套在一个行为并不像人类的对象上。

Akeyless认为，AI智能体需要一种与人类或传统机器工作负载根本不同的身份模型。与现有IAM和PAM框架相比，AI智能体为何格外难以保护？

核心错误是把AI智能体视为一种新用户，甚至是一种新的服务账户，并认为可以像引入和治理人类身份那样管理它们。由于几个相互关联的原因，这属于类别错误。

智能体身份无法逐一枚举。你想治理的特定实例通常尚不存在；等它出现时，它又已经消失。一个智能体可以在Lambda上启动，运行800毫秒，并在任何扫描器注意到它之前消失；也可以跨虚拟机、容器和无服务器环境生成一连串子智能体，在数秒内完成任务。把它们登记进目录，就像把幽灵当作居民登记：等条目提交时，它所描述的实体已经不在了。

因此，正确的锚点不是智能体本身，而是其运行时已经颁发的工作负载身份，例如AWS执行角色、Kubernetes服务账户令牌或SPIFFE SVID。该身份已经存在，由智能体所在的平台提供担保，并在智能体消失时一同消失。由于身份是临时的，能够稳定地用来编写策略的实体只能是身份验证方法和目标系统，而不是具名身份及其作用域。

现有IAM和PAM正是在这里最彻底地失效：静态RBAC和ABAC无法约束一个非确定性行动主体。即使智能体持有作用域完美的令牌，且TTL执行得毫无瑕疵，它仍可能遭受提示注入、产生破坏性查询的幻觉，或在同一会话中从读取任务转为写入任务，而授权层看不到任何策略违规。RBAC和ABAC在身份验证时做判断，而不是在之后做判断，因为之后发生什么，是由一个LLM根据策略制定者看不到的上下文窗口决定的。

所以，智能体之所以特别难以保护，是因为它们同时具备短暂、非确定性、跨运行环境以及可遭受提示注入等特征。缺少的层并不是一个更好的目录，而是对每一个操作实施意图感知的强制控制：由网关在铸造任何凭据之前，检查智能体实际要做的事情是否与它声称要做的事情一致。

围绕AI系统的“无秘密”架构，业界的讨论越来越多。您如何定义无秘密身份验证？为什么您认为在自主智能体时代，静态凭据和API密钥正变得不可持续？

无秘密身份验证意味着智能体根本不持有凭据。系统不向智能体提供一个必须存储并出示的密钥，而是让智能体通过原生工作负载身份进行身份验证；在执行时刻，一个短期、即时凭据被注入到经代理的会话中，并在会话结束时销毁。智能体永远看不到这个凭据。

静态凭据和API密钥变得不可持续，原因很简单：智能体持有的秘密，就是攻击者能够窃取的秘密。在持有凭据的行动主体可能遭受提示注入或产生幻觉的环境中，长期密钥会让每一个被攻陷的智能体都成为密钥泄露点。把凭据从智能体手中移走后，被攻陷的智能体便没有任何东西可以泄露。这就是我们所说的SecretlessAI的全部意义。

随着AI智能体获得独立规划、执行操作并与多个系统交互的能力，未来三到五年中，您最担心哪些新的攻击向量？

我最担心的攻击向量都源自智能体能够跨系统独立规划和行动。最明显的是在任务中途劫持智能体意图的提示注入，因为即便行为已经转为恶意，身份仍然有效。除此之外，我还担心智能体之间的任务移交：权限沿着一条链传递，却没有明确问责；能够直接访问网络的智能体被用于横向移动；以及权限过大的智能体提取远超任务所需数据而造成的数据外泄。

共同点在于，凭据和角色可能完全合法，而操作本身并不合法。只检查权限、不检查目的的防御无法发现这些问题。因此，我认为最关键的控制，是由网关对每一个操作实施意图感知的强制策略。

我们正在看到安全重点从人类身份转向机器和智能体身份。随着组织开始管理基础设施中数以百万计的非人类身份，您认为安全优先级之间的平衡会如何变化？

我们正进入这样一个世界：绝大多数系统访问由非人类身份完成，包括机器、工作负载以及现在的智能体，但大多数工具仍假定键盘后坐着一个人。结果就是秘密无处不在、常驻权限泛滥，还有无人能够完整追踪的身份。

优先级将从周期性的、按人类速度运行的控制，转向以机器规模持续实施的运行时控制。管理数百万非人类身份时，不能依赖登记、认证活动和季度访问审查。你需要从设计上就是临时的身份、零常驻权限，以及对每一个操作自动评估策略。人类身份安全不会消失，但它会变成整个攻击面的较小部分，架构必须首先为占多数的非人类身份而设计。

近期研究表明，AI智能体可能已经在访问超出其预期权限的信息。组织在允许智能体自主运行于生产环境之前，应部署哪些治理和运行时控制？

在任何智能体自主运行于生产环境之前，我希望具备几项控制。第一，智能体上没有常驻凭据，每个会话按需注入短期、即时访问权限。第二，不提供直接网络路径，每个智能体操作必须经由强制性的咽喉点代理，而不能直连数据库和API。第三，在铸造任何凭据之前实施意图感知的策略，依据原始提示评估请求的目的，使一个被要求分析营收的智能体无法执行破坏性命令。第四，进行会话内检查和响应遮蔽，在PII和PHI等敏感数据进入智能体上下文窗口之前将其隐去。第五，建立一条单一、不可篡改的审计记录，把人类提示、已分类意图、策略判定、会话和最终操作连接起来。

发现和可见性也很重要，但它们应当是策略的输入，而不是实施保护的前提。即使此前从未见过某个具体智能体实例，也应当能够在它第一次进行身份验证时就治理它。

行业往往聚焦于模型安全，却较少关注身份、授权和访问控制。为什么您认为这些领域将成为AI时代最重要的安全挑战之一？

模型安全占据头条，但一个完全对齐的模型仍然需要在现实世界中行动，而一旦行动，它就需要访问系统和数据。真正的损害正是在这种访问中发生。一个永远无法接触数据库的模型也无法把数据库外泄。风险在授权边界上变为现实。

授权也是智能体安全中最难的部分，因为行动主体既非确定性又短暂。单靠模型层无法解决，静态角色也无法解决。它要求对每一个操作持续实施意图感知的控制。这是并不耀眼的基础设施工作，正因为如此，它很少被讨论；也正因为如此，它最终会成为这个时代影响最深远的安全问题之一。

展望未来，您是否认为企业最终会需要一个专为AI智能体设计的身份层，就像身份提供商已经成为人类用户的必需品一样？这种未来架构会是什么样子？

会，但它不会只是把人类身份提供商模式换个名字后用于智能体。试图建立智能体目录，就是为幽灵建立目录，因为你还没完成登记，身份就已经消失了。

我预计，智能体身份层会把身份锚定到运行时颁发的工作负载身份，包括云IAM、Kubernetes服务账户、OIDC联合，以及SPIFFE/SPIRE这类已经在生产中得到验证并能跨运行环境工作的标准。授权会被表达为身份验证方法与目标系统之间的关系，而不是具名身份与作用域之间的关系。重心将是运行时强制执行平面，也就是一个代理每次操作、对意图分类、注入临时凭据、遮蔽敏感响应并生成完整取证链的网关。身份仍然重要，但它会排在强制执行之后，而不是之前。我相信，每一家在生产中运行智能体的企业最终都需要这样一个运行时权限层，并且它会位于已经管理人类和机器访问的同一平台之上。

感谢您带来这场精彩的访谈。希望了解更多信息的读者可以访问Akeyless。