将事件视为授权问题
有报道称，一个 AI 智能体触达了澳大利亚政府的某个健康门户，并以机器速度与之交互。对此最恰当的解读是访问控制失效，而非新型漏洞利用。据 路透社 报道，此次入侵涉及一个针对面向公众的服务运行的智能体；BBC 和 《华盛顿邮报》 描述了一个可访问且能响应的门户。关键细节不在于载荷，而在于一个带有目标、却无法归属身份的进程，能够枚举可达端点、发出请求，并从具有真实下游影响的生产系统获得响应。
面向公众的政府服务不是宣传册。它们背后是资格核查、预约系统、记录、支付通道和下游工作流。提交表单就是一次写入。查询则是对可能包含个人健康信息的数据存储的一次读取。当智能体触达此类服务时，关键问题不是它是否发现了漏洞，而是该服务是否有任何办法知道是谁在操作、代表谁、在什么范围内操作。
一个拥有网络访问权限和目标的智能体必然会进行枚举。这正是它的用途。如果端点有响应，智能体就会学习。如果端点接受输入，智能体就可能提交。没有出现漏洞利用，并不能证明存在授权模型；它只能证明智能体无需授权模型也能取得进展。
内部访问控制与公共访问控制之间的鸿沟
内部服务默认存在身份。它们默认调用方持有凭证、有配额、有目的、有审计轨迹。服务网格或 API 网关可以强制执行 mTLS、按客户端限流和请求签名。日志可归属到某个主体。出问题时，运维人员可以还原谁做了什么。
公共端点默认的是以人类速度行动的匿名人类。现有的控制措施正是围绕这一假设形成的：CAPTCHA、基于 IP 的限流、WAF 签名和会话 cookie。这些是容量与滥用控制，不是授权控制。速率限制是容量控制，不是授权控制。它限定调用方可以多快行动，却不确认调用方是否被允许行动。
智能体打破了匿名与高流量之间的区分。人类访客是匿名的，但速度慢、流量低。服务账号流量高，但身份明确。智能体既匿名又高流量，并且能够根据端点所能容忍的程度调整其请求模式。它可以跨会话分散、变换请求头，并将自身节奏控制在为人类流量调校的阈值之下。结果是，这个调用方在滥用检测器看来像用户，在容量规划器看来像自动化，而在授权层看来两者都不是——因为根本不存在授权层。
智能体流量的可行边界
一个站得住的边界需要三个属性：声明意图、限定范围的凭证，以及智能体运行时能在首次请求之前强制执行的机器可读条款。
声明意图与限定范围的凭证。 在智能体可以对公共服务采取行动之前，应要求其运行时出示一份凭证，其中载明智能体、运营方、预期动作类别和范围。服务应能在任何业务逻辑运行之前拒绝该请求。这不是新想法；这正是内部服务已经在使用的模型。变化在于将其扩展到目前接受匿名流量的公共接口。
机器可读条款。 门户应发布一份策略文档，供智能体运行时获取和评估：哪些端点对智能体开放、允许哪些动作类别、适用何种速率与并发上限、需要何种归属信息。运行时在首次请求之前就执行该策略，而不是在被拦截之后。这将控制点从检测转向准入。仅以条款页面上的文字形式存在的策略，运行时无法执行，模型也不会去执行。
将无法归属的高流量访问视为独立信号。 运营方应将匿名、高流量、目标导向的流量视为独立类别，与滥用检测分开。滥用检测寻找的是恶意载荷和已知签名。智能体流量可能完全合规，却仍然违反策略。信号不在于请求形态，而在于匿名性、流量规模和跨端点遍历的组合。
一个具体机制：在门户前设置一个准入层，根据已发布的策略评估签名的意图令牌。该令牌将智能体身份绑定到某个动作类别和范围。该层按令牌而非按 IP 强制执行并发与速率上限，并将每个被准入的动作连同令牌主体一起记录。没有有效令牌的请求在到达应用之前即被拒绝。这与内部 API 网关形态相同，只是应用于公共界面。
诚实的权衡：准入控制会提高合法自动化的摩擦。目前依赖匿名访问的研究人员、无障碍工具和第三方集成将需要注册并携带凭证。这是真实成本，会拖慢一些合法用途。另一种选择是公共界面无法区分被允许的智能体和未被允许的智能体，而这正是导致此次事件的条件。权衡在于摩擦与归属之间；不存在两者兼得的第三种选项。
运营方应优先埋点监测什么
逐请求日志是不够的。对政府门户的单次请求看起来平平无奇。真正重要的模式是序列。
- 按会话的动作序列。 记录一个会话内有序的动作集合，而不只是单个请求。一个先读取落地页、再枚举一组端点、然后提交表单的会话，与一个只读取一个页面就离开的会话，是不同的对象。
- 单个会话内的跨端点遍历。 跟踪一个会话触及多少个不同端点以及顺序。人类用户遵循导航路径；智能体往往呈扇形展开。每会话的遍历广度比请求速率是更强的信号。
- 从读取到写入的升级路径。 对从读取操作到写入操作（包括表单提交）的转变进行埋点监测。一个先读取记录、再提交表单的会话已经改变了其动作类别。这一转变应连同主体、范围和允许该动作的策略决策一起记录。
这三个信号发出成本低，且在不把智能体拖慢到人类速度的前提下难以伪造——而一旦拖慢到人类速度，容量控制就已经生效。它们还能产生授权模型发挥作用所需的审计轨迹。一个事后无法还原的边界，不是边界。
据报道的这起入侵提醒我们，公共互联网就是生产环境，而智能体就是生产客户端。缺失的控制不是更好的 WAF，而是一个授权模型：将智能体视为具有范围的主体，将公共服务视为能够拒绝的系统。
修复的形态
修复不是封禁智能体，而是给它们一种表明自身身份的方式和一套可遵循的策略，并给服务一种在业务逻辑运行之前拒绝的方式。这需要声明意图、限定范围的凭证、机器可读条款，以及读取会话而非请求的埋点监测。另一种选择——对既不假设身份也不假设归属的系统进行匿名、无法归属、高流量的访问——正是下一次事件也会被描述为意外的那种条件。
尽早建立这一边界的运营方会发现，它也能改善日常运营：可归属的流量更易调试、更易做容量规划，也更易在事件复盘中辩护。代价是匿名自动化面临摩擦。这一成本是真实的，但它小于无法回答谁在操作、代表谁、在什么范围内操作的成本。
封面图片：panumas nikhomkhai / Pexels。