IBM發布AI智能體身份管控方案：企業迎接海量Agent時代的治理基石
IBM於2026年TechXchange大會推出AI智能體身份管控、存取控制及跨平台治理方案，並與HashiCorp Vault及NVIDIA整合。面對Gartner預測2028年《財富》500強企業平均使用逾15萬個AI智能體、卻僅13%企業具備治理機制的缺口，本文剖析企業如何建立智能體的「數碼身份」、最小權限存取及問責機制，並探討對香港企業部署AI代理的啟示。
AI智能體（AI Agent）正從「回答問題」的工具，快速演進為能在企業系統中執行實際交易的自主數碼員工。隨着AI代理數量指數級成長，一個關鍵難題浮現：企業如何確保每個智能體身分明確、權限受控、行為可審計？IBM在2026年TechXchange大會上宣布一系列全新的智能體身份與管控能力，將可信身份、存取控制、發現與評估整合至統一的治理平台，並與HashiCorp Vault及NVIDIA安全運行時協作。這被視為企業AI由「試點應用」邁向「規模化部署」的關鍵一步，對香港金融、銀行及受監管行業尤其具參考價值。
企業智能體規模急增，但治理嚴重滯後
Gartner預測，到2028年《財富》500強企業平均將使用超過15萬個AI智能體。然而，目前只有**13%**的企業認為自身已建立合適的AI智能體治理機制。這個巨大落差，暴露了企業AI轉型的核心風險：當成千上萬個智能體同時執行任務、互相通訊、調用工具並跨團隊、跨平台及跨雲端環境運作，若缺乏清晰的身份與權限管理，安全漏洞與責任歸屬問題將迅速擴散。
長期有效的憑證、不明的責任歸屬，以及彼此分散的控制措施，令企業更難有效管控智能體之間的互動。IBM軟件高級副總裁Dinesh Nirmal強調，要讓智能體在企業賴以運作的系統中承擔實際工作，便需要一套能將智能體連接至企業數據、應用程式及基礎設施，並以營運最關鍵系統的同等嚴謹標準來管理智能體的AI營運模式。當信任與管控融入這套模式，智能體便不再只是一項技術，而是企業營商及營運方式的一部分。
三大核心：身份、憑證與跨平台管控
IBM的方案圍繞「電腦運作模式的四大關鍵系統」展開，涵蓋智能體、數據、自動化及混合基礎設施，而信任與管控是每個智能體不可或缺的起點。
首先是可信身份（Agent Identity）。IBM與HashiCorp合作，將Vault的能力延伸至AI智能體，為每個智能體建立權威記錄，包括擁有者、生命週期狀態及獲授予的權限，並簽發短期有效、會自動到期或可撤銷的憑證。這項設計旨在落實「最小權限存取」原則——每個智能體僅能取得完成工作所需的權限，一旦嘗試執行未經授權的操作，系統可即時撤銷權限。HashiCorp Vault 2.2更引入專屬安全帳戶、自動更新憑證，以及後量子密碼技術，以應對量子時代的新興威脅。
其次是憑證與存取控制。當智能體調用工具並在業務系統中執行操作，其憑證便成為關鍵的保安邊界。Vault的短期憑證及最小權限控制，可限制智能體的存取範圍與權限持續時間；若智能體嘗試擷取超出授權範圍的數據，系統會即時拒絕存取並撤銷工作階段，防止未經授權的活動。
第三是跨平台統一治理。IBM watsonx Orchestrate可跨AI生態系統運作，而非局限於單一供應商平台。其Discover功能可連接Amazon Bedrock、Microsoft Foundry及Google Gemini等平台，發現在第三方環境建立的智能體；Contain功能則能在隔離的沙盒環境中運行智能體，防止失控智能體干擾其他智能體，並提供即時終止開關；Evaluate功能讓團隊在部署前測試智能體、模型及MCP伺服器的質素、準確度及合規性，並內建成本追蹤，顯示每個智能體的模型及令牌使用情況。
對香港企業的啟示
對香港以金融服務、銀行及受監管行業為主的企業而言，IBM此次發布提供了多重參考價值。其一，「非人類身份」管理正成為企業安全架構的新常態——如同過去需要管理應用程式與服務的密鑰憑證，未來企業必須把每個AI智能體視為受管控的身份個體，明確記錄其擁有者、職責與權限，才能符合監管機構對「可信AI」的合規要求。
其二，金融業尤其重視數據主權與安全邊界。香港金管局近年積極推動負責任AI的應用，強調「可以授權、不可卸責」的治理原則。IBM方案中「身份＋最小權限＋即時撤銷」的組合，正與這一方向吻合，有助機構在AI執行實際交易的同時，確保操作可追蹤、可限制、可審查。
其三，開源與生態整合降低部署門檻。IBM與NVIDIA OpenShell安全運行時整合，並藉HashiCorp Terraform及IBM Concert擴展至基礎設施變更管控與漏洞應對。對資源有限的香港中小企而言，意味著毋須從零建立AI治理系統，而可將智能體部署至現有且一直依賴的系統之上。
結語
AI智能體的規模化部署是企業AI轉型的必然方向，但身份混亂、憑證過期與責任不清，隨時令生產力工具變成安全風險源。IBM透過Agent Identity、HashiCorp Vault及watsonx Orchestrate構建的「信任＋管控」體系，代表企業AI由「追求效能」走向「兼顧治理」的成熟過程。對香港企業而言，現在正是檢視自身AI治理框架的時機——在Agent真正進入業務核心之前，先把「數碼身份」與「最小權限」的基礎打好，才能在AI時代安全地釋放效率優勢。