你的AI代理刚刚配置了一个资源。谁拥有它？
内容提要
AI代理创建云资源后任务结束即消失，却持续消耗资源且无离职流程可追踪。解决方案：用查询识别非人类所有者标签，用策略强制资源标注真人邮箱，并设置TTL自动销毁无人认领的环境。代理数量快速翻倍，缺乏归属模型将导致账单和审计失控。
延伸解读
代理资源为何成为账单黑洞
AI代理完成任务后即消失，没有离职流程或交接记录，但其创建的云资源会持续运行并计费。文章指出，代理的归属标签在任务结束瞬间就失效，而人类员工的归属通常能维持一个徽章周期或组织调整周期。这种差异导致大量资源在无人认领的情况下长期消耗成本，且缺乏类似员工离职的触发机制来启动审查。
用查询与策略锁定非人类所有者
文章建议通过查询识别所有者标签是否指向角色或服务主体，而非真人账户。具体做法是交叉引用身份目录：AWS和Azure可直接确认机器身份，GCP则反向检查所有者是否不在员工目录中。查询结果并非证明有错，而是将需要人工审查的资源范围大幅缩小。随后用策略强制每个可标记资源必须填写真人邮箱，并拒绝代理身份，从而在部署阶段就阻止无主资源产生。
TTL与创建者分离：让警告有人接收
对于已存在的无主资源，文章提出用TTL自动销毁超期环境。但TTL警告默认发送给环境创建者，如果创建者是代理，警告无人接收。因此需要让真人创建环境并设置TTL，代理仅在其中部署。这样警告能送达可采取行动的人，同时非管理员代理的TTL设置也受策略限制。部分平台已默认采用“先构建后认领，无人认领则自动删除”的模式。
代理数量激增放大归属缺失风险
文章引用调查数据：企业代理数量在四个月内大约翻倍，超过三分之一的组织运行着上百个代理；平均有47个代理完全没有分配所有者。超过一半的组织对AI身份没有明确的归属模型。当所有代理共用同一服务账户时，日志只能确认资源被创建，无法追溯具体运行、提示或委托人。因此，查询、策略和TTL必须自动运行，以应对代理快速增殖带来的审计与成本失控。
Q&A
AI代理创建云资源后，为什么会导致云账单失控？
因为AI代理在任务完成后就消失，没有离职流程或通知，但它们创建的云资源会持续运行并消耗资源，就像被遗忘的蜡烛一样不断烧钱。
如何用查询找出云环境中由非人类身份拥有的资源？
通过扩展资产清单查询，检查资源的所有者标签是否对应人类账户。例如，在AWS中检查所有者是否在IAM角色列表中，在Azure中检查是否在服务主体列表中，在GCP中检查是否不在员工目录中。
env0的策略如何防止代理创建无主资源？
env0的审批策略会检查每个可标记资源的所有者标签，要求所有者必须是人类邮箱格式，且不能是预定义的代理身份列表中的值。如果不符合，部署会被拒绝。
如何为代理创建的环境设置自动销毁机制？
通过env0的环境TTL功能，让人类创建环境并设置TTL，代理部署到该环境中。TTL到期后会自动销毁环境，并在到期前向创建者发送三次警告。
企业AI代理数量的增长趋势如何？
根据Gravitee 2026年的调查，企业平均代理数量在四个月内（2025年12月至2026年4月）大约翻了一番，超过三分之一的组织已经运行着超过100个代理。
为什么共享服务账户会导致审计困难？
当所有代理通过同一个共享服务账户认证时，日志只能确认资源被创建，但无法确定是哪个运行、哪个提示或代表谁创建的，缺失了所有者标签本应提供的信息。
