一句话看懂：TechRadar 刊文指出，在智能体 AI 加速渗透的背景下，CISO 和 CIO 不应被“AI 安全”概念带偏，而应回头夯实身份与权限管理这一基本盘。今年 Hugging Face 泄露事件就是一个被过度授权、无人监控的非人类身份被攻破的案例。
事件核心：发生了什么
文章作者、Saviynt 战略高级副总裁 Henrique Bernardes Teixeira 提出，多数 AI 厂商宣称最新模型强大到能逃出沙箱、入侵企业，但这不应让安全负责人放弃对身份、凭证和权限的严格核查。现实是，即使在成熟企业，近期泄露事件仍反复利用本不该存在的访问权限。文章援引 Verizon 2026 年数据泄露调查报告称，漏洞利用在 19 年来首次超过被盗凭证，成为首要初始访问途径，但凭证仍在后续提权和横向移动中发挥作用。今年 Hugging Face 泄露事件中，一个权限过高、缺乏监控的非人类身份在被攻破后，直接获得跨两个环境的集群管理员权限。
为什么重要
这给 AI 安全讨论提供了一个更可操作的视角：把问题简化为“AI 安全”容易停留在概念层面，落到“身份”才对应具体控制点。智能体 AI 提高了操作速度，也制造了大量非人类身份（NHI），而入职快、外包多、人员流动大的企业本就容易出现权限未回收、过度授权和身份归属不清。作者还提醒，“AI washing”即夸大 AI 在产品或战略中作用的做法真实存在，安全负责人需要把炒作和可验证的风险分开。目前公开信息显示，文章并未提供具体产品或服务发布信息，更多是行业观点。
对用户/开发者/创作者的影响
对开发者和企业 IT 团队来说，这意味着接入 AI 智能体、API 和自动化工具时，应优先设计最小权限、定期复审和离职/项目结束后的权限回收流程，而不是只关注模型能力。对使用开源模型或搭建 AI 应用的小团队，非人类账号、服务密钥和临时访问权限同样需要纳入管理。对创作者和普通用户，影响相对间接，但平台侧若身份治理不到位，账户和内容资产面临的风险并不会因“AI”标签而降低。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是企业是否将非人类身份管理明确归口到 CIO、CISO 或风险负责人；二是智能体产品是否默认收紧权限并提供更细粒度的审计能力；三是“AI 安全”叙事能否更多转化为身份治理、权限回收等可核查的采购指标。
来源：TechRadar
