智能体AI时代的身份管理：OpenID基金会白皮书解读

当AI开始自主行动，身份该如何定义？

OpenID基金会发布了一份聚焦智能体AI（Agentic AI）身份管理的白皮书，把一个长期被忽视的问题推到台前：当AI不再只是被动响应指令，而是能够自主规划、调用工具、代表用户执行任务时，传统的身份与访问管理（IAM）体系是否还够用？

答案显然是否定的。过去的身份管理围绕两类主体设计——人类用户和服务账户。前者通过密码、多因素认证等方式登录，后者通过API密钥或服务令牌进行机器间通信。但智能体AI既不完全是人，也不是简单的服务进程：它会代表某个用户发起操作，拥有一定程度的决策自主权，还可能在多个系统之间串联调用。这种"代理身份"的模糊性，正是白皮书试图厘清的核心。

为什么智能体AI带来全新的身份挑战

传统IAM的核心假设是：操作主体的意图是明确且可追溯的。用户点击登录，系统知道是谁；服务调用API，系统知道是哪个服务。但智能体AI打破了这一链条。

委托与授权的边界模糊

当用户授权一个AI智能体"帮我管理日程并预订会议室"时，这个智能体在执行过程中可能需要访问日历、邮件、会议室预订系统等多个资源。问题随之而来：智能体应该继承用户的全部权限，还是只获得完成特定任务的最小权限？如果智能体在执行中又调用了另一个智能体，授权链该如何传递和收敛？

这正是OAuth中"委托授权"概念需要扩展的地方。白皮书强调，智能体的权限应当基于任务上下文动态收敛，而非一次性继承用户的完整权限，否则一旦智能体被劫持或行为失控，攻击面将被无限放大。

OAuth（开放授权）协议最初设计用于解决"第三方应用代表用户访问资源"的问题，例如允许某个应用读取你的Google日历。其核心机制是用户向授权服务器授权，换取一个访问令牌（Access Token），第三方凭此令牌在规定范围内访问资源，而无需获知用户的真实密码。然而OAuth的设计前提是授权关系相对静态且扁平：用户→第三方应用→资源服务器。智能体AI打破了这一假设，因为它可能涉及多层嵌套委托（用户→主智能体→子智能体→工具API），且每层的权限边界、生命周期和审计需求各不相同。现有的OAuth扩展草案（如RFC 8693 Token Exchange）提供了一定的令牌交换能力，但尚不足以原生表达复杂的多级委托语义，这也是白皮书要求进一步扩展协议的背景所在。

可追溯性与问责

当一个自主智能体完成了一系列操作，系统日志里记录的究竟是"用户做的"还是"AI做的"？这不仅是技术问题，更涉及法律责任的归属。白皮书指出，身份体系必须能够区分"人类主体授权"与"智能体实际执行"这两层信息，使每一次操作都可追溯到具体的委托链条。

OpenID基金会的核心主张

白皮书并未推翻现有标准，而是主张在OAuth 2.0、OpenID Connect等成熟协议基础上进行扩展，以适配智能体场景。几个关键方向值得关注。

为智能体引入独立身份

智能体应当拥有自己可验证的身份标识，而不是简单复用用户凭证。这样既能明确"是哪个智能体在行动"，也便于对特定智能体施加策略约束、速率限制和权限边界。

细粒度、短生命周期的令牌

考虑到智能体行为的自主性和潜在风险，白皮书倾向于使用作用域极窄、有效期极短的访问令牌。令牌应绑定具体任务上下文，任务完成即失效，从而降低凭证泄露带来的持续性风险。

访问令牌的"作用域"（Scope）是OAuth体系中控制权限粒度的核心机制，开发者通过声明不同的Scope来限定令牌能访问哪些资源、执行哪些操作。然而在实践中，许多系统出于便利倾向于申请过宽的Scope，导致令牌一旦泄露便拥有超出实际需要的能力。对智能体AI而言，这一问题被进一步放大——智能体可能长时间持有令牌、跨越多个子任务使用，攻击者若能劫持令牌，便可在用户毫不知情的情况下持续操控资源。"最小权限原则"（Principle of Least Privilege）要求系统仅授予完成特定任务所必需的最低权限，结合短暂有效期（如分钟级）和任务完成即撤销的机制，可以将单次令牌泄露的潜在危害压缩到最小窗口。

委托链的可验证表达

从人类用户到一级智能体，再到被调用的下级智能体，整条授权委托链需要以可密码学验证的方式表达。这意味着每一级都能证明自己的权限来源是合法的上游授权，而非凭空获得。

密码学可验证性在身份体系中通常通过数字签名实现：授权方用私钥对授权声明签名，下游系统用对应公钥验证签名的真实性，从而证明该声明确实来自合法的上游，而非被伪造或篡改。在Web身份领域，JWT（JSON Web Token）是承载此类签名声明的常见格式，OpenID Connect即以JWT为核心传递用户身份信息。将这一机制扩展到智能体委托链，意味着每一级智能体都需携带可验证的"授权来源证明"，资源服务器在响应请求前可以逐层校验整条委托链的合法性。这在技术上可行，但也带来了令牌体积增大、验证复杂度上升等工程挑战，相关标准的细节仍在讨论中。

这份白皮书意味着什么

随着越来越多的产品把"AI智能体"作为卖点，安全和身份问题正从理论讨论走向工程实践。OpenID基金会作为OAuth、OpenID Connect等关键标准的维护者，介入这一领域具有标志性意义——它预示着智能体身份管理很可能会沿着现有Web身份标准的演进路径发展，而非另起炉灶。

对于企业和开发者而言，提前理解这些原则有现实价值。如果你的系统即将引入自主AI能力，现在就应该思考：如何给智能体分配独立身份？如何在授权链中实施最小权限？如何保证每一次自主操作都可审计？这些问题的答案，将决定智能体AI能否在企业环境中被真正信任。

需要说明的是，这份文档目前仍处于相对早期的阶段，社区讨论热度有限（HackerNews上仅有少量评论）。标准的成熟、工具链的完善以及主流厂商的采纳，都还需要时间。但方向已经明确：智能体AI的大规模落地，离不开一套专门为其设计的身份信任基础设施。