2026身份安全报告 秋季版：AI执行缺口

该报告主要分析了2026年身份安全领域，特别是AI执行缺口问题。报告指出，尽管99.7%的组织制定了AI数据访问政策，但仅有51%能实时检查政策符合性，不到20%能实时检测范围违规。87%的IT领导表示AI工具或代理在过去一年中访问了超出任务范围的数据，暴露了政策与执行之间的显著差距，导致AI身份风险加剧。报告还分析了员工、高管及AI代理的特权访问问题，以及运行时控制和可追溯性方面的不足，强调了AI身份安全控制的紧迫性。

AI身份安全领域正面临快速发展与严峻挑战。随着AI技术的普及，AI代理的特权访问成为新的风险源，其行为非确定性可能导致严重安全事件。未来，组织需要从登录时刻的控制扩展到行动时刻的控制，实施即时访问和零永久特权原则。关键趋势包括加强AI访问政策的实时检查与范围违规检测，限制AI代理的访问权限，设置访问点控制，以及强化人类访问安全。同时，可追溯性和问责制也需得到重视，以应对AI身份安全带来的新挑战。

报告重点分析了AI执行缺口问题，包括政策与执行的差距、员工与高管行为、AI代理的特权访问、运行时控制不足以及可追溯性与问责制五个方面。在政策与执行差距方面，报告指出虽然多数组织有政策，但执行能力严重不足；员工行为显示76%曾绕过IT批准使用AI工具；高管风险方面，81%的高管总是或经常绕过AI访问批准；AI代理的特权访问问题突出，34%的访问权限由业务团队或员工自行授予；运行时控制不足，47%的组织在CI/CD管道和Kubernetes等环境中缺乏控制；可追溯性方面，36%的组织总能将敏感访问事件追溯到人类授权者。

当前AI身份安全市场现状严峻，AI执行缺口问题突出。多数组织虽制定了AI访问政策，但执行能力严重不足，实时检查和范围违规检测能力薄弱。员工和高管绕过审批使用AI工具现象普遍，分别占76%和81%。AI代理的特权访问权限管理混乱，运行时控制不足，可追溯性差。这些因素共同导致AI身份风险加剧，安全事件频发，如Hugging Face事件、Meta代理泄露敏感数据等。市场亟需加强AI访问控制，实施零永久特权原则，提升实时监控和可追溯性能力。

该研报提示了AI身份安全领域的多重风险。首先，政策与执行的巨大差距导致AI访问失控，87%的IT领导表示AI工具或代理访问了超出任务范围的数据。其次，员工和高管绕过审批使用AI工具现象普遍，分别占76%和81%，增加了数据泄露和滥用风险。第三，AI代理的特权访问权限管理混乱，34%的访问权限由业务团队或员工自行授予，且仅58%有机制在会话结束后自动撤销权限。第四，运行时控制不足，47%的组织在关键环境中缺乏控制。最后，可追溯性差，36%的组织不能总能将敏感访问事件追溯到人类授权者，这些风险共同可能导致严重的安全事件。