AI Agent身份正在成为企业智能体的「准入证」。企业过去给员工发工牌、给服务器发证书，现在却让Agent拿着个人API密钥进入财务、代码库和客户系统。问题已经不是Agent会不会犯错，而是错误发生时，企业能否立刻回答：它是谁、代表谁、为何获得这项权限、又把任务委托给了谁。本期黑马雷达拆开身份发现、委托链授权、运行时撤权与审计证据四个关键位置。

一、为什么现在是关键窗口

AI Agent身份正在从一个安全术语，变成企业部署智能体的「准入证」。

反常识之处在于：企业最危险的Agent，往往不是能力最强的那个，而是最普通、最容易被忽略的那个。一个员工用个人API密钥搭出的报表Agent，可能同时读取网盘、调用客户系统、发送邮件；一个开发者为测试而创建的Agent，项目结束后仍保留生产权限；一个主Agent把任务交给子Agent时，授权范围还可能在传递中被放大。模型没有恶意，权限链却可以失控。

企业侧的真实数据已经把问题推到台前。Cloud Security Alliance（CSA）2026年1月对418名IT与安全专业人士的调查显示，82%的受访组织过去一年发现过此前未知的AI Agent，65%经历过至少一次Agent相关安全事件；在发生事件的组织中，61%报告数据暴露、43%报告运营中断、35%报告财务损失。更值得警惕的是，只有21%的组织建立了正式的Agent退役流程，Agent停止工作后，凭证和权限却可能继续存在。（来源：CSA《Autonomous but Not Controlled》，2026年4月21日）

另一份CSA调查显示，40%的组织已经把Agent投入生产，31%仍在试点，但只有21%维护实时Agent清单，只有18%高度相信现有IAM系统能有效管理Agent身份；40%的组织正在提高身份与安全总预算，34%已经单列预算。（来源：CSA《Securing Autonomous AI Agents》，2026年2月4日）

需求、事故和预算在同一季度汇合，供给侧也开始集体响应：Microsoft推出Entra Agent ID，Okta在4月将Okta for AI Agents全面商用，CrowdStrike在6月发布Continuous Identity for AI Agents；Willow、NeuralTrust等早期公司则在数周内连续融资。投黑马的判断是：2026年二、三季度不是「Agent安全概念元年」，而是Agent第一次被企业正式当成独立身份主体的制度化窗口。谁先控制身份目录、委托链和撤权入口，谁就可能成为Agent时代的安全控制面。

二、核心变量/战场定义：Agent不是账号，而是一条会移动的委托链

传统IAM主要解决三件事：确认人是谁、允许他访问什么、在离职时收回权限。机器身份把对象从人扩展到服务器、容器和服务账号，但这些工作负载通常目标稳定、调用路径可预期。Agent不同：它会根据上下文选择工具、临时生成子任务、调用其他Agent，并在执行过程中改变路径。静态账号只能回答「它有什么权限」，却无法回答「它现在为什么要用这项权限」。

可以把Agent想象成一名临时外包经理。企业不能只看他的工牌，还要核验五层关系：第一层，他是否登记在册；第二层，谁是对其负责的人类发起者；第三层，这次任务被授权到什么边界；第四层，他把哪些步骤转交给了哪些子Agent；第五层，任务完成后权限和凭证是否自动失效。任何一层断裂，企业看到的都只是一个合法凭证，而不是一条合法行动。

因此，Agent身份控制面至少由四块组成：发现层负责找出云、SaaS、MCP服务器和自建工作流里的已知与影子Agent；身份层为每个Agent绑定唯一标识、类型模板和人类负责人；授权层根据任务、数据敏感度、调用者、设备风险与委托链实时决定放行、降权或阻断；证据层记录Agent以谁的名义、在什么上下文中、调用了什么工具、造成了什么结果。

Microsoft Entra Agent ID已经把这种差异写进产品结构：Agent拥有独立标识，以Blueprint批量继承规则，并记录Sponsor作为责任人；Agent自身不持有长期凭证，而由Blueprint通过联邦凭证、证书或密钥代为获取令牌。（来源：Microsoft Learn，更新于2026年5月）CrowdStrike则把重点放在运行时，基于调用者、设备风险和委托上下文持续授权，权限按需发放、用完撤销。（来源：CrowdStrike官方公告，2026年6月15日）开放标准SPIFFE提供可验证工作负载身份与跨信任域认证，但尚未原生解决Agent的意图、任务边界和人类责任归属。（来源：SPIFFE/SPIRE官方文档，访问于2026年7月13日）

