Kamil Potrec：智能体认证、委托与网关控制

我是 Kamil Potrec，在 Keycard 产品团队工作。这个简短的演讲将概述智能体认证和授权：需要哪些能力、各部分如何配合，以及实际问题从哪里开始。

一张常见架构图把用户连接到智能体，再连接到 MCP 服务器和其他系统。较少有人讨论的是，这些参与者如何认证、授权请求，以及如何确定哪一方应对操作负责。

用户可能向智能体提供个人访问令牌或其他不透明凭证，本地智能体甚至可能跳过这一步。智能体还需要自己的凭证，例如模型提供商的 API 密钥，并通常需要额外凭证调用远程 MCP 工具。

智能体可能直接传递 Alice 的令牌、使用自己的静态密钥或获取动态凭证。但如果 MCP 服务器只能看到 Alice 的身份，就无法判断调用者是智能体、Alice 的命令行客户端，还是其他工具。

MCP 服务器常用来封装现有 API、数据库和外部系统。为了服务多个用户，服务器可能使用服务账户，而不是某一个用户的令牌。这个账户可能成为权限的汇集点，这是服务间通信中早已存在的问题。

智能体增加了一个推理循环。设想用户要求读取发票：智能体拿到一张待处理发票后，可能因为过于热心而决定发送它。这是 Alice 的决定，还是智能体的决定？只能看到 Alice 凭证的服务可能无法判断。

到处散落的凭证还带来其他问题。用户可能把个人令牌复制到不受管理的机器上，绕过企业基础设施的保护。这类凭证可能难以撤销，而智能体获得更多能力时也会积累更多密钥。

服务账户长期以来就是权限过大的集合。过去，组织往往接受这种风险，因为它们依赖开发者安全地发布确定性软件。智能体引入了另一个行为主体，它能在使用这些权限的同时自行作出选择。

我把这比作同事趁电脑没锁屏，发消息承诺请大家吃甜甜圈。我们学会了锁屏；但使用智能体时，我们可能无意间把凭证交给替我们行动的软件。改善这一问题所需的一些技术其实早已存在。

与其要求 Alice 找一个静态令牌，服务可以公开获取访问权限的方法。客户端请求授权后，可以取得限定于特定交互和工具的动态凭证。OAuth 是支持这种模式的一项技术。

我们还需要在签发凭证之前认证智能体。工作负载身份联合、私钥和证书都是可选机制；关键是确定智能体身份。当智能体调用另一个服务时，它可以发现所需授权并取得范围适当的令牌。

除了推理循环，智能体和传统应用都是软件，因此可以复用相似模式。难点在于规模：一个组织可能有数百个 API、不同的授权服务器，以及购买和自建的智能体；其中一些软件无法修改。

智能体之间可能有多次调用。面对数千名用户和各种操作，我们需要表达委托与同意，同时保留归因信息：谁授权了操作，哪个智能体决定执行？

实用系统需要为智能体提供独立于启动用户的身份，甚至可以细分到会话。系统还需要委托规则、限定范围且短期有效的凭证，以及避免让智能体永久访问一切的万能密钥。

现有系统不可能全部重写。联合信任必须跨服务连接身份，自适应代理还可能需要按需交换旧系统凭证。策略规定哪些操作需要人工批准、哪些智能体可以自动行动；审计记录则说明谁授权并促成了请求。

即便只有一次智能体到 MCP 服务器的交互，也有很多步骤：服务器发布授权信息，客户端发现信息并获取凭证，服务器验证签名、签发者和令牌。之后还要执行策略、可能获取下游凭证，并记录操作。

我们曾用共享库、中间件和 SDK 处理类似复杂性：实现一次、审查后重复使用。但 SDK 只有被采用才有用，组织还需要为不同语言提供实现，并面对无法修改的系统。

发现安全漏洞时，团队既要更新 SDK，也要找到所有使用它的服务。智能体还带来一个问题：它可能被操纵，或持续尝试绕过控制。如果凭证留在执行环境中，单靠客户端代码无法将其对智能体隐藏。

一种替代方案是把下游凭证移到智能体环境之外的安全保险库或运行时授权服务中。智能体调用网关，网关认证它、向授权服务检查策略，并取得访问 GitHub 等特定目标所需的凭证。

网关将凭证注入发出的请求。如果智能体无法访问凭证库或绕过网关，它就不必自己持有下游密钥。这在智能体执行环境和受保护服务之间建立了独立控制点。

即使是短期凭证，在过期前仍可使用。逐条检查请求的网关可以在该控制点执行撤销。它还可以细化旧系统中粗粒度的权限：例如允许智能体读取邮件，同时阻止发送邮件的请求。

网关位于网络路径上，因此无需修改每个下游服务也能提高可观测性。但它也有代价：额外一跳增加延迟，而薄弱的网络控制可能让智能体绕过网关。仅仅增加网关也无法覆盖本地工具执行。

网关不能消除身份问题：智能体仍需要凭证向网关认证。因为凭证会通过网关，它也成为高价值攻击目标。TLS 拦截、路由与策略配置、连接器以及网关运维都会增加复杂度。

在 Keycard，我们提供智能体身份、令牌签发与联合、策略与审计、客户端及服务端 SDK，以及可选网关组成的控制平面。团队可以根据自己的应用或编排平台选择所需组件。

最后，我建议将智能体认证视为必要能力，使用开放标准并保持互操作，同时审查安全敏感代码，不要假定大语言模型一定能正确实现它。Keycard 还提供 Agent Baseline 参考实现，供大家探索这些能力。