「“帮我查一下我上个月的工资。”」
员工在统一门户里对 HR 智能体说完这句话，智能体便要去调取薪酬系统的接口。问题随之而来：它凭什么证明，此刻是“他本人”在授权它代办？
如果它手里的令牌，代表的是该员工的全部系统权限，那么链路上任何一个环节被劫持，泄露的都不会只是一个人的工资。
智能体能自己调接口、自己跑任务之后，新问题就来了：每一次调用，到底是谁在授权？我们与一家制造集团的合作，就是围绕这个问题展开的。
员工每天和智能体打交道，业务也一天天压到它身上。到这一步，“身份”就不只是 IT 细节了，它决定这件事敢不敢交给它。
PART 01
智能体开始“替人办事”，三道坎随之而来
身份透传断链，审计出现断层。在不少企业，一次智能体调用要跨智能体平台、MCP、业务系统好几层，各系统各自鉴权，有的甚至没有鉴权。事后要追“哪个真实用户、经由哪个智能体、做了什么”，往往追不出来。
全局主令牌，等于一把万能钥匙。不少企业里，工作流与连接器为了方便，往往持有代表用户全局身份的高权限令牌：没有任务边界，没有短时效，一旦中间链路被劫持，就是全面失守。
新旧协议不兼容，鉴权各自为政。智能体平台多是第三方成熟产品，未必按企业既有身份体系（OIDC、SAML 这类标准协议）完成原生对接；老系统又只认自家令牌。结果往往是：有能力的自建一套，一时顾不上的先搁置鉴权。
共同点在于：身份在链路上“掉”了。人登录的那一刻是可信的，智能体代为执行的时候，就不一定了。
PART 02
架构设计：把收口点放在 AI 网关
智能体访问 MCP 与业务系统，调用本来就要经过 AI 网关。收口点放在这里最自然：它是所有请求的必经之处，在这里做认证，比逐个改造业务系统现实得多。
落地方式是在网关里加一个认证授权插件：业务系统无需改造，一次建设、全局复用。网关与统一身份平台之间只做三件事。上面三道坎，连同“敏感操作没人把关”这道暗坎，都在这三件事里解决：
签发 Agent Token
用“用户标识 + 智能体标识”换发内嵌双重身份的令牌，随调用链逐跳传递，把断掉的身份链接上；
鉴权与敏感判定
判断这次调用是否放行、是否需要本人确认，越权在这一步收住
换取下游凭证
为下游换出任务专用、短时效的访问凭证。万能钥匙，就此换成一次任务一把钥匙。
对应两段链路：智能体 → 网关 → MCP，换出 MCP 凭证；MCP 或智能体 → 网关 → 业务 API，换出以用户身份访问的凭证。两条链路上换出的凭证，都由网关持有并发往下游。
令牌交换依据 OAuth 2.0 Token Exchange（RFC 8693）实现，委托链随令牌逐跳传递。全程还有一条硬约束：用户令牌只在“网关 ↔ 身份平台 ↔ 业务系统”之间流转，永不回传给上游智能体。
PART 03
四个绕不开的设计决策
1、不要相信请求头里的明文用户 ID
一种看似最省事的做法是：网关直接从请求头取一个用户 ID，就用它代表“用户”去鉴权。这串 ID 没有签名、没有时效、没有凭证背书——能改请求头的人，就能冒充别人。
更麻烦的是第二层：第三方平台里的用户标识，并不等于企业里的那个“人”。这层映射本该由统一身份平台维护，网关自行解析，等于另造了一套无人管控的身份对应。正确做法是把它交给统一身份平台校验，换发一张可验签、带时效、可吊销的令牌。
2、一张令牌里，装两个身份
Agent Token 里同时写着“谁在操作”和“谁在代办”；每跨一层应用，就换发一张新凭证，把这一跳记进委托链。出事时能回答：某个人，通过某个智能体，访问了某个资源。只有一个用户 ID 的令牌，回答不了。
3、把“万能钥匙”换成“任务专用凭证”
令牌交换改变的就两点：权限收缩、短时效。换出的下游凭证只覆盖本次任务所需的资源，有效期从数天缩短到几分钟。同样是泄露，影响面从“该用户的全部权限”收敛到“这一次任务的范围”。
4、敏感操作，必须本人当场确认
权限校验除了回答“能不能访问”，还要回答“这次操作敏不敏感”。命中敏感资源时，系统不会直接放行，而是向用户终端推一张授权卡片，由本人确认后才继续——查自己的工资可以，查别人的不行。
两种模式并存，由身份平台在发起授权时返回的模式标识决定：平台能直达用户终端的，直接向用户推送授权卡片，网关等候确认结果；返回授权链接的，由调用方把链接呈现给用户，引导本人点击确认。
PART 04
本期建设内容与后续演进
本期建什么、盯住什么，按六个环节列成一张表：
本期先建认证管道：凭证转换、显式委派与权限降级、敏感操作确认、全链路审计。先把“每一次调用都能被验证、被约束、被记录”做实，再谈精细化；用户 × 智能体 × 资源的三维授权、数据脱敏与机器身份无密钥化，属于后续演进。
PART 05
从“能调用”到“可追责”
这个项目的思路，说穿了就两条：改不动的平台不硬改，把收口放在所有调用必经的位置；权限不求一次管到最细，先让每一次调用都带上身份。
AI 的安全边界，靠提示词约束不出来。要看的是三件事：调用之前，身份验得了；调用之中，权限收得住；调用之后，记录查得到。
智能体好上，规矩难立
做智能体项目，难的往往不是协议，是规矩：谁可以授权智能体做什么，做到什么程度需要本人点头，出了问题谁来负责。这些答案写在企业的管理制度里，不在技术文档里。
所以我们更愿意先和您的 IT、安全与业务团队坐下来，把这几条边界过一遍，再谈方案。如果您也在推进智能体落地，欢迎联系我们，聊聊【AI 智能体身份治理】这件事。
