Non-Human Identity Governance
非人身份访问治理
AI Agent 时代，「账号合法登录」已不等于「真人在操作」。 WuThreat ITDR 网关 3.0 在不改造业务系统、不安装客户端的前提下， 通过 5 层指纹 + 责任人追溯 + 应用授权矩阵， 将企业内看不见、管不住、追不溯的非人访问全部纳入治理。
全量非人身份盘点
自动发现并盘点企业内所有 API 密钥、Service Account、AI Agent Token 及机器证书， 消除非人身份管理黑洞，建立唯一可信的资产台账。
最小权限自动管控
基于实际访问行为分析，自动识别超权限账户并智能推荐最小权限策略， 降低横向移动与权限提升风险。
异常访问实时检测
实时监控非人身份访问行为，精准识别密钥泄露、异常调用频次、 非授权时间访问、权限越界等高风险信号，毫秒级告警响应。
5 Categories of Non-Human Identity
5 大类非人身份全覆盖
从研发 IDE 中的代码助手，到企业合规 RPA，再到外部攻击者改造的 AI 工具—— WuThreat 将企业环境内所有"非人访问"归纳为 5 大类，每类有针对性的识别与治理策略。
代码生成类 AI
Cursor IDE · GitHub Copilot · Claude Code · Codeium
嵌入研发环境的 AI 助手，以开发者凭证访问代码仓、测试接口乃至生产数据库，
IAM 系统看到的是"开发者正常登录"。
通用 AI Agent
OpenClaw ("龙虾") · Devin · Kimi · 自研 Agent
拥有自主规划能力，接管员工 OAuth 凭证跨系统操作，
核心风险在于 OAuth scope 越界与无人工 review 的自主决策。
浏览器接管类
OpenAI Operator · Browser Use · AutoGPT 浏览器模式
直接接管真实浏览器会话，可绕过已完成的 MFA，
传统机器流量识别（蜜罐 / Honeypot）对其几乎完全失效。
企业 RPA
UiPath · 阿里云 RPA · 自研 Python 机器人
企业合规自动化机器人，常被安全工具误判为攻击源。
需白名单管理与凭证生命周期审计，而非直接拦截。
外部攻击类
Hermes Agent · LangChain 爬虫 · Browser Use 撞库脚本
攻击者用开源 AI 工具改造的自动化攻击器，
WAF 只看到合法 HTTPS 流量，账密也是真实的（撞库获得）。
Non-Human Identity Capabilities
非人身份治理能力
从 API 密钥到 AI Agent，覆盖企业内所有非人身份类型的全生命周期管理， 实现自动盘点、权限治理、异常检测与合规审计一体化。
API 密钥全生命周期管理
自动发现散落在各系统中的 API 密钥，统一管控有效期与权限范围， 实时检测密钥泄露与异常调用，支持定期自动轮换。
Service Account 权限治理
全量盘点服务账号分布与权限配置，精准识别超权限账户与僵尸账号， 自动推荐最小权限策略并一键执行下线。
AI Agent 身份访问控制
为每个 AI Agent 分配独立最小权限身份，防止 LLM 被注入恶意指令后 以 Agent 凭证绕过业务鉴权或进行横向渗透。
僵尸凭证自动清理
90 天未使用凭证自动标记预警，即将过期证书智能提醒， 避免失效凭证成为攻击者的隐蔽入口。
非人身份资产总览
5-Layer Fingerprint Stack
5 层指纹识别技术栈
单层指纹易被伪造，多层叠加难以绕过。L1 至 L5 从网络、应用、设备、行为、身份五个维度联合判定—— 即使攻击者绕过前三层，行为层 L4 仍会暴露请求间隔过于规律、无鼠标键盘事件等 AI Agent 在物理上无法完全模拟的特征。
采集 TLS 握手特征，精准区分客户端类型：Chrome 浏览器 / Python requests / curl / Cursor IDE。 伪造需重新实现完整 TLS 协议栈，是成本最高的绕过方式。
采集 User-Agent、Accept-Language、Accept-Encoding 及自定义请求头。 官方 AI 工具通常不主动伪造 UA，Header 顺序与组合特征在仿冒时会暴露。
采集 Canvas 渲染哈希、WebGL 哈希、字体列表、分辨率与时区。 Headless Chrome 通常 Canvas 缺失、WebGL 哈希全零，是强自动化信号。 伪造需模拟完整 GPU 渲染上下文。
采集鼠标轨迹、键盘节奏、请求间隔均值与标准差。 请求间隔标准差 <50ms 即触发"规律请求"信号—— 这是 AI Agent 在物理层面无法完全模拟的人类行为特征。
关联同 IP 5 分钟内的员工登录会话、同设备指纹 1 小时内的历史会话与 OAuth Token， 将每个非人访问追溯至自然人责任人。综合关联度 ≥80% 自动绑定，95% 以上可准确追责。
