AI智能体掌握中科热备密钥：Black Hat揭示Agent Identity灾备权限危机

这篇文章写给正在把AI智能体接入运维流程的灾备负责人和安全工程师。你手里那套备份系统，可能已经给某个Copilot开了API权限，而它完全可能在你不注意的时候删掉关键快照。这不是科幻，是Black Hat 2025上Rubrik安全团队演示过的攻击路径。

Agent Identity这个概念，核心就一句话：给AI智能体一个独立于人类账号的身份标识，并对其每一个高风险动作做实时行为核验。我们先来看问题有多真实。

Rubrik在Black Hat上到底展示了什么

Rubrik安全研究团队在Black Hat 2025的演讲里，演示了一个运维Copilot被提示词注入攻击的场景。攻击者在工单系统里塞了一段恶意文本，Copilot读取工单后，把这段文本当作指令执行，调用备份系统API删除了3个生产数据库的快照。整个过程中，Copilot用的是运维主管的API Token，权限完全合法。传统审计日志里，这条删除操作看起来就是运维主管本人干的。

我做过一个制造业客户的灾备项目，他们的SAP HANA备份策略是每小时一次快照，保留7天。如果攻击者删掉最近24小时的快照，再配合勒索软件加密生产库，恢复点直接倒退一天。对一条连续产线来说，一天的数据丢失意味着排产、质检、物流全部乱套，损失按小时计。

RBAC的假设是：一个账号背后是一个人，这个人会为自己的操作负责。AI智能体打破了这个假设。你给Copilot开了一个有快照删除权限的角色，它可能同时处理500条工单，其中任何一条都可能藏着一句提示词注入。模型幻觉是另一个入口，智能体可能在完全无害的对话里，自己拼出一个删除快照的API调用。

更麻烦的是权限放大。一个智能体通常被赋予「够用就行」的角色，但LLM在生成API调用时会自动组合多个低权限操作，达成一个高权限效果。比如先调用「修改保留策略」把某个快照标记为过期，再调用「清理过期快照」把它删掉。这两个操作分开看都是低危的，RBAC根本不会拦截。Rubrik的演示里，攻击者就是利用这种组合拳绕过了权限检查。

Agent Identity的实时行为核验怎么运作

Agent Identity的思路是：不给智能体一个静态角色，而是给每个智能体发一张带行为约束的身份证书。智能体每次调用API，系统会实时检查三件事：这个调用是哪个智能体发起的、它当前在跑什么任务、这个调用是否符合该任务的预期行为模式。

1. 智能体启动时，向备份系统注册一个短期身份，绑定它本轮任务的上下文，比如「处理工单#4721，涉及数据库备份查询」。

2. 智能体发起API调用时，请求头里带上这个身份标识和任务上下文。备份系统的策略引擎拿这个上下文去比对调用内容。

3. 如果调用内容偏离任务上下文，比如工单是查询备份状态，结果智能体调用了删除快照接口，策略引擎直接拒绝，并把这个异常记入独立审计通道。

这里的关键是「实时」。传统审计是事后查日志，Agent Identity是在动作发生前拦截。Rubrik演示的防御效果是：提示词注入触发的删除调用，在第三步被策略引擎拦下，因为工单上下文里没有任何删除相关的业务意图。

我们还需要什么：不可变存储兜底

行为核验不是百分百可靠。攻击者可以把恶意指令藏在更隐蔽的上下文里，让智能体「合理地」去执行删除操作。所以最后一道防线必须是存储层的不可变性。

不可变存储的意思是，快照一旦写入，在保留期内无法被任何API调用删除或修改，包括管理员账号。我测过几种方案，对比下来发现，基于WORM（一次写入多次读取）机制的不可变快照，配合气隙隔离，能把删除操作从「权限问题」变成「物理不可能」。你就算拿到了最高权限，也得等保留期过了才能碰那些数据。

中科热备的方案里，不可变存储加气隙隔离再叠加AI检测，三层防护的逻辑是对的。我在一个金融客户的测试环境里验证过：用最高权限账号尝试删除不可变快照，系统直接返回「操作拒绝：快照处于WORM保护期」。这对智能体滥用场景同样有效，因为智能体拿到的Token权限再高，也绕不过存储层的物理限制。

如果你现在就要动手，我建议按这个顺序来：

1. 最小权限，但要做动态化。别给智能体一个固定角色，而是按任务发临时凭证。凭证有效期按分钟计，任务结束就吊销。这个改动成本最低，先把智能体的权限面压下来。

2. 实时动作验证。在备份系统前面加一层策略引擎，对智能体发起的每个写操作做上下文比对。你不需要自己造轮子，现有API网关加策略脚本就能实现基础版。重点是拦截「偏离任务意图」的调用，而不是拦截「高危接口」本身。

3. 备份不可变存储兜底。把关键系统的快照改成WORM模式，保留期至少覆盖你的最大容忍恢复窗口。这一步的副作用是存储成本上升，但对比一次成功的数据破坏攻击，这笔账很容易算。

有个坑要提醒：别把智能体的操作日志和人类管理员的操作日志混在一起存。智能体的调用频率远高于人类，混在一起会把审计系统淹没，等真出事了你根本翻不出来。单独给智能体开一条审计通道，按身份标识过滤，这是Agent Identity落地时最容易忽略的细节。

AI智能体掌握密钥：Black Hat揭示Agent Identity灾备权限危机

人工智能

安全

运维

AI智能体接入运维流程正引发灾备权限危机，Rubrik在Black Hat 2025演示了提示词注入如何令Copilot合法删除生产快照。传统RBAC因静态权限与权限组合放大而失效。中科热备以Agent Identity实时行为核验、动态任务凭证及不可变WORM存储构建三层防御，拦截偏离任务意图的API调用，确保关键数据物理不可删。

数据丢失

数据库

智能体

灾备

Agent

2026上云采购 | AI焕新·智启新局

cngw

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AI智能体接入运维流程正引发灾备权限危机，Rubrik在Black Hat 2025演示了提示词注入如何令Copilot合法删除生产快照。传统RBAC因静态权限与权限组合放大而失效。中科热备以Agent Identity实时行为核验、动态任务凭证及不可变WORM存储构建三层防御，拦截偏离任务意图的API调用，确保关键数...

AI智能体掌握密钥：Black Hat揭示Agent Identity灾备权限危机

AI智能体掌握密钥：Black Hat揭示Agent Identity灾备权限危机

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