AI Agents 的 Zero Trust

資料來源#

• OpenID Foundation advances authorization for the agent era with new AuthZEN Working Group Drafts
• Zero Trust for AI Agents

摘要#

Anthropic 於 2026 年 5 月發布的企業部署自主 agents 安全框架（eBook）。它將既有的 Zero Trust 原則——不信任任何事物、驗證一切、假設入侵已經發生——應用於 agentic systems；既有的周邊防禦與以人類身分為基礎的安全模型，原本並非為這些系統設計。框架的核心主張是：agents 面對獨特的威脅環境，而且 「跳過一項 capability，攻擊者就會利用這個缺口。」 框架以三層 capability maturity model（Foundation／Enterprise／Advanced）加上八階段實作流程呈現，始終被定位為對 AI-Accelerated Offense 的回應。

這是一個 hub 頁面：以下安全概念群組（Least Agency、Blast Radius (Agentic)、Agentic Prompt Injection、Agent Data Injection (ADI)、MCP Tool Poisoning、Agent Supply Chain Risk、Memory and Context Poisoning、Agent Identity and Authentication、Impossible, Not Tedious (Design Test)、Autonomous Defense）都將其作為共同參照點。

三項 Zero Trust 原則#

Zero Trust 源自 Stephen Paul Marsh 1994 年的博士論文；在周邊防禦遭突破後逐漸受到重視，並由 NIST SP 800-207（2020）及 NSA 的 Zero Trust Implementation Guides (ZIGs)（2026）加以編纂。三項原則如下：

1. 永不信任，始終驗證——每個存取請求都必須經過驗證與授權，不論來源為何。內部請求也要接受與外部請求相同的審查。
2. 假設已遭入侵——以已遭入侵為前提設計；限制損害，而不只是阻止入侵。依身分分段隔離，使單一入侵不會授予對其他資源的存取權。（這是 Blast Radius (Agentic) 的 containment posture。）
3. 最小權限——只授予特定任務所需的最低限度存取權。OWASP 的 Least Agency 將其延伸至 agents（限制的不只是 agent 能存取「什麼」，也包括每項工具能做「什麼」、頻率為何，以及位置在哪裡）。

為什麼 agents 會破壞既有安全模型#

Agentic systems 與傳統軟體有幾項差異，因而造成新的暴露面：

• 自主多步驟執行——agents 不必在每一步都取得人類核准，因此遭操控的 agent 能以機器速度造成傷害。
• 工具存取（APIs、資料庫、檔案系統、MCP）——遭入侵的工具堆疊能啟用資料竊取、程式碼執行與破壞。
• 指令詮釋——攻擊者可以利用模糊性（Agentic Prompt Injection）。
• Context 持久化——跨 session 的記憶帶來新的資料保護需求（Memory and Context Poisoning）。
• 多 agent 協調——隱含的信任關係讓攻擊者能入侵一個 agent 後橫向移動。

為 human 使用者建立的傳統身分系統，很難容納通常以提升權限或共用 service accounts 執行的 agents——這種不匹配促成了 Agent Identity and Authentication。

三層 capability 模型#

框架中的每項 control 都按照三個 tier 規範。每個 tier 都建立在前一層之上（提升代表強化，不是取代）：

• Foundation——較小規模／初始部署的最低可行安全性。關鍵在於，框架主張 AI-accelerated offense 已提高 Foundation floor：只增加摩擦的控制（輪換長效 API keys、SMS MFA、rate limits）已不再符合要求。短效 tokens、以密碼學為根的身分、以身分為基礎的隔離，以及自動化 first-pass triage，如今都是入場要求。
• Enterprise——大規模組織的標準實務；針對多部署的複雜性，以及每次入侵可能造成的重大商業影響，增加更深層的控制。
• Advanced——對多數組織而言是理想目標；對高風險／嚴格受監管的部署（國家安全、受監管金融／醫療）則是基準。包括硬體支援的身分、confidential computing、持續授權、以 ML 為基礎的異常偵測。

明確的預測是：「隨著這個領域演進，預期 Advanced tier 會成為 Enterprise 標準，而 Enterprise 會成為 Foundation。」 Tiers 是路線圖，不是終點線。

