授权传播：提示注入防御无法弥合的智能体安全缺口

这是什么？

2026 年 5 月 6 日，Krti Tallam 发表了 Authorization Propagation in Multi-Agent AI Systems: Identity Governance as Infrastructure（arXiv:2605.05440，cs.AI）。这篇论文对一个两年来几乎把智能体安全等同于提示注入的领域作出了有益的纠正。

论文为一种独立的失效模式命名：授权传播——即在非人类主体跨越不断变化的信任边界检索数据、委派子任务、综合结果的过程中，维持授权不变式的问题。其核心论断是，该问题”无法归结为提示注入，也无法被 RBAC、ABAC 或 ReBAC 等经典访问控制模型完全覆盖”。换言之：即便你明天彻底解决了提示注入，这个缺陷依旧存在。

让论证站得住脚的是一处实证旁注。论文报告了来自一个生产环境企业级 AI 平台的初步证据，表明系统的正常行为——而不仅是对抗性动作——已经在产生该模型所预测的失效。这是设计缺陷，而不只是攻击面。

工作原理

其机制关乎身份，而非载荷，因此这里没有需要打码的内容。一个多智能体工作流大致如下：用户向规划器智能体提出请求，规划器派生若干子智能体，每个子智能体调用工具或检索文档，结果再向上回流并被合并。论文逼出的问题很简单——这些动作各自在谁的权限下执行，且在动作真正触发的那一刻该权限是否仍然有效？

Tallam 将授权传播分解为三个子问题：

子问题                  何处出错
---------------------  --------------------------------------------------------
Transitive delegation  智能体 A 可代表用户行事。A 委派给 B。B 继承 A 的范围、
                       用户的范围，还是更窄的范围？朴素的系统把完整令牌向下传
                       递：一个收紧的请求扩散成宽泛的访问。
Aggregation inference  每次检索都单独获得授权，但把结果组合起来却揭示了任何单一
                       来源都无权披露的信息。逐次调用的检查都通过；综合却泄露。
Temporal validity      授权在规划阶段被检查，但动作在稍后执行——在角色变更、撤销
                       授权或会话过期之后。检查一度为真；如今已不再为真。

这些情形没有一个是被注入的提示。它们是权限如何在工作流中流动的属性。经典访问控制假定一个相对稳定的主体发出有界的请求；而智能体图破坏了这两个假定，它动态委派、异步行事。

随后论文为这一场景推导出七项结构性要求，并梳理了该领域正在收敛的构件——与调用绑定的能力令牌（权限绑定到某次具体调用，而非长期持有的持有者密钥）、按任务限定的授权信封（请求只携带满足它的最窄范围）、基于依赖图的策略执行（依据真实数据流图来评估决策），以及按执行次数撤销（权限在 N 次使用后失效，而非按时钟失效）。诚实的结论是：这些是收敛的信号，“但尚未收敛为一套完整的架构”。

为何重要

智能体安全的讨论恰恰存在这种形状的盲区。2025–2026 年的大部分文献——以及 2026 年 6 月那一波披露的大部分——都在阻止恶意输入抵达某个工具。授权传播与之正交：它关心的是一条合法的、未被注入的指令，在穿过三层委派之后，是否有权去做它最终做的事。

这种正交性正是其运维要点。在输入过滤、护栏模型、输出扫描上投入巨大的团队，仍可能交付这样一个系统：一名低权限用户的提问，经由持有宽泛服务凭证的规划器路由，返回了他本无权查看的数据——而每一次单独访问都被记录为已授权。关于智能体身份的相邻文献（Identity Management for Agentic AI，arXiv:2510.25819）从标准侧得出了相同结论：非人类主体的增长速度，快于本应治理它们的授权管路。

日期对于定调很重要。这是一篇2026 年 5 月初的立场与架构论文，而非漏洞披露。没有 CVE，没有受影响厂商，没有补丁。要点在于：下一类智能体事故也许根本不像一次攻击——它看起来会像系统在错误的权限下，精确地做着它被接线去做的事。

防御

论文本身就是一项防御性贡献；以下是面向构建多智能体系统团队的实操译解：

1. 在每一跳让权限显式化。 把每次委派当作一次新的授权决策，而非继承而来。子智能体应当获得满足其任务的最窄范围，且派生自源用户的权限——绝不是规划器服务凭证的副本。

2. 把权限绑定到调用，而非会话。 优先采用与调用绑定的能力令牌和按任务限定的信封，而非下游智能体可重放的长期持有者令牌。一个指明自身所许可的具体调用的权限，无法扩散。

3. 在执行时刻重新校验。 在规划阶段验证过的授权，到异步动作触发时已经过期。在执行的那一刻评估时间有效性，让角色变更、撤销与过期真正生效。

4. 治理聚合，而不仅是检索。 逐来源的检查会漏掉由结果组合而生的推断。把策略应用到综合步骤和数据流图，而不仅是单次工具调用。

5. 采用按执行次数且感知图结构的撤销。 在有界次数后失效的权限，加上依据真实依赖图评估的策略，可在某次授权过宽时收敛影响半径。

6. 审计非对抗性失效。 论文最可落地的发现是：正常行为已在触发这些失效。在不假设攻击者的前提下，对你的智能体图做红队演练，排查过宽委派与聚合泄露——回放正常工作流，核对每个叶节点的有效权限是否与用户的真实授权相符。

7. 把身份治理当作基础设施。 持续评估，并在每个交互边界强制执行，要赶在编排逻辑扩张之前。等智能体图跑通后再加挂访问控制，正是论文所预测的失效被带进生产的方式。

状态

项目	参考	日期	备注
Authorization Propagation 论文	arXiv:2605.05440	2026-05-06	立场 + 架构，20 页，cs.AI
三个子问题	论文 §形式化	2026-05-06	传递性委派、聚合推断、时间有效性
收敛中的机制	论文综述	2026-05-06	与调用绑定的令牌、按任务信封、基于图的策略、按执行次数撤销
Identity Management for Agentic AI	arXiv:2510.25819	2025-10	从标准侧看同一缺口
2026 年 6 月智能体安全综述	Adversa AI	2026-06-01	将授权传播标记为一条独立研究线索

正确的读法是：提示注入是人人都在出资防御的威胁，而授权传播是那道防御奏效之后仍然屹立的问题。如果你的多智能体系统有一道强力的输入过滤，却对”这个叶节点动作在谁的权限下执行、它是否仍然有效”无言以对，那你只搭好了半个安全模型。