身份管理重回榜首，AI 两席首入榜

CSA 的”云计算主要威胁”系列报告意在为组织提供一份与时俱进、由专家共识形成的云安全风险视图，供其在制定云采纳战略时做风险管理决策。2026 年版对 23 项云安全问题打分后排出前 11 位，分数分布非常紧凑——最高 7.95 分，最低 7.45 分，说明安全从业者的共识高度集中。

相比 2024 年版，最大的变化有两点：一是身份与访问管理（IAM）从当时的第 2 位升至第 1 位，把连续领跑的”配置错误与变更管控不足”挤到了第 5 位；二是两个与 AI 直接相关的新条目首次上榜——AI 增强型攻击位列第 2，AI 系统遭入侵位列第 6。报告主要作者、CSA 威胁工作组主席 Vic Hargrave 表示：”AI 不是一种正在浮现的云安全关切，它已经在改变攻击是如何实施的，以及组织需要保护什么。”

11 项威胁全榜单（2026 vs 2024）

按 2026 年得分从高到低，十一项威胁依次为：

1. 身份与访问管理不足（7.95，较 2024 年第 2 上升）

2. AI 增强型攻击（7.91，新上榜）

3. 不安全的第三方资源（7.85，较 2024 年第 5 上升）

4. 不安全的接口与 API（7.83，较 2024 年第 3 下降）

5. 配置错误与变更管控不足（较 2024 年第 1 下降）

6. AI 系统遭入侵（新上榜）

7. 高级持续性威胁 APT（较 2024 年第 11 上升）

8. 缺乏云安全战略与治理（较 2024 年第 4 下降）

9. 不安全的软件开发（较 2024 年第 6 下降）

10. 云数据意外泄露（较 2024 年第 7 下降）

11. 系统漏洞（较 2024 年第 8 下降）

拒绝服务攻击、共享技术漏洞、云服务商数据丢失、未认证资源共享、云可见性不足等曾受关注的问题，今年都已跌出前 11。另一名主要作者、威胁工作组主席 Michael Roza 指出：”最容易受到下一代云威胁冲击的组织，未必是边界防护薄弱的那类，而是治理、可见性与变更管理跟不上环境复杂度的那些。”

AI 如何变成攻击者的武器

“AI 增强型攻击”指攻击者利用 AI 来优化或自动化攻击的全过程，覆盖钓鱼、侦察、恶意软件开发、社会工程、漏洞发现与攻击自动化。报告指出，AI 既降低了发起高级攻击的门槛，也让攻击行为更难与正常活动区分。一个直观的变化是：漏洞发现的速度已经提升到机器级别，而人工修复的节奏始终跟不上，攻击者得以在更短时间内找到并利用新的弱点。这意味着过去依赖人工分析、响应偏慢的防护体系将面临更大压力。

“AI 系统遭入侵”则从另一面切入：当 AI 模型、数据、智能体、工具与流水线本身成为可被攻陷、操控或滥用的资产，组织需要保护的边界随之扩大。两类风险一攻一守，共同说明 AI 已是云环境中既要用、也要防的对象。

非人类身份正在失控

身份管理重回榜首的关键，在于”身份”的外延已经改变。今天的云身份不再只是员工账号，还涵盖服务账号、API 密钥、自动化机器人与 AI 智能体这类非人类身份。报告提醒，非人类身份的数量已经远超人类用户，却往往缺乏统一的生命周期管理；为保障自动化任务正常运行，这类身份又常被授予过多权限。攻击者的目标也从窃取密码，转向窃取有效会话令牌、劫持权限过高的自动化身份，或利用认证流程中的漏洞。

对此，报告建议云身份治理不能只停留在”确认这是谁”，还要明确它代表谁授权、能执行哪些操作、权限有效期多久；无论人类还是非人类身份，都应遵循最小权限、持续验证并定期审查，对 AI 智能体还需补充生命周期管理、凭证轮换与持续授权验证。

第三方与 API 风险上升

“不安全的第三方资源”从 2024 年的第 5 升至第 3，范围被放宽到 SaaS 依赖、软件包、托管 API、CI/CD 流水线、容器镜像、AI 模型与 AI 生成组件。一个被攻陷的供应商、传递性依赖、构建步骤或维护者账号，可能影响多家下游组织，因此报告呼吁建立资产清单、来源核查、软件供应链风险管理并持续审查外部依赖。