八個控制領域（Part III）#

Tier 表格涵蓋八個 capability 領域，每個都是 agents 的 Zero Trust control surface：

1. Agent identity & authentication——參見 Agent Identity and Authentication（cryptographic IDs → X.509 → hardware attestation；short-lived tokens → mTLS → hardware-bound credentials）。
2. Access control & privilege management——RBAC+deny-by-default → ABAC → continuous authorization；static roles → dynamic scoping → JIT/JEA；identity-based isolation → sandboxing → hardware isolation。這是 Least Agency 與 Blast Radius (Agentic) 的 enforcement layer。
3. Observability & auditing——action logging、immutable audit trails、traceability/provenance chains。先衡量 dwell time 與 coverage。
4. Behavioral monitoring & response——baselines → anomaly detection → automated response。規則：將事件周邊的簿記工作自動化，而不是將決策自動化。
5. Input validation & output controls——input sanitization（schemas、spotlighting、constitutional classifiers）與 output filtering；防禦 Agentic Prompt Injection。
6. Integrity & recovery——version-controlled／signed／immutable configs；rollback → automated rollback → self-healing。反直覺的基礎設施反應：啟用 auto-updates，因為人工核准延遲如今已成為更大的風險。
7. AI governance policies——acceptable-use + incident response、governance committee、automated policy enforcement；處理 Shadow AI。

八階段實作流程（Part IV–V）#

1. 確認需求——在建置前對齊 security／legal／compliance／business。
2. 管理 supply chain risks——AI-BOM、OpenSSF Scorecard、dependency audits、AI vendoring（Agent Supply Chain Risk）。
3. 定義 agent 邊界——唯一身分、核准／禁止的 actions、escalation triggers、scope limits，以及使用 Impossible, Not Tedious (Design Test) 進行有意識的 Blast Radius (Agentic) 評估。
4. 防禦 prompt injection——input isolation、constitutional classifiers、限制 attack surface（Agentic Prompt Injection）。
5. 保護工具存取——tool allow-listing、capability restrictions、parameter validation、sandboxing、approval escalation。
6. 保護 agent credentials——short-lived／hardware-bound／per-agent credentials、JIT、ABAC（Agent Identity and Authentication）。
7. 保護 agent memory——memory isolation、integrity validation、retention policies（Memory and Context Poisoning）。
8. 衡量真正重要的事——dwell time、coverage、explainability、behavioral conformance、detection speed。

Part V 將其延伸至 Autonomous Defense——以足夠匹配 AI-accelerated adversaries 的速度執行 security operations。

法規對齊#

Zero Trust 與 HIPAA、FINRA、GDPR、FedRAMP 及 EU AI Act 相符；US 要求所有聯邦機構在 2027 年前採用 Zero Trust，並已有 US（CISA／NSA／NIST）、UK（NCSC）與 Australia（Home Affairs）發布的指引。Anthropic 表示，它是最早取得 ISO 42001（responsible-AI）認證的 AI 公司之一。