这说明真正的战场不是「给Agent发一个账号」，而是把身份、意图、权限、委托和证据连接成实时闭环。Agent身份如果只是传统服务账号换了名字，价值有限；如果它能在每次行动前重新判断「谁授权、为何行动、风险多高、是否还能继续委托」，它才可能成为新的控制平面。

三、竞争格局分析：六类玩家争夺同一个控制面

Microsoft Entra Agent ID。 护城河是企业目录、Microsoft 365和Azure的既有分发，以及Blueprint、Sponsor、条件访问、生命周期和审计的一体化。它同时支持OAuth 2.0、MCP与A2A，并允许第三方Agent通过SDK或工作负载联邦接入。隐患是：Agent跨越多个云、身份提供商和SaaS系统时，企业未必愿意让单一生态成为唯一信任根；新产品能否稳定覆盖异构环境，仍需真实部署验证。投黑马判断：Microsoft最可能拿下「默认入口」，但未必拿下「中立控制面」。

Okta。 护城河是独立身份平台定位、成熟企业客户与跨应用集成能力。Okta for AI Agents围绕「Agent在哪里、能连接什么、能做什么」建立目录、短期令牌、连接策略与生命周期管理，2026年6月已进入部分受严格合规约束的环境。（来源：Okta官方公告，2026年6月25日）隐患是：传统IAM的核心资产是人和应用关系，而Agent控制还要理解工具调用、运行时意图与多级委托；如果只停在目录和令牌层，价值可能被云平台或运行时安全厂商分走。判断：Okta最有机会成为跨生态入口，但需要证明自己能从身份管理走到机器速度的实时决策。

CrowdStrike与SGNL。 护城河是终端、云、身份与风险遥测，可以在Agent行动当下把设备状态、调用者风险和横向移动信号纳入授权；SGNL技术让它具备零常驻权限与持续撤权能力。隐患是：它的优势依赖Falcon风险信号与安全运营体系，作为跨平台身份目录的中立性不如独立IAM厂商。判断：CrowdStrike更像「运行时刹车」，而不是完整的Agent户籍系统，但高风险企业可能优先为刹车买单。

Token Security与Opal。 两家公司都从非人类身份和访问图谱切入。Token Security强调持续发现Agent、MCP服务器及其背后的密钥和服务账号，并按用途理解权限；截至2025年底累计融资28,000,000美元。（来源：Token Security年度公告，2026年1月14日）Opal以访问图谱、策略即代码和审计轨迹为底座，截至2026年6月累计融资59,000,000美元，并开始用Agent自动处理访问审查。（来源：Opal官方公告，2026年6月15日）护城河是比传统IAM更细的身份关系图与快速产品迭代；隐患是巨头正在把相似能力打包进现有合同，独立平台必须证明其跨生态数据图谱明显更完整。判断：这类公司的生死线不是功能数量，而是「发现率和权限图精度」。

Willow与NeuralTrust。 Willow 2026年6月完成7,000,000美元种子轮，主打Agent身份、范围化访问、运行时护栏和绑定人类责任人的审计记录，公司称其产品已在Wix覆盖约5,000名周活跃用户。（来源：Willow官方公告，2026年6月4日）NeuralTrust同月完成20,000,000美元种子轮，把Agent网关、红队测试与运行时防护合并。（来源：NeuralTrust官方公告，2026年6月17日）护城河是产品原生为Agent设计，部署和反馈速度快；隐患是客户样本与长期续费尚未经历完整验证，且「身份治理」与「模型安全」同时铺开容易失焦。判断：早期玩家最好的切口不是再做一个大而全平台，而是在委托链、MCP访问或审计证据中的单点做到不可替代。

SPIFFE/SPIRE与开放策略栈。 护城河是厂商中立、可验证工作负载身份、短期证书和跨信任域认证；它们可与OPA类策略引擎组合，为Agent提供不依赖静态API密钥的技术底座。隐患是开放标准解决的是「这段工作负载是谁」，尚不能完整表达「它代表谁、为了什么任务、是否允许转委托、结果由谁负责」。判断：开放栈不会直接吃掉商业机会，反而会把竞争上移到Agent语义、策略编排和证据图谱层。

格局由此分成三条路线：目录厂商争「谁能看见并登记全部Agent」，安全厂商争「谁能在运行时阻断」，初创公司争「谁能读懂Agent的意图与委托关系」。最终赢家很可能不是单点能力最强者，而是能把三者接成闭环、同时保持跨平台中立的玩家。

