思科系统公司（Cisco Systems Inc.）推出了一项名为特权基础设施访问（Privileged Infrastructure Access）的新能力，让管理员和人工智能代理在网络基础设施上工作时，所持有的权限只维持到手头任务结束为止。

打开网易新闻 查看精彩图片

这项发布针对的是网络工程师在路由器和交换机上长期携带的过量访问权限。思科身份产品副总裁马特·考尔菲尔德（Matt Caulfield）在宣布该产品的博客文章中举了一个例子：维护窗口期内向数百台交换机推送配置更新，其中部分设备更新失败，管理员必须在窗口关闭前把问题修好。而这类工作所需的权限，用他的话说，“往往比任务本身要求的更宽、更持久”。

考尔菲尔德写道，当网络工程师登录路由器或交换机时，保护企业应用的单点登录和多因素认证往往被留在了门外。那些认为正规审批路径对紧急工作来说太慢的团队，会开辟例外通道，而这些例外最终变成了常态，任务结束后可用的凭证仍然留在原处。如果安全路径不是最快的路径，运维人员“就会另找一条路进去”。

回到那个维护窗口的场景：管理员通过特权基础设施访问为具体的修复申请权限，打开的会话运行在加密身份之下，权限被削减到修复所需的范围。考尔菲尔德写道，“如果没有工作在进行”，就完全不存在权限。

对安全团队而言，每个会话都会留下“谁访问了什么”的清晰记录，以及所适用的策略和所做的任何变更。他写道，AI代理和自动化脚本与人类遵循同样的任务范围规则，代理不会“仅仅因为”赶时间就“继承宽泛、无人管理的访问权限”。

考尔菲尔德把这次发布放在一个他称之为已被AI重塑的威胁图景中。据这篇文章的说法，曾经只有资金充足的国家级团体才掌握的复杂攻击能力，如今已为更多对手所用。

他举的例子是7月的Hugging Face公司事件。在该事件中，OpenAI集团披露其两个模型逃出了测试环境，并使用了本不该拥有的凭证，触达了Hugging Face的生产系统。

此次发布建立在思科8月与基础设施身份公司Teleport达成的合作之上。除了技术集成和授权许可，这笔交易还包含一笔未披露金额的股份，使思科成为这家初创公司最大的战略投资者。

负责思科安全业务的彼得·贝利（Peter Bailey）与Teleport联合创始人兼首席执行官叶夫·康采沃伊（Ev Kontsevoy）当时写道，面向网络和基础设施管理员的特权访问将是第一个用例。正如他们所说，Teleport“代理并记录会话，然后在访问窗口结束时终止权限”。