AI Agent 身份与安全

当 LLM Agent 代表用户调用 API、读写邮件、执行 SQL 时，「用户登录 → 拿 token → 调 API」的传统 OAuth 模型不够用。Agent 需要委托链（谁授权、授权什么、能否撤销）、工具级粒度（不是 read:mail 而是「只能读 inbox 下某文件夹」）、以及可归因的审计（哪个用户委托的哪个 Agent 读了哪条记录）。

本系列是 身份与访问控制工程 与 零信任架构 的自然延伸，不是 Prompt 工程或 Agent 框架选型教程（后者见 LLM 基础设施）。与 zero-trust/18-zero-trust-emerging 的前瞻入口相对，本系列做系统展开。

系列状态：已完成（2026-06-18）。10 篇全部可读。

版本纪律：OAuth 2.1、MCP Specification（2025-03-26）、OpenID CAEP/SSE 等草案结论均标注 截至 2026-06 的 draft 状态。

续作关联：IAM 工程（人与服务身份）、零信任（边界与持续验证）、LLM 基础设施（Agent 框架与 MCP 工程）。

适合谁看

• IAM / 平台安全工程师：要把 OAuth、Token Exchange、吊销扩展到 Agent。
• AI 应用后端负责人：Function Calling、MCP Host、工具级策略。
• 架构师：设计 IdP + Policy Engine + Agent Gateway 参考架构。
• SRE / 合规：Agent 审计、归因链、Human-in-the-Loop 留痕。

推荐阅读路径

• IAM 工程师转 Agent 安全 → 02 → 03 → 08 → 09
• MCP 应用开发者 → 06 → 07 → 04
• 架构师落地 → 02 → 05 → 10
• 完整通读 → 02 → … → 10（01 为本文索引）

一、五个关键问题

1. Agent 的「身份」绑定在谁身上？ → 第 2、3 章（Token Exchange、act claim、细粒度 scope）
2. 工具调用的授权边界在哪？ → 第 4、5 章（OPA/Cedar、Human-in-the-Loop）
3. MCP 的信任模型是什么？ → 第 6、7 章
4. Agent 会话如何持续验证与撤销？ → 第 8 章（CAEP/SSE 草案）
5. Agent 行为如何审计？ → 第 9、10 章

二、篇目依赖与阅读路径

flowchart TD
  A["01 索引"] --> B["02 Agent 身份"]
  B --> C["03 Scope / UMA"]
  C --> D["04 Function Calling 授权"]
  C --> E["05 Human-in-the-Loop"]
  B --> F["06 MCP 架构"]
  F --> G["07 MCP 供应链"]
  G --> H["08 持续验证"]
  H --> I["09 审计日志"]
  I --> J["10 落地架构"]

三、目录

第一部分：身份与委托（第 2–3 篇）

2. Agent 身份谱系：从 API Key 到委托 Token RFC 8693 Token Exchange、subject_token/actor_token/act claim、四代模型威胁与迁移；与 JWT/JWKS 交叉引用。

3. 细粒度 Scope 与 UMA 2.0 启示 从 coarse scope 到 resource-specific consent；UMA Permission Ticket 是否适用于 Agent；与 策略引擎 组合。

第二部分：工具与 MCP（第 4–7 篇）

4. Function Calling 的授权模型 Tool schema 攻击面、OPA/Cedar 在 tool 层、SQL Agent 只读角色与 RLS 边界。

5. 人机协同授权：Human-in-the-Loop 高风险 step-up、同步确认 vs 异步审批、Agent 状态机；衔接 自适应认证。

6. MCP 架构与安全基线 MCP spec 2025-03-26 三角模型、stdio vs Streamable HTTP、OAuth 2.1 for MCP 草案边界。

7. MCP Server 隔离与供应链 多 Server secret 隔离、tool description 注入；联动 零信任供应链。

第三部分：持续信任与落地（第 8–10 篇）

8. Agent 会话的持续验证与撤销 CAEP/SSE 草案意图、短 TTL、Agent 缓存 PII；对照 会话吊销。

9. Agent 审计日志与归因 最小审计字段、OpenTelemetry span；联动 PAM/IGA 审计。

10. 落地架构与案例框架 IdP + OPA + Agent Gateway + MCP Host；Keycloak/Envoy 能力边界；迁移路径。

四、与现有系列的关系

前置背景（可选）：

• 认证架构总览
• 授权架构总览
• API 安全架构

五、争议与草案清单（截至 2026-06）

六、边界

承诺：草案标注状态；threat model 区分已发生案例与理论风险；协议机制配序列图；不编造 IdP 响应。

不承诺：Prompt injection 全文；具体 LLM 对齐；替企业做法务认定。

七、写作进度

系列 index v3，2026-06-18 — 全 10 篇已发布