AI 智能体的身份与权限挑战：Uber 和 Auth0 如何重新思考访问控制 - InfoQ
AI 智能体的身份与权限挑战：Uber 和 Auth0 如何重新思考访问控制 - InfoQ
传统访问控制模型无法直接适用于 AI 智能体——它们既不是人类用户，也不是确定性的后端服务。Uber 和 Auth0 分别从工程实践和框架层面提出了解决方案，核心思路是：为智能体设计独立的权限模型，通过短效令牌、参与者链和逐跳委托来保留原始用户上下文并限定访问范围。
背景：为什么智能体需要独立的身份模型
AI 智能体在执行多步骤任务时，需要调用工具、委托子智能体，并代表用户行动。但现有的访问控制模型是为人类用户（受会话和界面限制）或后端服务（确定性、可审计的静态代码路径）设计的。Auth0 的 Cameron Pavey 指出：“AI 智能体不属于上述任何一类。” 这种错位导致智能体要么过度授权（如使用宽泛的服务账户或 OAuth 范围），要么缺乏必要的上下文来做出精准的授权决策。
Uber：将零信任架构扩展至智能体系统
Uber 最近公开了其内部用于多智能体 AI 工作流中传播智能体身份的系统架构。其设计目标是：在智能体委派任务并调用内部工具时，能够保留原始用户上下文、智能体来源信息以及限定范围的访问权限。核心组件包括：
- 智能体注册表：存储智能体与其被允许托管的工作负载之间的关联关系。
- AI 智能体网格：智能体之间的通信网络。
- 安全令牌服务（Security Token Service）：验证注册表关联关系，为工作流中的每个跳点签发短效 JWT。
- 模型上下文协议（MCP）网关：协调智能体网格对内部系统的访问，执行工具访问检查，并对敏感数据进行脱敏处理。
- AI 网关/AI 守护程序：提供额外的安全边界。
Uber 的智能体身份架构：智能体注册、令牌交换、网关执行与下游系统访问的连接（图片来源：Uber Engineering Blog）
Uber 的关键设计选择是：不依赖单一用户凭证或长期有效的服务账户。每个智能体会利用本地元数据、传入上下文、目标受众以及由 SPIRE 签发的工作负载身份，向安全令牌服务请求新令牌。该机制基于 OAuth 2.0 令牌交换（RFC 8693） 但经过定制，以满足内部审计和性能要求，能够携带智能体身份和来源信息。生成的令牌为单跳、短效令牌，包含特定受众声明，生存时间（TTL）以分钟为单位。
参与者链：多跳场景下的身份传播
Uber 引入“参与者链”来追踪来源信息。以多跳调查为例：一名值班工程师要求一个值班智能体调查问题，该智能体再委派给调查智能体，后者通过 MCP 网关调用内部工具。提交给网关的令牌中包含参与者链，而非仅仅是直接调用者。这使得下游系统在做出授权决策时，可以同时评估原始用户身份和执行操作的智能体身份。
示例：Uber 的多跳调查中，参与者链声明随智能体调用和工具调用逐跳传播（图片来源：Uber Engineering Blog）
Auth0 的生产环境智能体权限模型
Auth0 提出了与 Uber 实现相辅相成的框架，包含三种模式：
- 基于能力的权限：为智能体颁发具体操作能力（如读/写特定数据源），而非宽泛的角色。
- 基于任务的凭证：为每个任务动态生成短期凭证，任务完成后自动废弃。
- 分层执行：将用户级、智能体级和工具级的权限分层管理，确保每一层都独立审计。
其目标是：限制 AI 智能体出错后的影响范围，同时不削弱其自主决策能力。在 Uber 的架构中，类似的控制措施包括逐跳令牌交换、受众范围限定、注册表验证、网关策略检查以及敏感数据脱敏。
Auth0 的智能体权限模型：短效的范围限定令牌从身份提供商流向智能体运行时和工具层（图片来源：Auth0 Blog）
开发体验与性能：默认安全的设计原则
Uber 最初曾考虑在智能体间调用中使用外部智能体，但发现要保留端到端执行上下文需要应用层专门支持。为此，Uber 构建了一个标准的 A2A 客户端，自动完成令牌交换和参与者链传播。Uber 将其定义为“默认安全”的开发体验——将身份传播集成进标准客户端路径，而不是每个智能体团队各自实现。
性能方面，Uber 的生产环境指标显示，安全令牌服务的令牌交换 API 的 P99 延迟始终低于 40 毫秒，打消了“逐跳令牌交换可能为多工具调用工作流带来过多延迟”的担忧。该系统已被数千个内部智能体采用。
Uber 表示，随着工作负载和智能体身份相关标准活动的推进，他们正在关注 IETF WIMSE 工作组 的相关草案，包括《AI 智能体身份验证与授权》。
关键要点
- 智能体需要独立权限模型：不能简单套用人类用户或服务账户的访问控制机制。
- 零信任逐跳授权：每一个智能体跳点都应进行独立的令牌交换和权限验证。
- 参与者链保留完整上下文：让下游系统能同时识别原始用户和当前智能体，支持更精细的授权策略。
- 短效令牌与范围限定：令牌 TTL 以分钟计，且仅包含当前跳点所需的最小权限。
- 网关作为控制点：MCP 网关执行工具访问检查、敏感数据脱敏，是安全边界的核心。
- “默认安全”的开发体验：将身份传播标准化，降低每个团队的安全实现负担。
该模式与 InfoQ 另一篇关于使用 MCP、OPA 和临时运行器构建最小权限智能体网关的文章高度一致。对于架构师而言，核心启示是：智能体系统需要一套能够在整个工作流中保留发起用户上下文、智能体身份以及工具级授权的访问模型，而不是将智能体视为普通客户端或服务。
原文链接：https://www.infoq.com/news/2026/06/ai-agent-identity-uber-auth0/