提到智能体安全，很多人想到的是一个弹窗：智能体要读你的邮件，你点允许还是拒绝。真正让企业安全团队睡不着的，是另一幕：一个智能体半夜自己跑起来，拿着一把三个月前发出去的密钥，去调一套没人记得给过它权限的系统。这篇文章只回答一件事：智能体替人办事的时候，那把钥匙该由谁发、发给谁、什么时候收回。判断放在前面：2026 年 8 月 24 日之后，发钥匙的权力从安全工具回到了企业身份提供商手里。这一年被并进大平台的六家非人类身份公司，卖的是补上这半张桌子，不是另开一张。

先把三个身份分清：员工、服务账号、智能体

先把三个词分开。人类身份是企业给员工发的账号，登录靠单点登录和多因素认证，人走了就停。非人类身份是服务账号、API 密钥、证书和流水线里的令牌，背后没有人在键盘前坐着。智能体身份是 2026 年才长出来的一类：它替某个具体的人办事，每次任务不一样，跑的路径也不固定。

三类身份，谁签发、活多久、出事怎么查

• 员工账号：谁签发：企业身份提供商；一般活多久：跟着任职走，离职即停；出事以后怎么查：登录日志与单点登录记录
• 服务账号与 API 密钥：谁签发：运维或开发自己建；一般活多久：常常几年不换；出事以后怎么查：要翻配置文件、代码仓库和工单
• 智能体身份：谁签发：身份提供商或接入网关；一般活多久：一次任务，过期作废；出事以后怎么查：委托链与令牌签发记录

前两类企业已经管了十几年，第三类的麻烦在于它同时具备前两类的特征：既像员工一样替人行动，又像服务账号一样成批存在。

第三类最难的地方是数量。Forkast 汇总的行业数据里，很多企业的非人类身份是员工的 90 倍，云上环境能到 144 倍。智能体接进来以后，这个分母还要再乘一层：一个员工可能对应几个智能体，一个智能体又要访问十几个系统。更麻烦的是权限给多了没人发现。同一批数据里，70% 的组织承认给 AI 系统的权限超过同等岗位的员工；权限过大的系统出事故的比例是 76%，权限收得紧的是 17%。

长期密钥的问题在于它是一串密码。发出去以后，企业很难知道谁在用、用在哪、有没有失效。委托凭证不一样：它写清了能访问哪些系统、能用多久，过期自动作废。智能体身份这件事，技术上的分水岭就是把长期密钥换成短期委托。

事件之前：三种做法都能跑，但审计里看不出是谁干的

2026 年 8 月之前，企业让智能体登录系统，主流是三种做法。第一种把 API 密钥塞进环境变量，改一次要重新部署；第二种给智能体建一个服务账号，权限按最省事的给；第三种让 RPA 借一个真人员工的账号跑。三种都能跑起来，共同点是在审计日志里看不出这件事是智能体干的。

结果是一组很难看的数字。78% 的组织没有一份写明怎么创建、怎么删除智能体身份的成文规定；只有 28% 能把自己智能体做过的事追到某个具体的人身上；只有 34% 把用在员工身上的安全控制同样用在智能体身上。这三件事其实是同一件事：智能体在系统里没有户口，所以没人对它负责。

中国的企业走的是另一条路：先在内部做智能体登记，再谈跨系统授权。有券商披露内部上线了 1000 多个智能体、覆盖 260 个子场景，做法是给每个智能体编目、标负责人、限定可调用的系统。这种先建台账的办法土，但能先回答一个最基本的问题：我们到底有多少个智能体。

智能体在系统里没有户口，所以没人对它负责。发钥匙这件事，本质上是先给它上户口。

8 月 24 日之后：智能体在目录里有了自己的账号

8 月 24 日，Okta 把 Agent SSO 正式开放。做法不复杂：智能体在企业目录里注册成一个身份主体，员工登录以后，由身份提供商签发一张短期委托凭证，智能体拿这张凭证去换目标系统的访问权。这套流程有名字，叫 Cross App Access，底下用的是一份 IETF 草案，叫 ID-JAG。

四步可以拆开看。员工先单点登录到智能体；智能体拿身份令牌去身份提供商换一份 ID-JAG，也就是一份写清替谁、访问哪个应用、给多大范围的断言；再拿这份断言去目标应用的授权服务器换访问令牌；目标应用按范围放行。有一条约束值得单独说：身份提供商不能接受自己签发的断言，去换自己发的访问令牌，两个授权服务器必须分开。这条约束防的是范围被越换越大，智能体先拿到读权限，再用读权限换写权限，最后拿到本来不该有的东西。

对生意的影响在计价方式。Agent SSO 并进了基础的单点登录套餐，不额外收费。也就是说，Okta 卖的不是一个新的安全产品，而是让已经付过钱的两万多家客户，把智能体接进同一个目录。同一周里，Auth0 和 Descope 也上线了同一套模式，三家产品的间隔只有八天。

