报告：多数企业AI代理长期闲置仍保留系统访问权限
Arrakis Security 分析数千个AI代理后发现，82%至少存在一项安全暴露因素，76%在过去60天内没有任何执行记录。
Arrakis Security 发布了《2026 自主代理威胁报告》（2026 Autonomous Agents Threat Report），基于客户环境中12周的匿名化数据，对数千个AI代理进行了分析。报告指出，多数受访企业AI代理在长期闲置后仍保留系统访问权限，其中不少还暴露于其他安全风险之中。
报告显示，76%的受访AI代理在过去60天内没有任何执行记录，但其凭据和系统连接仍然有效；44%的代理超过180天未曾运行。在这些长期未使用的代理中，24%可被来自外部的未经身份验证的 webhook 请求触发。
权限范围方面，70%的代理能够访问云存储和AI服务等敏感系统，其中99.4%没有已确认的数据防泄漏控制措施。22.9%的代理存在不安全的执行触发器，19%在配置中存储了永不过期的 API 密钥或令牌。
报告还提到，20%的代理可以将任务委派给权限不同的其他代理并接收返回结果。整体来看，82%的受访代理至少存在一项安全暴露因素。
该报告由 Arrakis Security 发布，公司联合创始人兼首席执行官 Tal Baron 在报告相关表态中署名。
快速问答
这份报告的名称是什么？
《2026 自主代理威胁报告》（2026 Autonomous Agents Threat Report），由 Arrakis Security 发布。
报告的数据来源是什么？
来自客户环境12周的匿名化数据，覆盖数千个AI代理。
报告中最主要的数据是什么？
82%的受访代理至少存在一项安全暴露因素，76%在过去60天内没有执行记录但凭据仍然有效。