相關連結#

• AI-Accelerated Offense——「為什麼是現在」：壓縮的 exploit timelines 是框架明示的動機；Foundation floor 正是因應此事而提高
• Least Agency——OWASP 對 least privilege 的延伸；框架針對 agents 的 authorization principle
• Blast Radius (Agentic)——「assume breach」原則要控制的單位
• Agent Identity and Authentication——control domain 1；其他每項 control 的基礎
• Agent Identity Management System (AIMS)——IETF AIMS proposal 是這個 vendor framework 身分／auth control 的 standards-track、multi-vendor counterpart：它在本 eBook 規範 tiered maturity model 的地方，composes existing standards（WIMSE/SPIFFE + OAuth token exchange），並且有所不同：它將 hardware attestation 視為 optional，而非 Advanced-tier target（兩個頁面都有比較）；同一頁也收錄 OpenID AuthZEN drafts——COAZ（standards-track、每次 MCP tool call 的 authorization，即 Phase-5「secure tool access」決策）與 AARP（人機協作 escalation 的 Phases 3/5 所稱的 prerequisite／approval「not yet」步驟）——這是 authorization slice standardization，提出的 Working Group Drafts 權重低於以實證為基礎的 per-call-authz systems
• Agentic Prompt Injection——Phase 4 與 input-validation domain 所防禦的威脅
• Agent Data Injection (ADI)——一項 Phase-4 威脅，框架的 input-validation controls 無法涵蓋：它偽造其他 controls 所依賴的trusted anchors（origin metadata、tool history），而且在 Claude Code reference implementation 上具備可運作的 RCE
• Out-of-Band Prompt-Injection Defense——Phase 4 與框架 reference-monitor + least-privilege doctrine 的 academic-systems instantiation（CaMeL/FIDES/Progent/RTBAS/FORGE），以及該類別的首次獨立 adaptive evaluation
• Capability Gating Is Not Authorization——Phase 5「secure tool access」（parameter validation、approval escalation） 的具體 instantiation：一項 audit finding 顯示 LangChain/LlamaIndex/Stripe 提供 capability gating，卻將complete mediation 留給 integrator；此外還有 ScopeGate，一個 deterministic per-call value-authorization gate，用來補上這個缺口
• Off-Host, Identity-Bound Authorization——將 Phase 4 + Phase 5 推至「assume breach」極限：aiAuthZ（Kodathala、arXiv 2607.05518）將 trust boundary 畫在 agent 外部，使 off-host gateway 成為敏感工具唯一的 verified path，並逐訊息驗證 human sender，因此遭入侵的 agent 無法透過 tool-call text 偽造 authority——這是 ScopeGate in-framework value gate 的 identity-bound、off-host counterpart（single-author preprint）
• Agent Supply Chain Risk——Phase 2 所管理的威脅
• Memory and Context Poisoning——Phase 7 所防護的威脅
• Impossible, Not Tedious (Design Test)——套用於每項 control 的持續設計審查問題
• Autonomous Defense——Part V；以 autonomous threats 的速度進行防禦性 operations
• MCP and Computer Use——MCP 是明列的高風險工具 surface（tool poisoning、run-your-own-server）
• MCP Tool Poisoning——以兩種方式具體呈現框架的 tool-poisoning threat（Phase 4 input validation + Phase 5 secure tool access）：empirical ShareLock 在moderate vetting 下達到 >90% ASR（description-based scanning 已被證明不足），以及 case-study Agentjacking（Tenet Security）這個真實世界案例——一個在野外的 lethal-trifecta instance（攝取不受信任的 telemetry + 存在有效的 AWS/GitHub creds + 可連出的 egress），其中一個合法的 Sentry MCP server 轉送攻擊者注入的資料，因 server 從未遭入侵而擊敗 Phase-2 server-vetting。兩者都將 enforcement 推向 action／authorization layer（Agentjacking 的規模數字為 vendor-reported，權重低於 ShareLock）
• Claude Code Best Practices——Claude Code 的 deny-by-default permissions、sandboxing、managed settings 在全文多處被引用為符合 Zero Trust 的 reference implementation
• Anthropic——框架發布者
• OWASP——agentic threat taxonomy 與「least agency」一詞的來源
• Agentic Misalignment (AM)——彼此獨立但相鄰：Zero Trust 處理外部誘發的 agent harm；agentic misalignment 是自我動機的 harm。兩者都需要相同的 blast-radius containment

待解決的問題#

• 框架將每個 Claude Code「Pro-tip」都視為 reference implementation。框架有多少是 vendor-neutral，又有多少其實默認 Anthropic stack？
• 「Foundation floor raised」暗示基準線正在移動。Tier ladder 實際移動得多快，又由誰仲裁（NIST／NSA cadence 對 model-capability cadence）？
• 框架明確表示它不是 legal／compliance assurance。自行聲明的 Zero Trust maturity 要如何與可稽核的 regulatory requirement 接軌？

資料來源#

• Zero Trust for AI Agents — Anthropic eBook、Zero Trust for AI Agents: A security framework for deploying autonomous AI agents in the enterprise（2026-05-18）
• OpenID Foundation advances authorization for the agent era with new AuthZEN Working Group Drafts — OpenID Foundation、…advances authorization for the agent era with new AuthZEN Working Group Drafts，2026 年 6 月 15 日，practitioner-opinion（提出的 Working Group Drafts，權重低於以實證為基礎的 per-call-authz systems）。Phase 5「secure tool access」（COAZ——每次 MCP tool call 的 authorization）及 Phase 3/5 human-in-the-loop escalation（AARP——將 CIBA 一般化的 prerequisite／approval pattern）的 standards-track instantiation