| name | ai-identity-security |
| description | AI 系统身份与权限安全测试方法论。当目标系统涉及 Agent 身份认证、多 Agent 权限管理、
角色设定安全、会话管理、或 MCP/API 凭据管控时触发。
覆盖: 角色逃逸(假定场景/假定角色/遗忘法/目标劫持)、权限失控(Action 越权/MCP 未授权资源获取)、
多 Agent 身份伪造、会话劫持、凭据泄露与滥用。
|
| metadata | {"tags":"ai identity, role escape, 角色逃逸, agent impersonation, 身份伪造, action permission, 权限失控, session hijack, 会话劫持, credential abuse, mcp unauthorized, 凭据泄露, multi-agent identity, 越权访问","category":"ai-security"} |
AI 身份与权限安全测试方法论
概述
AI 身份安全关注的是应用层角色设定与权限边界的可靠性。与 prompt-jailbreak（针对模型安全对齐）不同，身份安全测试的目标是验证业务赋予 AI 的角色限制、权限分配、会话隔离和凭据管控是否可被绕过。当 Agent 获得工具调用和外部系统访问能力后，身份失控的影响从"说了不该说的话"升级为"做了不该做的事"。
攻击面总览
| 攻击类别 | 子攻击 | GAARM 编号 |
|---|
| 角色逃逸 | 假定场景 / 假定角色 / 遗忘法 / 目标劫持 | 0052.001-004 |
| 权限失控 | Action 模块越权 / MCP 未授权资源获取 / 账户越权 | 0053/0057/0058 |
| 身份伪造 | 会话令牌窃取 / Agent 身份伪装 / 信任链欺骗 | 0059 |
| 会话与凭据 | 会话劫持 / 缓存欺骗 / API Key 泄露 | 0055/0056 |
深入参考
Phase 0: 身份架构侦察
- 识别 Agent 认证方式（API Key / OAuth / Session Token / 无认证）
- 枚举权限模型（RBAC / ABAC / 无显式权限控制），确认角色设定的实现方式（system prompt / 代码逻辑 / 配置文件）
- 探测会话管理机制（会话 ID 生成方式、过期策略、跨会话隔离程度）
Phase 1: 角色逃逸测试 (GAARM.0052)
- 假定场景逃逸：构造混淆场景使模型偏离工作目标，结合关键字定位尝试泄露系统设定
- 假定角色逃逸：要求模型扮演特定角色（DAN / 开发者模式），使其忽略应用层角色限制
- 遗忘法逃逸：诱导模型"忘记"先前的角色指令，重置为无约束状态
- 目标劫持：通过操纵使 AI 偏离原始角色设定去执行攻击者期望的任务
角色逃逸与越狱的边界：jailbreak 攻击模型的安全对齐（让模型生成有害内容），角色逃逸攻击应用的业务角色设定（让客服 Bot 执行管理操作）。两者可组合使用但测试目标不同。
Phase 2: 权限失控测试 (GAARM.0053/0057/0058)
- Action 模块越权：通过 Prompt 注入或参数篡改，触发 Agent 执行超出授权范围的 Action（如将普通查询操作替换为管理操作）
- MCP 未授权资源获取：测试 MCP Server 权限验证是否存在缺陷，恶意 Server 能否绕过权限检查访问系统资源（详见
mcp-security）
- 账户越权：验证 Agent 在多租户场景下是否能跨账户访问数据
Phase 3: 多 Agent 身份伪造 (GAARM.0059)
- 会话令牌窃取：通过 Prompt 注入诱导 Agent 输出会话凭据或将其发送到外部端点
- Agent 身份伪装：在多 Agent 系统中伪造来自高权限 Agent 的消息，欺骗目标 Agent 执行越权操作
- 信任链欺骗：利用 Agent 间的隐式信任关系，通过攻陷低权限 Agent 间接控制高权限 Agent
Phase 4: 会话与凭据安全 (GAARM.0055/0056)
- 会话劫持：测试会话 ID 的可预测性、固定性和传输安全性
- 缓存欺骗：验证 CDN/代理缓存是否可能泄露包含认证信息的响应
- API Key 泄露：检查 Agent 配置中的凭据是否可通过 Prompt 注入被诱导输出
检测清单
1. [ ] 身份架构已侦察？认证方式、权限模型、会话管理机制已明确？
2. [ ] 角色逃逸：假定场景/角色/遗忘法/目标劫持是否能突破角色设定？
3. [ ] 权限失控：Action 参数是否可被篡改？MCP 权限验证是否完整？
4. [ ] 身份伪造：多 Agent 间消息来源是否经过验证？信任链是否可被利用？
5. [ ] 会话安全：会话 ID 是否安全生成？是否存在固定会话攻击面？
6. [ ] 凭据管控：API Key 和 Token 是否可通过注入被泄露？
7. [ ] 跨租户隔离：多租户场景下数据访问边界是否可靠？
参考资源