识别准确率
拦截率
误报率
增加延迟
Typical Risk Scenarios
非人身份典型攻击场景
非人身份往往权限高、数量多、缺乏监控，已成为 APT 攻击者绕过传统 IAM 防线的首选突破口。
Cursor AI 访问生产数据库
张工用 Cursor 调试代码，一句 "帮我查一下生产库的用户表" 触发后， Cursor 直接用张工的 OAuth Token 访问了生产数据库—— 传统 IAM 看到的是"张工正常登录"，完全看不出是 AI 在操作。
AI Agent 跨系统汇集敏感数据
财务部赵姐授权 OpenClaw AI 跑月度报表，Agent 自动登录 CRM 拉了客户表， 又跨系统访问了 ERP 发票数据——OAuth scope 越界了， 但 IAM 系统看不出来。
Browser Use 自动化撞库探测
攻击者使用 Python 库 browser-use 模拟登录尝试， WAF 看到的是合法 HTTPS 流量，账号密码也是真实的（撞库获得）—— 4,912 次请求在传统防护视野下完全隐形。
Core Value
核心价值
为什么非人身份治理是零信任落地的关键？
非人身份数量往往是人类账户的 10 倍以上，是现代企业最大的攻击面扩展来源。 全面治理非人身份，是零信任架构真正落地的前提条件。
消除非人身份盲区
从 API 密钥到 AI Agent，全量自动发现，建立唯一可信的非人身份资产台账， 让每一个机器身份都可查、可管、可控。
最小权限自动落地
告别手动安全审查，基于实际访问行为分析自动推荐最小权限策略， 从理念到实践，显著降低横向移动与权限提升风险。
等保合规全程支撑
非人身份台账、访问日志、权限变更审计全程留存， 满足等保 2.0、ISO 27001 及行业监管对身份与访问管理的合规要求。
vs. Traditional Security
与传统安全方案的差异
传统产品看"账号合法不合法"，我们看"是不是真的人在操作"。 本方案与现有 IAM / WAF / DLP / SIEM 是互补关系，填补非人身份主体判定这一层空白。
| 对比维度 | 传统 IAM | 传统 WAF | DLP | EDR | WuThreat ITDR 网关 |
|---|---|---|---|---|---|
| 识别 AI Agent 工具类型 | ✗ | ✗ | ✗ | △ 终端可见 |
✓ 12+ 种主流工具 |
| 区分 AI Agent 与真人 | ✗ | △ 仅简单规则 |
✗ | △ 终端可见 |
✓ 5 层指纹联合判定 |
| 追溯到自然人责任人 | △ 仅账号层面 |
✗ | ✗ | ✗ | ✓ 95%+ 准确率 |
| 阻断 AI Agent 越权访问 | ✗ | △ 粗粒度 |
✗ | △ 终端拦截 |
✓ 应用授权矩阵 |
| 不改造业务系统 | ✓ | ✓ | △ 需代理 |
✗ 需安装 Agent |
✓ 网关旁路，零侵入 |
| 适配云端 SaaS AI（如 Operator） | ✗ | △ 看到流量但不识别 |
✗ | ✗ 终端无进程 |
✓ 5 层指纹全覆盖 |
Frequently Asked Questions
常见问题解答
已有 IAM 和 WAF 了，为什么还需要这个？
IAM 和 WAF 看的是"账号合法、流量合法"。但 AI Agent 时代， 合法账号 + 合法流量 ≠ 真人在操作。 本方案补足的是"主体身份判定"这一层——回答"这个会话是人还是 AI"。 我们和 IAM / WAF 是互补关系，不是替代。
会不会误报企业合规的 RPA 机器人？
不会。我们设计了"关联自然人会话"这个 -50% 负权重因子—— 只要 RPA 能关联到员工或部门，置信度分数立刻降下来。 合规 RPA 误报率 <1%。 同时支持一键白名单（不告警但仍记录审计日志）。
员工授权的 AI Agent 怎么处理？比如用 AI 跑报表？
典型的"需复核"场景。我们：① 识别 AI 工具（灰名单）→ ② 关联员工身份（自然人会话）→ ③ 触发飞书 / 钉钉审批 → 员工确认放行，未确认则拦截。 既不阻碍员工合理使用 AI，也不让 AI 越权操作。
部署对业务系统有影响吗？需要改造吗？
完全不需要改造业务系统。网关部署在流量入口（inline 或旁路镜像）， 纯被动观察 TLS / HTTP 特征。无需安装客户端 / Agent，无需修改应用 SDK， 无需改 DNS 解析。旁路模式零延迟， 网关模式单请求增加 <2ms。标准化部署 3–5 个工作日完成。
Expert Consultation
专属身份安全策略咨询
面对复杂的身份威胁（ITDR）和合规挑战，您需要定制化的解决方案。立即与 WuThreat 身份安全专家团队取得联系，我们将基于您的业务架构和行业特性，提供：
实战解决方案定制
针对您的业务场景量身打造
新兴威胁战略规划
前瞻性的长期安全布局
专业技术疑难解答
专家团队全程技术支持
微信扫码，即可咨询