Token 发布 TokenCore Card：用指纹智能卡为登录与 AI 智能体操作背书

Token 10 月 19 日在 Authenticate U.S. 2026 上发布 TokenCore Card，展位设在 Omni La Costa Resort & Spa 的 K4。按照官方新闻稿的说法，这是一张面向企业员工的生物识别智能卡，把 FIDO2 无密码认证、本地指纹验证、蓝牙和 NFC 集成进员工原本就会随身携带的卡片里。

Token 将这张卡定位为“每个登录和每个关键 AI 智能体动作”的身份凭证。它覆盖从普通办公人员到特权管理员的全部用户，并可与现有的 IAM、SSO 和 PAM 基础设施并行工作，而不要求企业推倒重来。官方列出的能力包括：开箱即可配合现有 SSO 使用、用户设置少于 5 分钟、无密码登录少于 2 秒，以及支持 Windows、Mac、Linux、iOS 和 Android。

安全逻辑并不复杂：没有录入用户的指纹，卡片就不会完成认证；指纹数据始终留在设备内，离开卡片的是签名结果。Token 首席执行官 Kevin Surace 把这一点概括为，人们携带工作证已经几十年，TokenCore Card 要让这张卡证明“究竟是谁在拿着它”。

更值得 AI 行业注意的是它对智能体流程的介入。TokenCore Card 延续了公司 6 月推出的 AI 智能体审批能力：当智能体工作流走到释放电汇、修改访问权限这类高后果动作时，流程会停下来，直到授权人用自己的卡按下指纹。同一个指纹既用于登录，也用于批准智能体的动作，并可与 AI 智能体网关以及现有的 IAM、SSO、PAM 系统集成。

这套设计针对的是一个正在扩大的缺口：AI 智能体往往仅凭凭证行动，而任何只证明“持有”而不证明“本人在场”的因子，都可能被持有凭证的任何人或任何程序复用。Token 首席营收官 Katy Nelson 称，董事会和审计方现在问的不再是“有没有 MFA”，而是“能不能被钓鱼”以及“谁批准了 AI 智能体的动作”。

当 AI 智能体可以仅凭凭证行动时，Token 试图把关键动作的最后一道闸门交回到本人的指纹上。这个思路与企业界正在强化的“人类在环”要求一致：不是阻止智能体执行，而是在不可逆动作前插入一次可审计的人工确认。

不过，新闻稿中的性能数字均来自厂商自述，包括“无线场景 100% 用户接受度”和“2 秒内完成登录”；价格、正式上市时间和独立安全评估结果都没有披露。卡片能否在企业大规模铺开，最终取决于这些指标能否在真实办公环境中复现，以及它与现有身份系统的集成成本。