四、被市场低估的早期机会·4个

机会一：Agent资产发现与身份图谱。 82%的组织曾发现未知Agent，说明第一个付费点不是高级策略，而是「先把它们找出来」。真实需求包括发现自建Agent、浏览器插件、MCP服务器、API密钥、服务账号及其人类负责人；当前方案普遍只能看到某一个云或某一种框架，跨SaaS、跨身份提供商的统一图谱仍稀缺。认知差在于，市场把发现当作附属功能，但谁先建立最完整的Agent—凭证—工具—数据—责任人关系图，谁就占据后续授权和审计入口。追踪信号： CSA后续调查中的实时Agent清单覆盖率能否从21%明显上升；Token Security、Okta等平台公开的第三方Agent与MCP集成数量。

机会二：委托链原生授权。 用户授权主Agent读取日历，不等于主Agent可以把日历交给任意子Agent；这是传统OAuth和RBAC最容易失真的地方。需求真实，因为多Agent系统正在把一次调用变成连续委托；方案稀缺，因为授权凭证通常没有携带完整的发起人、任务目的、子任务边界和有效期。认知差在于，市场更关注Agent编排，却低估「授权上下文能否无损传递」是多Agent进入生产的前提。追踪信号： Okta Agent-to-Agent Connections、Microsoft Agent ID委托模型的企业采用情况；MCP与A2A生态是否形成可互操作的委托声明和短期令牌规范。

机会三：Agent退役与「权限债务」清算。 Agent创建速度远高于人工账号审查速度，而CSA调查中只有21%的组织拥有正式退役流程。需求真实：试点结束、员工离职、模型迁移或工作流废弃后，孤儿Agent仍可能保留密钥与生产访问；当前方案稀缺，因为企业甚至没有统一Agent清单，更谈不上自动识别闲置与级联撤权。认知差在于，这是一门不起眼但容易产生刚性预算的「机器离职管理」。追踪信号： 具名平台是否将Sponsor、到期时间、活动基线和自动撤权变成默认字段；企业Agent退役时间能否从人工季度审查缩短到分钟级事件触发。

机会四：可追责的Agent证据账本。 日志记录一次API调用，不等于证明这次调用为何发生。金融、医疗、代码发布等高风险工作流需要保存发起人、授权依据、模型与工具版本、委托路径、人工审批和最终结果，才能支持事故复盘、客户争议和内部问责。需求真实，现有SIEM日志却分散在模型、网关、身份系统和业务应用中；认知差在于，审计通常被当作合规成本，但在Agent代替人行动后，它会成为交易可信度的一部分。追踪信号： 企业采购是否从「可观测性」升级为「端到端责任链」；OWASP Agentic Applications风险框架中的身份与权限滥用，是否被主流安全产品转化为可验证控制项。

五、关键变量追踪·3个

变量一：Agent是否从「共享凭证」变成独立身份。 信号A——CSA调查中使用静态API密钥、共享服务账号的比例是否持续下降，独立Agent身份与短期令牌比例是否上升。信号B——Microsoft、Okta等平台是否把Sponsor、人类负责人、到期时间和一键撤权设为默认配置，而不是可选高级功能。若Agent仍大量寄生在人类账号和通用服务账号上，这个赛道只是营销升级；独立身份成为默认，市场才真正成立。

变量二：授权能否从静态角色走向实时上下文。 2026年CSA调查中，Agent越界时只有11%的组织会自动阻断，38%仍依赖人工批准，24%只做日志记录；与此同时，79%的受访者认为未来两年上下文感知控制重要或非常重要。信号A——自动阻断比例能否在下一轮调查中显著提高。信号B——CrowdStrike持续身份、Token Security意图策略、Okta连接策略的客户案例，是否公开误报率、阻断延迟和权限收窄幅度。没有这些运营指标，「实时授权」就可能只是演示功能。

变量三：标准能否跨越平台边界。 信号A——OAuth 2.0、SPIFFE、MCP与A2A之间是否形成可验证的身份映射、委托关系与令牌交换，而非每个平台各造一套Agent ID。信号B——第三方Agent能否在Microsoft、Okta、CrowdStrike等控制面之间迁移，同时保留责任人、权限与审计链。标准越统一，身份发行本身越商品化，策略与证据层越值钱；标准越碎片化，集成平台越值钱，但客户部署速度会下降。

三变量联动逻辑： 独立身份（变量一）让企业知道「谁在行动」→实时上下文授权（变量二）决定「此刻能否行动」→跨平台标准（变量三）保证身份与权限不会在委托和迁移中丢失。三者形成飞轮：身份覆盖越完整，策略数据越丰富；策略越准确，企业越敢部署更多Agent；Agent越多，又倒逼标准与目录加速统一。任何一环停在静态账号层，飞轮都会断裂。

