Hush Security：聚焦 Agent 运行时身份与非人类凭证安全，填补 IAM 空白

当 AI Agent 越来越多地代表人类执行操作——读数据库、调 API、操作云服务——一个根本性的安全挑战浮出水面：Agent 的”身份”怎么管理？

传统 IAM 系统为人类用户设计：你有账号密码、有多因素认证、有权限申请流程。但 Agent 用的是 API Key、Token、Service Account——这些非人类凭证（NHI）没有生命周期管理、没有实时监控、没有权限边界审计。一个泄露的 API Key 可能让 Agent 带着全权限横穿你的基础设施。

2026 年 6 月，以色列安全厂商 Hush Security 宣布将重点聚焦于AI Agent 的运行时身份管理和非人类凭证（NHI）安全，并在 2 月已经正式发布了其 Unified Access Management 平台。这家由 YL Ventures 和 Battery Ventures 支持的公司，提出的核心观点是：“静态凭证的时代应该结束了。”

一、静态凭证为什么失效了

传统企业把 API Key 和 Token 放在 vault 里、写在环境变量中、嵌在配置文件里。Secret scanner 能找到它们，但解决不了根本问题——凭证只要存在、只要有效、只要长期不过期，就一定会泄露。

Agent 让这个问题变得更严重：

“The agentic era demands a fundamental shift in how we think about security. The winners won’t have the best scanner or the deepest vault; they’ll be the ones who unify discovery, storage, and governance into a single control plane.” —— Micha Rave, CEO and co-founder at Hush Security

二、Hush 的解决方案：从静态凭证到身份驱动

Hush 的平台建立在三个核心支柱上：

1. 运行时发现与清单

通过专利的运行时检测引擎（基于 eBPF sensor），实时监控所有机器身份和非人类凭证的活动，而不是依赖静态扫描。它能发现：

• 哪些 Agent 正在运行、使用了什么身份
• 每个身份实际拥有的权限 vs 声明的权限
• 凭证是否正在被主动利用（不仅仅是”存在漏洞”）
• 隐藏的”影子 Agent”——那些从未出现在静态扫描中的 Agent

2. 运行时风险关联

轻量级 sensor 将身份数据和实际使用行为关联，过滤出真正需要关注的风险，而不是列出一份长长的”所有可能的问题”清单。这解决了 NHI 工具普遍存在的告警疲劳问题。

3. 无密访问执行

这是最核心的能力：用基于身份的短期凭证取代静态密码。

Hush 基于 SPIFFE（Secure Production Identity Framework for Everyone） 标准工作：

Agent 需要访问资源
    ↓
Hush sensor 监控系统调用和网络请求
    ↓
验证工作负载身份
    ↓
动态下发短期、范围受限的临时凭证
    ↓
使用后立即过期

整个过程不需要修改代码或应用架构。对开发者来说，就像定义了一个 IAM role。

三、对 AI Agent 的特殊设计：Effective Identity

Hush 为 AI Agent 引入了一个关键概念——Effective Identity（有效身份）。

传统上，Agent 用自己的 Service Account 访问资源。但如果这个 Agent 在代表一个特定用户执行任务呢？它应该拥有”Agent + 该用户”的复合权限，而不是 Agent 自己的全部权限。

Hush 的 Effective Identity 机制计算 Agent 和它代表的人类用户的合并权限，确保：

• Agent 不能超越它所代表用户的权限
• 每一次 Agent 会话都有明确的责任归属
• 审计日志能追溯到”哪个 Agent、替哪个用户、做了什么操作”

这是人类 IAM 中的”最小权限原则”在 Agent 时代的直接对应。

四、能力覆盖

五、竞争格局

Hush 进入的是一个正在快速拥挤的赛道。Agent 运行时安全和 NHI 管理在 2026 年已成为安全领域最热门的细分方向之一：

Hush 的差异化在于从”凭证代替”而非”凭证管理”的角度解决问题——不是再做一个更好的 vault，而是让静态凭证不再被需要。

六、适用场景与思考

适合的场景

• 大量使用 Agent 的企业：Agent 数量飞速增长，人工管理 API Key 已不可行
• 多云环境：Agent 在 AWS、Azure、GCP 之间穿梭，需要一个统一的身份平面
• 合规驱动：SOX、SOC2、PCI 要求对机器身份有审计和管控
• 零信任架构：SPIFFE + 动态凭证符合零信任的”永不信任、始终验证”原则

需要考虑的

• SPIFFE 生态就绪度：虽然 SPIFFE 是 CNCF 项目，但并非所有云服务和工具都原生支持
• eBPF sensor 的兼容性：需要评估在特定内核版本和容器环境中的表现
• Agent 覆盖范围：平台刚 GA，对特定 Agent 框架（Claude Code、OpenClaw 等）的适配深度有待观察
• 与现有 IAM 的集成：从现有凭证体系迁移到无密模式需要较长的过渡期

总结

Hush Security 的核心洞察值得认真对待：Agent 时代的身份安全，问题不在于”凭证太容易被偷”，而在于”为什么还需要凭证”。

静态 API Key 和 Token 是上一个时代的遗产——当时机器之间的通信稀少、可控、可审计。但在 Agent 大规模自主调用的今天，用管理人类身份的方式管理机器身份已经行不通了。

Hush 的”身份驱动、动态凭证、隐式执行”路径——Agent 不需要知道自己用了什么凭证，系统在底层自动处理——可能是运行时身份管理的正确方向。当然，从”存储凭证”到”不需要凭证”的转变不会一蹴而就，但这个方向本身，就值得每一个在部署 Agent 的安全团队认真关注。

官网： hush.security
总部： 以色列特拉维夫 | 投资方： YL Ventures、Battery Ventures