事件经过
2026年10月27日，NIST网络安全洞察发布了其代理身份/认证/授权系列博客的第2篇，提出了面向企业管理代理和面向消费者用例的身份与访问管理（IAM）系统的初步十项设计原则。每项原则均附有实现该原则的含义说明及所缓解的主要风险：具有独立身份/凭证/访问管理生命周期的唯一代理身份；代理链接、委派和权限范围缩减；最小权限和零常驻权限；带有运行时验证的短时、动态、可撤销的即时授权；具有同意疲劳意识的人机协同触发；加密签名的授权指令和约束；以及其他原则（可审计执行、机密卫生等）。
影响分析
这是NIST权威指南，为代理AI的IAM需求提供了框架。它为从业者提供了一个具体参考模型，涵盖加密可验证的代理身份、委派权限缩减、零常驻权限和可撤销的即时授权，并与NIST NCCoE的“软件和代理AI身份与授权”示范项目互补。这是一份设计原则框架而非规范性出版物，因此为NIST代理身份标准计划指明了方向。
建议行动
审查这十项原则，并将其与您的代理IAM架构进行对照；利用它们来塑造代理身份/凭证生命周期、范围化委派和运行时授权决策，并关注NIST NCCoE示范项目的输出。