投黑马·独家评级

赛道热度：🔥🔥🔥🔥🔥
事故、预算、巨头产品与早期融资在2026年二季度集中汇合

左侧机会：⭐⭐⭐⭐
身份入口已有巨头卡位，但委托链、退役和证据层仍存在明显空白

布局紧迫度：⚡⚡⚡⚡⚡
未来12个月是企业建立默认Agent目录与控制面的关键采购窗口

推荐关注层次：
身份发现与图谱　＞　委托链授权　＞　责任证据与意图安全

七、分层布局建议 + 风险披露 + 结语

第一层·低风险长周期（基础设施层）：Agent发现、目录与连接器。 投资逻辑：企业无法治理看不见的Agent，跨云、SaaS、MCP和身份系统的发现能力是所有策略的前提，也最容易嵌入既有安全预算。选股标准：拥有无代理发现能力、覆盖主流云和SaaS、能够把Agent映射到真实凭证与人类负责人的公司；重点验证发现率、集成上线速度和图谱准确率，而非宣传中的Agent数量。时间窗口：2026年三季度至2027年上半年，企业从试点转向统一清查的阶段。

第二层·中风险中周期（控制层）：实时授权与委托链策略。 投资逻辑：静态RBAC无法处理机器速度的多Agent委托，按任务风险发放短期权限、在上下文变化时撤权，是生产级Agent的核心闸门。选股标准：能够兼容多个身份提供商和Agent框架，有明确的权限收窄、阻断延迟与误报数据，并能保存发起人到子Agent完整委托链。时间窗口：2026年四季度至2027年全年，等待头部企业公开规模化案例。

第三层·高风险短周期（非共识层）：意图识别、责任证据与Agent信誉。 投资逻辑：当Agent开始跨组织交易和协作，企业需要判断的不只是身份真伪，还包括行动是否符合声明目的、历史行为是否可信、事故责任如何还原。选股标准：不是再做一个通用日志平台，而是能将身份、授权、模型、工具调用和业务结果形成可验证责任链，并在特定高风险行业获得真实客户。时间窗口：2027年前后标准与责任边界开始稳定后，弹性最大，但当前应以小规模验证为主。

风险披露：

• 风险一·巨头打包（高概率，影响第一、二层）： Microsoft、Okta、CrowdStrike等可以把Agent身份功能并入现有合同，压缩独立公司的客单价与获客空间。若初创公司不能提供跨生态中立性或显著更高的发现精度，赛道会迅速被平台吸收。
• 风险二·企业部署慢于融资热度（中概率，影响全部三层）： 大量Agent仍停留在试点和低风险任务，企业可能先依靠人工审批与现有IAM凑合，独立预算形成速度低于创业公司融资节奏。
• 风险三·实时策略误报（中高概率，影响第二层）： Agent行动具有不确定性，过严策略会频繁阻断正常业务，过松策略又失去价值。若厂商无法证明低误报和低延迟，控制面将退化为只记录不阻断的仪表盘。
• 风险四·标准碎片化（中概率，影响第二、三层）： MCP、A2A、云平台和身份提供商若长期维持不同的身份与委托模型，集成成本会吞噬毛利；反过来，若标准快速统一，单纯身份发行和协议适配又会被商品化。

结语： 企业不会因为Agent更聪明，就自动给它更多权力；恰恰相反，Agent越能自主行动，身份与权限越需要被拆得更细。下一代控制面不是给机器发一张永久工牌，而是为每次任务签发一张会过期、可追溯、不能随意转借的临时通行证。谁能把未知Agent找出来，把委托链说清楚，并在风险变化时立即撤权，谁才握住Agent规模化落地的真正闸门。

投黑马·信号解读

AI Agent身份的价值，不在于多造一种账号，而在于把「人授权机器行动」这件事变得可验证。今天企业缺的不是更多Agent，而是敢让Agent进入核心系统的信任基础。

左侧机会也因此不在最显眼的登录入口。身份目录会被巨头快速覆盖，真正尚未定型的是多级委托中的权限传递、Agent停止工作后的自动退役，以及事故发生后能够还原责任的证据链。

接下来12个月，请盯住三个信号：实时Agent清单覆盖率能否越过21%、越界行动自动阻断率能否从11%明显抬升、不同平台能否保留同一条Sponsor与委托链。三项同时改善，才意味着Agent身份从安全概念进入基础设施采购。

── 投黑马研究团队