Exabeam 调研：安全负责人把 AI Agent 访问权限列为内部风险优先事项

9月16日，安全厂商 Exabeam 通过 Business Wire 发布研究结论：在企业安全负责人眼中，AI Agent 的访问权限已经成为内部人员风险（insider risk）的首要优先事项之一。这是该研究被公开传递的核心判断。

这份研究的重心不在模型能力，而在权限本身。当一个 Agent 被授予账号、凭据以及对业务系统的调用权限之后，它既能替人完成工作，也可能成为绕过传统内部风险控制的一条通道——它看起来像企业内部的一个合法身份。

内部风险体系过去是为“人”设计的：员工账号、离职与转岗流程、最小权限原则、行为审计。Agent 引入的是一类非人类身份——软件可能长期在线、跨系统操作，而且行为由模型动态决定，不一定能事先穷举成规则。

由此，安全团队要回答的问题清单正在变长：谁批准了这个 Agent 的权限？它的权限边界在哪里？当提示词注入或数据投毒把它推向异常行为时，责任与处置流程由谁承担？这些问题在监控、审计与合规三个层面都会立刻显形。

从这份发布释放的信号看，AI Agent 的权限治理正在从技术演示话题，转入安全预算与合规议程。对采购方而言，Agent 能不能被纳入统一身份与访问管理体系，正在变成评估供应商的硬指标之一。

后续看点在于，企业能否在审计场景中清楚回答“是谁、以什么权限、做了什么事”。这个问题的答案，将直接决定智能体从试点项目走向生产环境的速度，也决定 Agent 的安全能力何时从附加项变成入场项。