生态的位置也跟着变了。MCP 在 2026 年 6 月把 Cross App Access 收进企业托管授权扩展，8 月 24 日 Anthropic 的企业托管 MCP 授权开放，Okta 是它唯一的身份提供商。做应用侧的 WorkOS、做 MCP 服务器授权的 Scalekit、做企业 MCP 网关的 Natoma，都在这条链上找到了自己的位置。

其他两家走得更早或更专。Ping Identity3 月发布 Identity for AI，拆成三块：管注册和凭证的 Agent IAM Core、管运行时调用的 Agent Gateway、管异常行为的 Agent Detection。Descope10 月 15 日在 Agentic Identity Hub 3.0 里补上 ID-JAG 的签发和校验，把智能体的注册、委托和审计放进同一个控制台。三家做法不同，方向一致：把智能体当成目录里的一等公民，而不是一把可以随便复制的密钥。

• 90 比 1（非人类身份与员工的比例）：行业汇总数据，云上环境到 144 比 1；智能体接进来后还要再乘一层
• 78%（没有智能体身份管理规定的组织）：同一批调研里，只有 28% 能把智能体做过的事追到具体的人
• 2 万家（已经付费用 Okta 单点登录的客户）：Agent SSO 并进基础套餐，不额外收费，智能体进的是同一个目录
• 10 亿美元（Cyera 收购 Oasis 的价格）：2026 年 9 月 3 日交割，约 7 亿美元为现金，其余为股票

四个数字指向同一件事：智能体的数量已经起来了，管它的制度和工具还没起来。

标准还没定稿：六家在卖，草案先到期

问题是这份草案还没定稿。ID-JAG 的 -04 版本在 2026 年 11 月 22 日到期，IETF 的 OAuth 工作组 2025 年 9 月就采纳了它，但到现在没有排工作组最后征求，也没有负责的领域主管。到期本身是行政动作，草案可以续；让厂商不安的是没有时间表。

现在是一个别扭的局面。Okta、Descope、Postman、ServiceNow、Cequence 和 Microsoft 六家已经在卖智能体身份产品，标准还停在草案。如果 IETF 后面改接口，已经上线的集成要返工；如果草案失效又没有接续版本，各家的实现会慢慢分叉，企业又要回到一家一家对接的老路。

中国这边走的是另一条路。8 月 31 日，上海张江上线智能体身份码节点管理平台，首批 30 家单位接入，一个智能体对应一个身份码，能申领、能核验、能跨主体调用。身份码依据的是国家标准 GB/Z 185—2026 的第 2 部分，用 OID 分层编码给智能体做全局唯一标识。

一边先发身份证，一边先做委托书。身份证回答你是谁，委托书回答你能替谁做什么。两件事都要，但顺序不同，落到产品上就是登记平台和令牌服务的差别。这也是为什么国内这一段的钱，更多流向有行业入口的集成商，而不是纯做开发者工具的公司。

钱比标准快：六笔交易，买方全是有入口的平台

钱的动作比标准快。2026 年这一年，六家做非人类身份或智能体身份的公司被并进更大的平台，买方全是有入口的公司。

六笔交易，买的是哪一段

• Palo Alto 收购 CyberArk：时间：2 月 11 日交割；金额：250 亿美元；买的是哪一段：特权访问管理，机器身份的老底盘
• Snowflake 收购 Natoma：时间：5 月 27 日宣布；金额：未披露；买的是哪一段：智能体接数据仓库的 MCP 网关
• Cisco 收购 Astrix：时间：6 月 29 日交割；金额：未披露；买的是哪一段：企业里非人类身份的发现与清点
• SailPoint 收购 Entro：时间：6 月 29 日交割；金额：约 2 亿美元；买的是哪一段：令牌与密钥的权限台账
• Okta 收购 Permiso：时间：8 月 26 日交割；金额：约 2 亿美元；买的是哪一段：云上身份与智能体的运行时检测
• Cyera 收购 Oasis：时间：9 月 3 日交割；金额：10 亿美元；买的是哪一段：智能体凭证的签发与自动轮换

金额最大的一笔买的是老生意，另外五笔金额都不算大，但买方要的东西一致：让自家平台能回答这个智能体是谁。

最大的一笔金额来自 Palo Alto 买 CyberArk，250 亿美元，2 月交割，买的是特权访问管理这套已经卖了十几年的东西。真正的信号在另外五笔：金额都不算大，但买方全是有入口的平台，有身份目录的 Okta、SailPoint，有网络和安全入口的 Cisco，有数据入口的 Snowflake 和 Cyera。

Cyera 那笔最典型。它主业是数据安全，9 月 3 日用 10 亿美元买下 Oasis，其中约 7 亿美元是现金。数据安全公司为什么要买身份？因为回答完哪些数据敏感，下一个问题一定是谁能碰这些数据，而 2026 年新出现的答案里，有一类是智能体。

独立公司的处境因此分成两种。一种把自己做成某个环节最好的工具，等人来买，Astrix、Entro、Permiso 走的都是这条路；另一种往开发者那边退，卖 SDK 和托管服务，按调用量收费，Descope、Scalekit、WorkOS 在这一种里。

