AWS 運用 X.509 PKI 強化 AI 代理身份安全 鞏固雲端資安防線

隨著人工智慧（AI）代理在企業應用中日益普及，其在存取資料庫、應用程式介面（API）及敏感業務操作時的身份安全成為關鍵議題。傳統上仰賴共享 API 金鑰或在代理鏈中傳遞 OAuth Token 的做法，已無法滿足企業部署對零信任（Zero Trust）模型的嚴格要求。

為解決這項挑戰，AWS 於本週二（2026年10月20日）發布一項新解決方案，透過結合 X.509 公鑰基礎設施（X.509 PKI）與 Keyfactor EJBCA，旨在為 AI 代理提供強固的加密身份認證。此方案的核心，是確保每個請求都來自經過驗證的代理，防止代理之間的冒充，並確認代理僅代表經授權的使用者行事。

現有多代理 AI 框架常使用 Model Context Protocol（MCP）來連接代理與外部工具和資料來源，然而 MCP 本身並未內建認證標準，且設計上是傳輸獨立的，這導致一個安全漏洞，讓任何元件都有可能冒充代理、重放截獲的憑證，或未經授權就呼叫工具。AWS 提出的解決方案利用 Keyfactor EJBCA 這個支援高可用性部署和 REST API 自動化的 PKI 平台，彌補了這一安全缺口。

該參考架構整合了四種互補的安全機制：一、透過簽章請求封包（signed request envelopes）提供加密的持有證明；二、藉由使用者簽章授權斷言（user-signed delegation assertions）實現無憑證授權；三、運用 RFC 8693: OAuth 2.0 Token Exchange（一種基於 OAuth 2.0 的 Token 交換標準）的範圍受限 Token 限制曝光範圍；四、利用即時線上憑證狀態協定（OCSP）撤銷檢查來傳播憑證變更。

此解決方案結合 Amazon Bedrock 進行大型語言模型（LLM）推論，並透過 AWS Strands Agents SDK 實現。登入流程透過 OAuth 2.0 和 RFC 8693 建立使用者身份，並產生 RSA 2048 位元金鑰對以提交憑證簽章請求（CSR）給 Keyfactor EJBCA，最終取得使用者憑證。私鑰僅在本地產生並簽署授權斷言，證明特定代理有權限代表使用者。請求在代理間傳遞時會簽章，接收代理執行包含簽章驗證、時間戳記新鮮度及 OCSP 撤銷檢查在內的六項驗證。MCP 伺服器則會執行四項驗證，以確保所有身份、授權鏈及憑證有效性。

此設計確保了私鑰隔離、透過授權委託讓代理能在不持有使用者憑證的情況下證明權限、運用範圍受限 Token 限制資料外洩、以及結合非重複碼（nonces）和 60 秒時間窗的重放攻擊預防機制。其「故障關閉」（fail-closed）的設計原則，代表任何驗證失敗都會導致立即拒絕存取，而撤銷級聯（revocation cascade）則能透過即時 OCSP 迅速使無效憑證失效。此架構具備框架通用性，適用於 LangChain、CrewAI、AutoGen 等多代理框架，並能與 AWS Identity and Access Management (IAM) 角色搭配使用，為台灣企業在雲端環境中部署 AI 代理時，提供堅實的資安考量與技術指引。