AI Agent 凭证外溢与轮换

AI Agent 安全专题 · EP.04 · 2026-08-28

上海见形信息科技有限公司 · 灵御（Aegis）安全实验室

Agent 工作流中的凭证位置

一个 Agent 可能同时访问模型服务、外部 SaaS 和内部数据库。LLM API Key、OAuth Access Token、Refresh Token 与工具调用令牌会经过不同组件，需要分别记录持有者、用途、权限、保存位置与有效期。

凭证可能随着开发配置、RAG 内容、工具返回值、错误日志与 trace 被复制到新的位置。模型能够读取的上下文、可观测系统和共享索引都应纳入凭证检查范围。

LLM API Key 的四条泄露路径

开发配置和公共仓库

.env 误提交、客户端代码包含服务端密钥、构建日志输出环境变量，都会扩大 Key 的可见范围。凭证扫描需要覆盖仓库历史、构建产物和日志，发现泄露后执行撤销与轮换。

RAG 文档和共享检索

合同附件、技术手册和操作记录中的凭证可能被自动索引。索引的读者范围可能超过原文件持有者。入库流程应识别凭证字段，检索层继续执行文档权限检查。

Prompt、缓存和会话记录

凭证进入 Prompt 后，可能出现在请求记录、会话历史和相关缓存中。需要按服务提供方的保存策略确认副本范围，并在应用侧阻止凭证进入模型输入。

工具调用和 trace

工具适配器可能将完整请求、认证头或异常对象交给模型分析，或者写入 LangSmith 等可观测系统。日志应按允许记录的字段生成，认证材料在执行侧注入，模型只接收完成任务所需的业务结果。

OAuth 授权中的三个检查位置

Refresh Token 保存。 检查状态数据库、备份和容器文件系统是否含有长期凭证。凭证应进入专用管理服务，读取权限与 Agent 的业务权限分别控制。

错误处理和重试。 检查失败响应是否包含认证头、Token 或连接字符串。重试信息进入模型前需要字段筛选和脱敏。

租户与用户隔离。 工具适配器应检查用户、租户、目标资源和授权范围。共享 OAuth App 的工作流仍需维护独立授权关系，禁止通过共享会话借用其他用户的 Token。

间接提示注入如何触发凭证外发

外部日历、工单或知识库返回的指令可能诱导 Agent 请求凭证，随后把结果写入日志或发送给新的目标。决定影响范围的因素包括：Agent 能否读取凭证、是否能任意选择外发目标、执行器是否检查授权。

这张表描述用于安全评估的攻击场景。具体事件中的入口、受影响凭证和外发范围，需要通过原始日志确定。

三类凭证的生命周期管理

模型服务凭证：集中保存与网关授权

模型服务的真实 Key 保存在接入网关或凭证管理服务。开发者与 Agent 获取网关颁发的短期调用授权，授权绑定调用方、模型、额度和业务用途。

上游 Key 的轮换周期依照提供方能力与企业策略设置。网关需要支持按调用方撤销、额度限制、异常告警和调用审计。执行器从凭证服务取得认证材料，禁止将真实 Key 返回给模型。

OAuth：安全授权、轮换与重放检测

使用 Authorization Code 等适合业务场景的授权流程，并采用提供方支持的 PKCE、Refresh Token rotation 或发送方约束措施。权限范围和有效期由资源敏感度、身份提供方能力与任务需要共同确定。

Refresh Token 的保存、交换、撤销和异常重复使用需要形成完整记录。发生泄露时，同时处理 Access Token、Refresh Token、相关授权与会话。

工具调用：绑定用户与目标资源

工具调用授权应绑定 Agent ID、用户会话、租户、操作和目标资源。执行前重新检查权限，避免仅凭模型生成的参数决定授权。

高敏操作使用人工审批，授权记录与实际执行结果关联。平台应能停止会话、暂停 Agent、撤销凭证，并将这些动作连接到告警流程。

运维与事件处理

1. 盘点每个 Agent 持有的凭证及所有可能保存副本的位置。
2. 检查日志、RAG 索引、构建产物与客户端资源中的凭证暴露。
3. 为凭证配置责任人、有效期、轮换作业与撤销方式。
4. 演练泄露后的凭证撤销、会话清理、受影响资源查询和恢复。
5. 检查轮换期间的调用连续性，确认旧凭证在预定时间失效。

相关研究与参考资料

• 间接提示注入与 RAG 知识库安全
• 企业级 AI 安全路线图 2026
• OWASP Top 10 for Large Language Model Applications
• MITRE ATLAS
• NIST AI Risk Management Framework