玩家表：四种位置，收的钱不是一回事

第一组是企业身份提供商，Okta、Ping Identity、Auth0、WorkOS，收的是按人头或按工作负载计的订阅费，优势是已经在员工登录的路径上。第二组做身份治理和云身份检测，SailPoint 和 Permiso，卖权限复核和异常登录。

第三组最大，做非人类身份与智能体安全。Astrix、Entro、Oasis、Token Security、Aembit、Clutch、Palo Alto、GitGuardian、Zenity 都在这一组，卖发现、轮换和运行时拦截。第四组是智能体接入与开发者身份，Descope、Scalekit、Natoma，卖网关和 SDK。

四组收的钱不是一回事。第一组按人头，智能体不进人头数，要靠工作负载计价往上加，加得动就涨，加不动就停在席位费。第三组按资产数量，企业里机器身份是人的几十倍，理论上盘子更大，但工具容易被平台吸收，2026 年的六笔并购就是吸收的证据。第二组依赖合规预算，第四组依赖开发者的采用速度。

另外三个切口更窄。一个从代码仓库里的密钥泄露出发，往后延伸到智能体凭证；一个从低代码平台和办公套件里的智能体出发，管它调用了什么、权限有没有超；还有一个专做工作负载之间的访问策略，不碰人。切口不大，但都比通用发现更难被平台一夜之间覆盖。

还有一类不在这张表里，影响却很大：平台自带的能力。Microsoft4 月开放 Entra Agent ID，跟着办公套件打包卖，不单独计价。对创业公司来说，这类能力不会单独收费，却会把要不要再买一个独立工具这个问题变得更难回答。

投资人该问的三个问题

第一笔钱为什么现在来？

因为智能体从演示走到生产，权限问题从以后再说变成上线前必须答。但要看预算来源：钱从安全预算出，说明买方已经在生产环境跑智能体；从创新项目出，说明还停在试点，这类合同续费最脆。

下一轮看哪三个数？

接进目录的智能体数量、签发的短期凭证数量、以及这些凭证的续签率。只看客户数会被大企业的试点合同骗，只看签约金额会被一次性项目骗。

新入局还剩哪条缝？

两条。一条是某个具体系统的深水区，比如数据库、Kubernetes、MCP 服务器，平台做不细的那一段；另一条是智能体之间的调用链，A 调 B 调 C 的时候权限怎么逐层衰减。通用发现和通用网关已经挤了，六笔并购之后更挤。

接下来十二个月，看三件事就够了

第一，ID-JAG 有没有排上工作组最后征求。排上，说明标准能在草案失效前接上，已上线的集成不用返工；排不上，2027 年各家的实现分叉就是大概率。

第二，Okta 之外的两家身份提供商有没有把智能体 SSO 并进基础套餐。并进去，说明发钥匙变成了身份提供商的默认能力，独立工具只能往深水区退；不并，说明这还是个可以单独收费的新品类。

第三，明年上半年的续签率。短期凭证签发量涨得快不稀奇，稀奇的是企业第二年还续。三件事里两件落地，发钥匙的生意就坐实了；一件都不落地，这一轮并购买到的就只是功能，不是入口。

文中涉及的产品

• Okta：企业身份提供商，Agent SSO 并进基础套餐，用目录里的智能体账号换短期委托凭证。

• Ping Identity：企业身份提供商，Identity for AI 分注册、网关、检测三层卖。

• Auth0：开发者身份平台，随 Okta 支持 Cross App Access，客户以应用和 SaaS 为主。

• WorkOS：帮 SaaS 接入企业单点登录与跨应用授权，卖的是应用侧的适配层。

• SailPoint：身份治理厂商，用 Entro 补上令牌与密钥的台账，主推 Agentic Fabric。

• Permiso：云上身份威胁检测，盯人类、机器和智能体三类身份的异常行为。

• Astrix Security：非人类身份发现与治理，客户多是已经上了大量 SaaS 和云服务的企业。

• Entro Security：扫 CI/CD 与代码仓库里的密钥、令牌、证书，做运行时检测和来源追踪。

• Oasis Security：智能体凭证的签发、轮换与审计，被收购后成为 Cyera Identity 这条产品线。

• Token Security：从服务账号和 API 密钥出发，扫机器身份和 MCP 服务器，找权限过大的那一批。

• Aembit：工作负载身份与访问代理，按策略放行服务之间的调用，不靠静态密钥。

• Clutch Security：非人类身份清点与控制，重点在证书和密钥的生命周期管理。

• Palo Alto Networks：安全平台，用 CyberArk 补上特权访问，把机器身份纳入网络与云的安全边界。

• GitGuardian：代码仓库密钥泄露检测起家，往智能体凭证和流水线令牌延伸。

• Zenity：低代码平台与办公套件里的智能体安全，管调用链和权限越界。

• Descope：开发者身份平台，Agentic Identity Hub 做智能体注册、委托与 ID-JAG 签发。

• Scalekit：MCP 服务器的授权基础设施，帮开发者处理 OAuth 与租户隔离。

• Natoma：企业 MCP 网关，在工具调用层做身份校验、策略执行和审计留痕。