在放开 AI 之前，先堵住软件开发中的身份缺口

二十多年前 Renee Guttmann 在纽约召开首次 OWASP 会议时，业界对扫描 Web 应用漏洞仍多持怀疑；如今她创办的安全咨询公司 Cisohive 以及类似倡议已常被邀请进入软件开发生命周期讨论，把安全实践嵌入规划、测试、部署与维护。攻击面扩大、非开发者与 AI 生成代码增多，使安全左移更难，但也带来协作、身份可见性与降本修补等机会。在 Dark Reading 圆桌中，Guttmann 称安全与研发更易联手，董事会要的不只是政策，还有写出干净代码的落地能力，应把扫描更深嵌入开发环境；BlueFlag Security 的 CISO Bobby Bauer 强调安全对业务的“隐形贡献”应被看见。Bauer 指出身份是当前最敞开的攻击面：Entro 报告称企业平均每 1 个人类身份对应约 144 个非人类身份，应用、机器人、AI 代理与设备可在无人值守下互通，易产生共享、弱口令或长寿命凭证。Cloud Security Alliance 研究称约 68% 组织无法区分 AI 代理与人类操作；建议给这些身份短寿命凭证并记录全生命周期。前 Western Union 网络安全战略副总裁 Rusty Perry 认为先修好“谁在系统里行动”的假设，才能安全提速；AI 也让定位补丁成本趋近于零，Guttmann 期待其进一步预测自动化修补影响。