NIST IR 8587 加固了令牌，也点出了 AI 智能体这块空白

2026 年 9 月 15 日，NIST 与 CISA 发布了 NIST IR 8587《保护令牌与断言免受伪造、窃取与滥用：面向机构与云服务商的实施建议》。这份报告的价值在于可执行：它把「令牌安全」拆成了一组能写进配置文件的数字与 MUST/SHOULD 条款。而它同样值得一读的原因还有第二个——报告明确把 AI 与 AI 智能体的访问风险排除在范围之外，并承认这是一处需要更多标准填补的空白。对正在把智能体放进生产环境的人来说，后半句比前半句更重要。

令牌是一张带时钟的凭证

一、这份报告是什么

IR 8587 由 Ryan Galluzzo、Andrew Regenscheid（NIST）、Stephanie Nelson（Accenture Federal，支持 CISA）与 Christine Lazcano（CISA）撰写，NIST 编辑审查委员会于 2026 年 8 月 27 日批准，CSRC 文档历史标注的发布日期为 2026 年 9 月 15 日，数字对象标识符为 10.6028/NIST.IR.8587。它建立在 NIST SP 800-53 第 5.1.1 版更新之上，目标读者是联邦机构与云服务商，覆盖 SSO、联合身份与 API 访问三类场景。报告开篇即说明其作用范围：帮助机构与云服务商保护身份令牌、访问令牌与断言免受伪造、窃取与滥用，并针对近期高风险攻击中暴露的威胁给出建议。

-- 1. Audit token lifetimes first: this is the cheapest control in the report
SELECT issuer,
       token_type,
       MIN(lifetime_minutes) AS shortest,
       MAX(lifetime_minutes) AS longest,
       COUNT(*) FILTER (WHERE lifetime_minutes > 60) AS over_one_hour,
       COUNT(*) FILTER (WHERE revoked_check_supported = false) AS no_revocation_check
FROM   token_issuance_policy
GROUP  BY 1, 2
ORDER  BY over_one_hour DESC;

-- NIST IR 8587: access tokens and identity tokens SHOULD be valid for no more
-- than one hour, and expired tokens MUST be rejected by authorization services
-- and policy enforcement points.

二、可以这个季度就落地的四条规则

报告里最容易被忽略、也最容易实现的，是令牌有效期。IR 8587 建议访问令牌与身份令牌的有效期不超过一小时，同时要求云服务商让有效期可由使用方配置，并根据 FISMA 系统分级与认证保证等级给出基线值；已过期令牌必须被授权服务与策略执行点拒绝。第二条是密钥纪律：签名密钥不得用于其他用途，也不得在其定义范围之外使用——报告甚至明确规定，非 FedRAMP 或非联邦授权环境的密钥，除存在适当信任协议的情形外，不得用于为 FedRAMP 环境签发身份令牌与断言。第三条是验证责任：资源服务器在授予访问之前，必须确认令牌与断言的来源、范围、有效性与完整性。第四条是刷新策略：用于 API 访问、工作负载与非人类交互的刷新令牌应尽可能短，并辅以失陷检测与设备注册等控制。

# 2. Four checks before you trust a token (resource server side)
def verify(token, request, config):
    claims = decode_and_verify_signature(token, config.jwks)

    assert claims["exp"] > now(),                  "expired tokens MUST be rejected"
    assert claims["aud"] in config.allowed_audiences
    assert claims["scope"] in config.allowed_scopes
    assert claims["iss"] in config.trusted_issuers
    assert signing_key_scope(claims) == "token-signing"

    # IR 8587: the scope, validity, source, and integrity of all identity
    # assertions and tokens MUST be confirmed by the relying party or resource
    # server before access is granted.

