代理完成了工作，审计日志却无法说明是谁下的指令。
内容提要
CloudBolt专家指出，超20%的MCP访问策略存在缺陷，多数MCP服务器使用个人令牌而非服务账户，导致审计无法追溯代理操作的责任人。代理通过继承角色或借用令牌获得的“涌现式”访问权限，身份提供商并无记录，出事难以追责。CloudBolt将直播演示如何将代理活动关联至身份提供商、限制其访问范围并读取审计记录。
延伸解读
审计日志为何无法追溯责任人
文章指出，多数MCP服务器使用个人令牌而非服务账户，导致审计日志中记录的是工程师个人姓名或共享账户名，而非实际下达指令或批准访问的人。即使日志存在，也无法区分是代理自主行动还是有人授意，责任归属模糊。
什么是“涌现式”访问权限
代理通过继承启动它的服务角色，或借用开发者的个人令牌来完成任务，从而获得未经身份提供商正式审批的访问权限。这类权限被称为“涌现式”，身份提供商没有记录，因此当代理越权操作时，无法追溯其来源。
如何将代理活动关联到身份提供商
CloudBolt的演示将展示如何把代理活动链接到现有身份提供商，限制代理可触及的资源范围，并读取由此产生的审计记录。这有助于在事故发生后，将代理行为回溯到具体负责人，弥补传统日志的不足。
Q&A
MCP访问策略存在哪些常见问题？
超过20%的MCP相关访问策略存在缺陷或缺失，且大多数MCP服务器使用个人令牌而非服务账户运行。
为什么代理操作的审计日志无法追溯责任人？
因为代理通过继承角色或借用令牌获得“涌现式”访问权限，身份提供商没有记录这些授权，所以审计日志无法识别是谁要求代理执行操作或批准了访问。
什么是代理的“涌现式”访问权限？
代理在运行过程中获得的、未经身份提供商正式请求、批准和授予的访问权限，例如从启动它的服务继承的角色或开发者借出的个人令牌。
CloudBolt将如何解决代理访问的审计问题？
CloudBolt将演示如何将代理活动关联到现有身份提供商、限制代理可访问的范围，并读取生成的审计记录，从而将代理操作追溯到责任人。
使用个人令牌和服务账户在审计上有何区别？
使用个人令牌会在审计日志中记录工程师的名字，而共享服务账户则记录账户名称。但两者都无法准确识别是谁要求代理执行工作或批准了访问。
CloudBolt的直播演示何时举行？
直播演示于10月27日星期二，美国东部时间中午12点/太平洋时间上午9点举行。
