Zero Trust 之后：动作级信任正在形成

原创

木火纪
木火纪

木火纪

2026年6月26日 14:49
浙江

在小说阅读器读本章

去阅读

引言

Zero Trust 的核心思想是“不信任任何默认访问”，它在传统企业架构中解决了边界消失后的访问控制问题。

但在 AI Agent 与 API 自动化快速普及之后，系统行为结构发生变化：安全风险不再主要来自“谁在访问”，而是来自“系统在被访问之后执行的动作链”。

安全控制的粒度正在下沉，从身份与会话走向更细的执行单元：动作（Action）

Zero Trust 的结构性限制

Zero Trust 的设计建立在一个隐含前提：

系统行为是由“用户请求”驱动的

因此其控制链路是：

• • 身份认证（Identity）
• • 设备信任（Device）
• • 会话授权（Session）
• • 资源访问（Resource）

这个模型成立的原因是：

系统行为是离散的、可控的、以用户为中心的。

但在 AI Agent + API 驱动系统中，这一前提正在失效。

一个请求可能演化为：

• • AI Agent 拆解任务
• • 多个 API 自动执行子步骤
• • 跨系统链式调用完成结果

因此问题发生了变化：

安全风险不再集中在入口，而是分布在执行链路中间

信任单位的迁移

传统 Zero Trust 的信任单位是：

• • 用户
• • 设备
• • 会话（Session）

这些单位的特点是：静态、一次性、边界清晰

但在现代系统中，风险来源变成：

• • API 调用
• • Tool 调用
• • Agent 执行步骤

这些单位的特点是：动态、连续、不可预知组合

因此信任单位发生变化：

从“身份可信”变为：

执行可信（Execution-level Trust）

Action Trust 的技术内核

虽然“Action Trust”不是标准术语，但其对应的技术路径已经收敛为三类能力：

逐动作授权（Per-Action Authorization）

传统模型：

用户登录 → token → 持续使用权限

问题是：权限在整个 session 生命周期内默认有效

在动作级模型中：

每一次 API / tool call 都触发独立授权判断

授权依据不再是“身份”，而是：

• • 当前上下文
• • 请求内容
• • 行为意图
• • 历史行为路径

运行时策略执行（Runtime Policy）

传统 Zero Trust：

策略在访问前判断（静态规则）

动作级模型：

策略在执行瞬间动态计算

例如同一 API：

• • 正常路径 → 允许
• • 异常链路 → 拒绝
• • 高风险上下文 → 二次验证

因此策略从规则系统变成：

动态决策系统

行为链感知（Behavioral Chain Awareness）

这是传统模型最难覆盖的部分。

因为现代攻击往往不是单点行为，而是：

• • 多 API 组合
• • 多工具协同
• • 自动化执行链路

例如：

一个单独 API 请求是合法的，但组合后可能形成：

数据读取 → 处理 → 外传的完整攻击路径

因此系统必须识别：

行为是否构成链式风险，而不是单点是否合规

为什么这是必然演进

当系统具备以下特征时：

• • 行为可自动链式执行
• • AI 可替代决策过程
• • API 成为主要交互方式

传统 Zero Trust 会出现三个盲区：

• • 只控制入口，不控制过程
• • 只判断权限，不理解组合行为
• • 只看单次访问，不看行为路径

因此攻击策略也会变化：

攻击者不再突破身份，而是构造合法动作链

从身份模型到行为模型

旧模型：

谁可以访问系统

新模型：

某个动作是否可以在当前上下文发生

关键变化是：

权限不再属于“人”，而是绑定在“动作执行瞬间”

系统能力要求

围绕动作级信任，系统必须具备三类基础能力：

全链路可观测

必须能够记录：

• • API 调用
• • Tool 调用
• • Agent 执行路径

否则无法还原行为链。

实时决策能力

必须在毫秒级完成：

• • 上下文解析
• • 风险判断
• • allow / deny / step-up 决策

动态控制能力

必须支持：

• • 单动作阻断
• • 链路中断
• • 权限动态收缩

Zero Trust 的下一阶段

Zero Trust 解决的是：

谁可以访问系统

而新问题变成：

访问之后，每一个动作是否可信

因此模型自然演进为：

身份可信 → 会话可信 → 动作可信

结语

Zero Trust 并没有被替代，而是在新的系统结构下被进一步拆解。

当系统从“人驱动”转向“AI + API驱动”之后，安全问题的核心不再是入口控制，而是执行控制。

未来的安全体系，会持续关注一个更细的问题：

每一个正在发生的动作，是否应该被允许执行