发送方约束让被窃取的令牌变得无用

三、撤销不是开关，而是一条信号链

报告坦率承认一个现实：在无状态令牌实现中，无法保证在令牌到期之前做到即时且全局的撤销。因此它的策略是双轨——用短有效期压缩窗口，用刷新令牌或重新认证兜住连续性；同时要求身份提供方与令牌服务尽量提供撤销能力，并把撤销状态传播给关联的依赖方（例如令牌自省端点、令牌状态列表或共享信号），已连接的依赖方必须拒绝已被撤销的令牌并终止相应会话。报告点名了两个标准化机制：Open Identity Foundation 的共享信号框架（SSF）与持续访问评估配置（CAEP），并建议云服务商与使用方实现会话撤销信号。这条建议的工程含义是：撤销要从「一个管理员点按钮」升级为「一条你订阅的实时事件流」。

# 3. Sender constraining: bind the token to the client, not just the user
#    Order of preference is a judgement call; the report lists the options.
oidc_clients:
  agent-worker:
    token_ttl_seconds: 900            # 15 minutes, well under the 1-hour ceiling
    sender_constraining: dpop         # or mtls; channel binding via TLS is the fallback
    audience_restriction: [inventory-api, ticket-api]
    device_registration: required
    compromise_detection:
      signals: [geolocation, velocity]
      action_on_risk: revoke_session

refresh_tokens:
  non_human_interactions: "as short as possible"   # API access and workloads
  interactive_human_sessions: "not beyond reauthentication time frames"

四、把被窃令牌变成废纸：发送方约束

报告中列出的风险缓解能力表，实际上就是一份采购清单：撤销、向策略执行点快速推送授权更新的高级授权能力、基于地理位置与速度等信号的失陷检测与会话分析、设备或 IP 注册，以及证明持有（proof of possession）与发送方约束。最后一项最直接：通过设备专属公私钥对（DPoP）或双向 TLS 绑定，验证发起交易的端点身份，使被窃取的令牌无法在别处被使用；如果做不到强发送方绑定，还可以考虑用 TLS 属性做通道绑定。报告同时要求云服务商把这些能力的有无与有效性文档化并呈现给使用方，以便使用方据此决定令牌有效期——换句话说，能力越强，有效期可以越长；能力缺失，就必须把有效期压到最短。

# 4. Revocation has to travel: plan for signals, not for a global switch
signals_to_propagate = [
    "session_revoked",       # Shared Signals Framework (SSF)
    "credential_change",     # Continuous Access Evaluation Profile (CAEP)
    "risk_level_change",
]

subscribers = [idp, resource_server, policy_enforcement_point]

# IR 8587: immediate and global revocation is not always possible before a
# stateless token expires. Short lifetimes plus refresh or reauthentication
# limit the window; connected relying parties MUST reject revoked tokens and
# terminate the sessions attached to them.

报告自己划出了智能体访问风险这条边界

五、那句最该读两遍的话：智能体在范围之外

报告第 1.1.1 节明确写道：AI 系统——尤其是具备自主性的 AI 智能体——在许多新兴身份与访问管理方案中使用签名令牌或断言，机构在智能体使用签名令牌访问系统、数据、工具或 API 时应适用本指南；但本文件不是应对 AI 与 AI 智能体访问风险的全面指南，这类风险带来的额外 IAM 挑战需要更多指南、在某些情况下还需要新的或扩展的标准与协议，本文件把这些主题排除在范围之外——并明确表示 NIST 与 CISA 认识到这一空白，正在继续制定实用指南，同时指向 CAISI 的 AI 智能体标准倡议与 NCCoE 可能的 AI 智能体身份项目。这段文字给工程团队的信息很直接：把令牌层按 IR 8587 收紧是必要的，但不要误以为它解决了「谁授权智能体去做什么」——委派、意图与最小权限的语义仍然需要你自己设计。

{
  "agent_identity_checklist": {
    "distinct_identity_per_agent": true,
    "no_shared_or_human_credentials": true,
    "token_ttl_minutes": 15,
    "just_in_time_issuance": true,
    "zero_standing_privilege": true,
    "audience_restricted": true,
    "sender_constrained": "dpop",
    "revocation_signal_subscriber": ["SSF", "CAEP"],
    "logs": { "retain_days": 400, "fields": ["token_id", "agent_id", "tool", "decision"] },
    "note": "IR 8587 applies when agents use signed tokens; agent-specific access risks are explicitly out of its scope."
  }
}