Agent ID 成为受监管企业的新必备任务

2026 年 9 月 29 日，RSA 在一份新闻稿中正式宣布推出 Agent ID，这是一套专为高度受监管行业设计的平台，旨在识别、分类并控制人工智能代理的使用。该公告的目标受众包括金融机构、保险公司、医疗健康服务提供商以及其他必须依据法律规定对每一次自动化决策进行追溯和记录的行业部门。RSA 强调，这一解决方案并非仅仅是一个技术附加组件，而是将成为合规战略的核心组成部分，因为越来越多的企业在关键业务流程中依赖自主运行的 AI 代理。

什么是 Agent ID？

Agent ID 由三个模块组成——Discover（发现）、Secure（安全）和 Govern（治理），三者协同提供 AI 代理完整的生命周期管理。Discover 模块负责扫描网络和应用环境，能够识别出已获批准的代理以及未获批准的代理，并将它们归属到相应的所有者。除此之外，Discover 还能识别模型控制平面（MCP‑Server），并将其与对应的代理关联，从而呈现出完整的 AI 基础设施全景。扫描结果会集中显示在一个统一的概览页面，负责人员可以立即看到哪些代理正在运行、它们所在的位置以及谁对它们负责。

Secure 模块在实时环境中检查每一次工具调用及其参数组合是否符合预先定义的策略。如果某次调用不符合既定要求，Secure 可以要求进行单独的、经过身份验证的批准后才允许执行该操作。此机制防止了未经授权或潜在风险的代理操作在未被察觉的情况下继续进行。RSA 进一步指出，内联检查不会产生额外的网络延迟，因为策略引擎直接嵌入数据流中。企业还能获得关于被拒调用的详细日志，这些日志强化了可追溯性并提升了审计报告的完整性。

治理是如何运作的？

Govern 作为 Agent ID 的第三个模块，负责对 AI 代理执行的所有操作进行无缝记录。每一次交互都会被映射到十套预定义的规则集之一，这些规则集覆盖了常见的监管要求——从数据保护法规到金融监管，再到健康医疗规范。收集到的证据可以自动转发给监管机构或内部审计团队。RSA 计划在 2027 年上半年正式向所有客户开放 Govern，而 Discover 与 Secure 已经计划于 2026 年 11 月 16 日向客户提供使用。模块化的架构允许企业先部署前两个组件，随后再根据需要添加治理功能，以实现完整的合规闭环。

RSA 提供的唯一量化信息显示，某大型银行已经部署了超过 4,000 个受内部禁用政策约束的代理。这一数字来源于 RSA 本身，尚未通过独立的市场研究进行验证。尽管如此，这一数据仍然清晰地展示了 AI 代理在受监管环境中已经达到的规模，并进一步凸显出建立结构化身份和控制层的迫切需求。

对责任和运营组织的影响

引入 Agent ID 后，企业能够更明确地划分责任归属。当未经授权的代理导致错误决策时，借助 Discover 与 Govern 记录的日志，企业可以精准追溯到具体的开发者、所属团队或外部服务提供商，从而明确谁拥有控制权。这种透明度加强了法律层面对责任追究的可执行性，并降低了因未能证明合规而被处以罚款的风险，因为企业能够提供明确的合规证据。运营层面上，这意味着 IT 部门与合规部门必须紧密协作，共同在 Secure 中实现策略配置，定期使用 Discover 进行扫描，并通过 Govern 生成治理报告进行审查。

• 通过 Discover 建立集中式代理清单。
• 在 Secure 中为所有关键工具调用定义并实施策略。
• 将 Govern 集成到现有的审计和报告流程中。
• 对业务部门进行 AI 代理责任培训。
• 根据监管变化定期审查并更新十套规则集。

从现在起，受监管的企业必须将 Agent ID 纳入其合规战略，以满足对 AI 代理透明度和控制的日益增长的要求。Discover 与 Secure 将于 2026 年 11 月 16 日正式可用，为企业提供快速入门的机会；而 Govern 将在来年全面上线，确保完整的证据链能够得到有效维护。未能主动承担这一必备任务的企业不仅面临监管处罚的风险，还会因无法识别的代理做出不可预见的决策而陷入运营不确定性。Agent ID 因此标志着一个明确的转折点：代理身份从可选的最佳实践转变为每一家受监管组织不可或缺的强制性要求。