接口与 API 仍排第 4。云原生架构、微服务与集成的扩张让 API 数量与复杂度同步上升，鉴权失效、权限过大、治理不善的 API 密钥与令牌、影子 API 以及监测不足成为反复出现的风险，而 AI 智能体与模型上下文协议（MCP）集成又会把这些弱点延伸到自动化工作流中。

给云安全团队的参考

报告将每一项威胁都对照了 CSA《安全指南 v5》与《AI 云控制矩阵 v1.1》的相关控制项，给出技术影响、业务影响、真实案例与缓解建议，目标读者包括合规、风险、技术与信息安全人员以及企业管理层。对正在加速采用云与 AI 的团队而言，今年的结论很清晰：复杂度正在超过治理能力，补齐身份（尤其是非人类身份）治理、第三方供应链可视性与变更管控，比单纯加固边界更能应对下一代云威胁。

卓豪（Zoho）人工智能总监 Ramprakash Ramamoorthy 指出，许多暴露面并非新出现：服务账号与密钥多年来就承载着超出所需的权限，往往是因为凌晨脚本报错，团队图省事直接给更多权限，事后却没人收回。智能体只是以机器速度，把这些沉睡的过度授权“用起来”了。

给每个智能体独立身份

安全共识的第一步，是给每个智能体分配专属身份与凭证，而不是让多个智能体共用一个身份——否则日志只记录“有件事发生了”，却无法区分是哪个智能体干的。凭证还应设置过期时间：写死在配置文件里、永不过期的密钥，会反复成为攻击入口。理想状态是像管理新员工一样管理智能体：上岗前登记、运行中审查、行动时监控、下线时注销。

最小权限与即时授权

最小权限原则是硬性底线：一个负责分派工单的智能体，只需要工单系统、人力资源系统与用户关系管理（CRM）的读取权限，多一项都算过度。更稳妥的做法是“即时（JIT）授权”——仅在执行某项具体任务的窗口期内，临时下发限时凭证，任务结束立即收回。亚马逊云科技（AWS）在其智能体系统安全原则中建议，智能体的短期令牌有效期不超过15分钟。此外，还应为单次运行设上限（如可拉取记录数、可调资金额度），让跑偏的任务能自动停下。

持续监控与“一键熔断”

身份安全厂商 BeyondTrust 首席安全顾问 Morey Haber 把智能体归为“非人类身份”的新类别，主张建立类似员工的“入职—调动—离职”全生命周期治理，并为每个智能体配备“熔断开关”：一旦发现异常（如客服智能体突然去碰人力资源数据库），能立刻暂停其身份、吊销活跃令牌、终止特权会话。华硕（ASUS）产品经理 Yi Lin Tsai 则强调“硬件根信任”——把智能体身份绑定到可信平台模块（TPM）或安全隔区，防止身份被复制或冒用，尤其适用于边缘侧部署。

警惕“致命三要素”

安全研究者 Simon Willison 提出一个有用的判断框架——“致命三要素”：一个智能体只有当三件事同时成立时才值得被攻击——能读取私密内容、会接收外部输入、还能把数据发出去。只要拿掉其中任意一环，攻击就无利可图。这与其说是买产品，不如说是个设计决策：不要在同一个智能体身上同时放开这三扇门。

数据揭示了紧迫性。据帕洛阿尔托网络（Palo Alto Networks）旗下 Idira 平台统计，到2026年，企业平均每位人类员工对应约47个非人类身份，且比例仍在加速上升；安全媒体 SC Media 观察到，2026年68%的智能体部署缺乏自动化凭证轮换，43%在任务结束后没有吊销机制。麦肯锡（McKinsey）2026年人工智能现状报告则称，采用“基于用途的行为监控”的企业，身份相关事件比仅用规则的企业减少58%。

可落地的四步

落地层面，专家给出的路径相对清晰：第一，盘点所有非人类身份（包括流水线机器人、云函数、接口客户端与AI智能体），建立实时更新的清单；第二，全面推行即时授权，以临时、限定范围的凭证取代长期驻留权限；第三，建立行为基线，对偏离正常模式的调用与权限提升实时告警；第四，把凭证轮换自动化，周期短于智能体的运行寿命。对正在规模化部署AI智能体的中国企业而言，这套从“管人”延伸到“管智能体”的治理思路，同样具有现实参考价值。