公司开始让 AI 智能体自己去调用内部系统、读写数据了，可它们到底用谁的身份、能碰哪些数据？这是不少企业安全团队眼下最头疼的事。简单讲，谷歌云最近给出了一套答案：给每个智能体独立身份，用网络边界限制访问范围，再靠 Wiz 和 CodeMender 把代码漏洞揪出来并补上。
这些更新是在谷歌云安全峰会上公布的，官方也发了博客文章。谷歌的出发点是：自主运行的系统访问企业应用和数据时，风险和传统账号不太一样。
先看结论：这次更新管了哪几块
| 方面 | 主要能力 | 状态 |
|---|---|---|
| 身份认证 | Auth Manager、Agent Identity（基于 SPIFFE） | Auth Manager 已于 2026 年 8 月正式可用 |
| 跨云认证 | Agent Identity 的 JWT 支持（OIDC 令牌） | 预览 |
| 网络访问 | VPC-SC 支持按 IAM 角色设置出入站规则 | 已提供；GKE 的工作负载身份联合为预览 |
| 对话管控 | Model Armor 自定义话题检测器 | 预览 |
| 代码与漏洞 | Wiz AI SAST、CodeMender | 均为预览 |
为什么企业要关心智能体安全
OWASP 基金会的智能体应用十大风险，把身份与权限滥用、工具误用、智能体之间通信不安全都列了进去。美国 NIST 也在 2026 年 10 月发布了设计原则建议，核心是给智能体各自独立的身份，并限制被委托出去的权限。谷歌这次的思路，和这两份文件基本是对得上的。
身份与访问：给每个智能体一张“工牌”
Auth Manager：集中保管凭证
Auth Manager 在 2026 年 8 月正式可用。它把凭证放进谷歌托管的保险库，由 IAM 策略来管，还会自动走 OAuth 2.0 认证流程、刷新用户授权的令牌。谷歌的说法是，这样既不用反复让用户确认授权，又能减少智能体所用凭证的暴露面。
Agent Identity：不再共用服务账号
按谷歌的技术文档，Agent Identity 会基于 SPIFFE 标准给每个智能体发独立的加密身份，而不是大家共用一个服务账号。智能体可以用自己的凭证认证，也可以走用户委托的方式，权限统一在 IAM 策略里管理。
它和两个组件配合使用：Agent Registry 负责登记智能体能用的工具和目的地，Agent Gateway 负责执行访问策略、检查智能体连接这些资源时的流量。
谷歌称这套框架覆盖 Gemini 服务、GKE、Cloud Run、Agent Compute Engine 以及多云环境；不过 Agent Identity 的文档里单独列出的受支持服务是 Gemini Enterprise Agent Platform Runtime、Gemini Enterprise 和 Cloud Run，您落地前最好对照文档确认。
JWT 支持：少用长期 API 密钥
目前处于预览的 JWT 支持，会签发标准的 OpenID Connect（OIDC）令牌，让智能体能够访问 AWS、Microsoft Azure、本地系统以及 MCP（模型上下文协议）服务器，而不必依赖长期有效的 API 密钥。长期密钥一旦泄露就麻烦，这一点算是实打实的改进。
网络与对话：划边界，也管说什么
网络层面，VPC Service Controls（VPC-SC）的入站、出站规则现在支持 IAM 角色，GKE 的工作负载身份联合处于预览。依据官方文档，管理员可以按身份、IAM 角色和允许的操作来限制跨服务边界的访问；规则里指定了某个角色，就只放行该角色权限范围内的操作，并且和现有 IAM 策略叠加生效。目的很直白：防未授权访问和数据外泄。
对话层面，Model Armor（用来保护模型输入输出的服务）新增了自定义话题检测器，目前是预览。管理员可以写基于提示词的规则，把智能体的对话判成“切题”或“跑题”。谷歌提到医疗、保险和零售是比较典型的场景，比如让客服智能体只聊允许的话题。
代码与漏洞：Wiz 和 CodeMender
Wiz 这边能发现并梳理自主应用、AI 智能体及其基础设施，分析应用的用途、能力和权限，再结合 Wiz Security Graph 里的基础设施数据，找出潜在攻击路径和运行时威胁。2026 年 10 月公开预览的 AI SAST（静态应用安全测试）则把分析延伸到代码层，重点看业务逻辑上的缺陷，并和生产环境数据关联。
Wiz 在一份10 月技术报告里举了个例子：某个智能体的 API 把任何 bearer 令牌都当成有效的，结果其 Red Agent 测试工具借此从智能体里拿到了客户、员工和财务数据，尽管底层数据库本身有访问控制。这说明只守数据库是不够的，智能体这一层同样要审。发现问题后，Green Agent 可以结合环境信息去调查并生成修复方案。
谷歌的 CodeMender 是专门找漏洞、生成补丁的 AI 安全智能体，目前预览，支持包括 Gemini 4 Argon 在内的多种模型。它可以扫描单个文件夹、整个代码库，或只扫上次扫描后改过的文件，开发者能据此调整覆盖范围和成本。验证漏洞和模拟利用时可以放进操作系统级沙箱或隔离虚拟机，部分本地文件修改和命令执行还需要人工批准。谷歌称，自 2026 年 7 月开放预览以来已有数百家客户使用。
IDC 云安全研究总监 Katie Norton 在谷歌的公告里说了一句挺到位的话：“只发现不修复，只会增加开发者的负担。”此外，Wiz Defend 与 Google Security Operations 的集成也加深了，两边共用数据模型，支持双向同步、专用的 Wiz 内容包和 Wiz Blue Agent 调查分析，还接入了 Google Threat Intelligence。
企业上手的几个建议
- 先盘点现有智能体：它们用什么账号、能访问什么数据。
- 把共用服务账号逐步换成独立身份，权限按最小够用来配。
- 对要访问跨云或外部服务的智能体，优先评估令牌方式，减少长期密钥。
- 预览阶段的功能先在测试环境试，别直接上生产。
常见问题（FAQ）
AI 智能体为什么不能直接用服务账号？
多个智能体共用一个账号，出了问题很难追溯是谁干的，权限也容易给得过宽。独立身份可以逐个管理和审计。
Auth Manager 现在能用了吗？
能。它在 2026 年 8 月已正式可用，Agent Identity 的 JWT 支持、Model Armor 话题检测器等则还在预览。
Model Armor 的话题检测器是干什么的？
让管理员用提示词定义规则，判断智能体的对话是不是在允许的话题范围内，适合医疗、保险、零售这类对话边界要求严的行业。
CodeMender 会自己改代码吗？
它会生成补丁，但部分本地文件修改和命令执行需要人工批准，验证和模拟利用也可放在沙箱或隔离虚拟机里进行。
小公司需要这些吗？
只要智能体碰到了业务数据，身份和权限的问题就存在。规模小可以先从独立身份和最小权限做起，不必一次全上。