数据保护公司Veeam产品战略副总裁Rick Vanover：零信任应扩展到AI代理，恢复精确到变更单位

去年下定决心引入的AI工具，今年已经感觉像旧技术。但Veeam Software产品战略副总裁Rick Vanover认为，真正的风险不在模型本身——当AI代理接入企业的数据和基础设施那一刻，模型的问题就变成了数据的问题，最终演变为对整个业务的威胁。

他以韩国流媒体平台Tving的个人信息泄露事件为例：攻击者窃取了'开发者接入密钥'，未经授权访问内部系统，泄露了约3954万个账户的信息。

Vanover指出，AI代理的权限设计如果不当，可能远超任何单个员工完成一项任务所需的范围。代理可以发布内容、部署软件、更新记录、执行工作流——横跨多个系统。人的监督仍然必要，但无法实时管控机器速度的操作。

更棘手的是，现有零信任体系大多围绕人和设备构建。自动化账户、API、被赋予权限的代理在人的视线之外直接操作敏感数据，形成所谓'影子代理'，这些未被企业识别的安全缺口可能持续扩大。

他提出的第一层应对是把数据本身作为首要控制线：分类哪些数据敏感，施加访问策略、掩码、令牌化、加密和数据防泄漏规则，从而限制代理能查询什么、能外发什么、能修改什么。这些控制不能绑定在特定应用上——数据跨越应用、API和基础设施边界移动时，控制必须跟着走。

第二层是恢复策略的转变。Vanover认为，AI代理出错时不能简单回滚整个系统。重大入侵或大面积数据损坏确实需要全量恢复，但对局部错误使用同一方式会把之后正常完成的工作一并抹掉。他提出'变更单位恢复'：追踪AI代理修改的特定配置或交易记录，只将出问题的部分回滚到原始状态。实现这一方式需要细粒度变更日志、系统间依赖关系信息，以及AI代理事后无法修改或删除的保护性恢复点。

任何系统都无法百分之百阻止错误。权限过大、安全网松散、处理速度过快三者叠加时，一个极小的失误可以瞬间膨胀为大型事故。因此安全规划必须从承认'错误随时可能发生'这一坦诚前提开始。

需要说明的是，Vanover的论述是归因于其个人专业判断的架构建议，并非经过独立验证的行业标准或产品测试报告。他未提供变更单位恢复的量化实施成本、具体工具链或已部署案例的故障率对比。