在企業資安架構的長期演進中，身分識別與存取管理（IAM）往往被視為基礎而必要，卻不一定被視為戰略核心。然而，隨著生成式人工智慧（GenAI）與代理型AI（Agentic AI）快速融入企業營運流程，身分安全正逐漸從後端支援角色，轉變為影響企業能否安全導入AI與自動化的關鍵控制層。
SailPoint台灣、香港及澳門董事總經理戴健慶引述日前該公司發布《The Horizons of Identity Security》研究成果指出，過去4年持續追蹤全球企業身分治理成熟度的變化，已清楚顯示一個趨勢，身分已不再只是帳號管理或合規稽核工具，而是決定企業是否具備AI導入能力與風險承受度的核心基礎。若身分治理仍停留在靜態、以人工審核為主的模式，即便導入再多AI工具，也難以真正擴大應用規模。
戴健慶表示，SailPoint早期的治理重心確實以「人的身分」為主，聚焦員工帳號、角色與權限生命週期管理，但隨著攻擊行為高度集中於帳號濫用、權限過度與橫向移動，單純的身分治理已不足以支撐安全營運需求，也促使身分威脅偵測與回應（ITDR）逐漸成為資安架構中的關鍵能力。現代企業的身分結構，早已涵蓋大量非員工身分，包括外包商、臨時人員、供應商與合作夥伴帳號。這些身分通常隨專案建立，卻未必有回收機制，導致權限長期殘留，成為資安事件中常見的風險來源。
他進一步指出，近一年企業內部最常被提及的關鍵字幾乎都與AI相關，尤其是能夠執行任務、調度流程、串接系統的AI代理。這類代理已不再只是分析或輔助工具，而是實際參與業務流程與系統操作。戴健慶指出，AI代理同樣需要帳號、憑證與存取權限，本質上即是一種「非人」身分。當企業連員工與供應商帳號都難以全面掌握時，若再加入數量可能呈倍數成長的AI代理帳號，傳統以靜態角色與定期檢視為核心的身分治理模式，將無法應對高度動態且具備高度自主運作特性的AI環境。
AI代理擴張挑戰身分治理
談到風險現況時，戴健慶引述產業調查與市場觀察指出，身分相關問題早已是資安事件的主要成因之一。超過六成的安全事故與身分濫用、權限配置不當或帳號管理失誤有直接關聯，近八成的資料外洩事件，最終都能追溯到身分或存取權限問題。即使在尚未全面導入AI代理的情境下，全球仍平均不到一分鐘就會發生一次密碼相關攻擊，每起事件的平均損失金額高達數百萬美元。
SailPoint台灣、香港及澳門董事總經理戴健慶表示，在AI與代理快速擴張的時代，企業唯有走向適應性身分治理，才能在不犧牲創新速度的前提下，真正掌控風險。
他強調，這些數據反映的並非偶發現象，而是長期結構性問題。當企業在缺乏清楚治理框架的情況下快速部署AI代理，帳號數量與權限變化的速度只會進一步放大風險曲線。若治理方式仍停留在事後檢討與週期性稽核，勢必無法追上AI自動化運作的節奏。
戴健慶觀察到，企業高層普遍已將AI列為下一階段的重要投資方向，但在實際落地時，AI代理的建置往往並非由資訊部門主導，而是由最熟悉業務流程的業務單位自行推動。這種模式本身具有合理性，因為業務單位最清楚流程瓶頸與效率需求，但問題在於，安全與治理往往未被納入初期設計。當IT或資安團隊意識到風險時，AI代理可能早已取得過度權限，甚至已長時間存取關鍵系統與資料。
因此，他認為，關鍵並非限制業務單位使用AI，而是建立一套能兼顧彈性與控管的「適應性身分（Adaptive Identity）」治理架構，IT部門可事先定義清楚的安全原則與治理邊界，讓業務單位能在既定規範內快速建立與調整AI代理，同時確保其權限狀態與行為模式始終受到即時監控與動態修正。
適應性身分平台掌握即時樣態
談到技術實作時，戴健慶指出，適應性身分的核心不在於單一產品功能，而是一個能涵蓋所有身分類型的統一平台。這個平台必須同時管理員工、非員工、機器帳號與AI代理，並將應用程式存取與資料存取一併納入治理範疇。特別是在AI代理情境中，若僅管理應用程式權限，卻忽略非結構化資料，例如檔案伺服器或雲端儲存的存取關係，治理仍然是不完整的。
他進一步指出，身分治理也不應再與資安維運中心（SOC）脫鉤。傳統SOC在事件發生後，往往需要回頭釐清帳號歸屬、權限範圍與關聯關係，這種事後補救模式已不足以因應AI時代攻擊鏈的速度。當身分情境（Identity Context）能即時提供給資安分析與決策人員，協助其快速理解「是誰、以什麼身分、在什麼情境下」執行行為，才能有效縮短偵測與回應時間，並在風險擴大前採取行動。
這也是身分治理逐漸成為資安生態系統核心的原因。身分不只是存取控制點，更是威脅偵測與回應的重要訊號來源。透過將身分事件與SIEM、SOAR等安全平台整合，企業能在可疑行為出現時，即時評估相關帳號是否擁有高風險權限，並視情況啟動限制或回收機制。
戴健慶強調，AI應被用來協助分析、彙整與提出建議，而非直接取代決策本身。最終的存取核准與權限調整，仍必須由人類負責，以確保稽核、法遵與責任歸屬清楚明確。為了加速價值實現，企業可依據風險與使用情境，將應用系統區分為深度治理、快速治理與僅需可視性等不同層級，並隨著風險變化逐步調整治理強度。藉此讓身分安全具備即時性、情境感知與動態調整能力，企業才能在AI時代中，同時兼顧效率、合規與安全，真正走向適應性身分治理的新常態。