在企业里，部署一个 AI Agent 可能来自一次实验、一个自动化脚本或某个临时配置。但几个月后，团队未必能说清它为什么存在、由谁负责、还能访问哪些系统。Arrakis Security 的一份报告把这个问题具体化：在客户生产环境中，约 76% 已启用的 Agent 在过去 60 天里没有运行，而其中许多仍持有有效凭证。对团队而言，这类 Agent 不只是被搁置的资产，更像一个无人认领、仍可访问资源的身份。
被遗忘的 Agent 不是闲置，而是保留着入口
Help Net Security 在 10 月 26 日报道了 Arrakis Security 的这份报告。Arrakis 在约三个月时间里分析了客户生产环境中的数千个 Agent。由于数据来自厂商客户，它更像一组样本，而不是全行业普查。不过，报告指出的问题足够清晰：许多 Agent 停止使用后，并没有被清理。
Arrakis CEO Tal Baron 将根源概括为：当 Agent 不再被使用，通常没有人移除相关配置，因为在多数公司里，没有人明确负责这件事。
根据素材，一个被遗忘的 Agent 通常仍保留三类关键要素：
- 凭证：仍有效的访问密钥或令牌；
- 集成：与外部系统、服务或模型接口的连接；
- 触发器：可被调用或执行任务的入口。
因此，风险不只在于它最近是否运行过。一个未签名的 webhook，可能让一个春天之后就没有人运行过的 Agent 成为发现 URL 者可以触发的入口；一个永不过期的 token，可能让退役原型长期保留一把“常驻钥匙”。
委托链与托管密钥，让追溯更复杂
Agent 的边界还会被委托机制复杂化。Arrakis 报告提到，Agent 可以把工作交给其他 Agent 或第三方模型，并接收在另一个 Agent 权限下产生的输出。这样一来，一个被遗忘的节点可能藏在一条看似活跃的调用链里。团队看到某个流程仍在运行，却未必能发现链条深处某个早期 Agent 已无人维护。
托管密钥也带来类似问题。BleepingComputer 在 10 月 19 日报道的 OpenCode 事件显示，存储的提供商密钥最早从 10 月 17 日起暴露，约 1.4% 的 Console 用户受到影响；有用户报告隔夜费用最高达 $1,700，该公司对相关费用的说明仍属临时口径。这个案例提示：当 Agent 平台替用户保管密钥时，密钥能否被及时撤销，取决于平台与提供商的具体机制。
从“谁让它做”到“它是谁”
NIST、CISA 和 NSA 在 10 月 16 日发布的指南提出了十项自愿实践，用于应对 Agent 在没有明确方向时采取行动的场景。BeyondTrust 的 Len Noe 在 10 月 26 日发表于 BleepingComputer 的一篇赞助文章中进一步提出，事故发生时，实际问题往往不是“它是否有意”，而是“哪个身份执行了动作，以及它拥有什么权限”。
如果每个 Agent 都有自己的身份，那么被遗忘的 Agent 就会成为一种典型异常：无人使用、无人认领，却仍在权限体系中存在。围绕素材中的线索，治理问题也随之落到资产盘点、权限回收和审计上：谁创建了 Agent，谁负责关闭；哪些凭证仍有效，哪些触发器仍可访问；哪些委托链仍连着旧身份。
Humanbound 提供了一个可参考的工具切口。素材提到，Humanbound 的 engine 与 CLI 已开源，地址为 github.com/humanbound/humanbound；其免费 Community 计划可用于对已知 Agent 做对抗测试，并继续查找未识别的 Agent。对于企业来说，这一步的意义在于先把“看不见的自动化身份”变成可盘点、可测试的对象。
上线之后，Agent 需要持续被看见
在 AI 编程和自动化协作场景里，Agent 的价值来自持续运行与工具调用。但一旦进入生产环境，它就不再只是代码，而是带有凭证、接口和执行权限的身份。部署速度越快，越需要配套的生命周期管理。
被遗忘的 Agent 之所以值得警惕，是因为它既不像传统漏洞那样容易被扫描发现，也不像普通账号那样有明确负责人。它可能挂在旧项目、旧 webhook 或旧密钥里，成为未被监控的访问点。企业需要补上的，不是单次上线审批，而是让每个 Agent 从部署到退役都能被识别、被归属、被回收的机制。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/bei-yi-wang-de-ai-agent-zheng-zai-bian-cheng-qi-ye-li-de-wu
