组织必须迅速调整应用安全策略，以应对人工智能驱动的新型威胁，包括更复杂的机器人流量、更具欺骗性的网络钓鱼攻击，以及合法AI代理代表用户访问账户的现象。企业需主动采取措施，领先于AI发展步伐以保护数字资产。以下是后AI时代应用安全策略的三大关键行动：
防范逆向工程
在客户端暴露AI功能的应用面临被逆向工程以窃取资源或发送垃圾信息的风险。例如GitHub项目GPT4Free通过逆向工程网站获取免费AI计算资源，短期内积累了大量关注。
标准反机器人手段（如验证码、速率限制、JA3指纹识别）难以抵御针对AI端点的复杂攻击。组织应投资高级欺诈与机器人缓解工具，采用自定义验证码、防篡改JavaScript及设备指纹识别等更精密的技术。
防范更具欺骗性的网络钓鱼攻击
Darktrace数据显示，2023年第一季度网络钓鱼邮件语言复杂性增加近20%；37%的组织遭遇深度伪造语音欺诈，29%遭遇深度伪造视频钓鱼。
应对此类账户接管攻击，最佳方式是部署具备抗钓鱼功能的多因素认证（MFA）。WebAuthn等抗钓鱼方法不会被意外转发给攻击者，且支持基于设备的生物特征识别（如TouchID、FaceID）和外部硬件密钥（如Yubikey）双重验证。若暂未采用先进MFA，应部署细粒度机器人检测层作为防御补充。此外，Google已为Gmail推出通行密钥（passkeys），可进一步提升安全性并改善用户体验。
模拟新的用户权限和访问控制场景
AutoGPT等自主AI代理的出现，使客户身份管理和基于角色的访问控制（RBAC）面临新挑战。这些代理可浏览网页并代表用户执行任务，企业需精确区分人类与机器人流量，管理用户导向型机器人的交互行为。
尽管AI代理能简化繁琐任务，但其自主性也带来风险：可能误删信息、订阅高价服务或泄露敏感数据。公司需调整权限模型，建立细粒度RBAC机制，在容纳善意机器人的同时阻止有害操作，确保AI在未监督情况下不会损害用户或应用利益。
人工智能要求更高的审慎性
人工智能在提升效率的同时也带来重大安全风险。企业需采用更复杂的安全技术防范逆向工程和钓鱼攻击，并加强访问控制。
人类在应用安全中仍具关键作用。针对AI代理发起的特定操作，可能需要“人在回路”的MFA验证或限制部分权限。核心在于平衡便利性与安全性，确保技术应用既高效又可控。