本文探讨AI Agent的身份与安全问题，重点在于如何扩展传统OAuth模型以适应Agent代表用户进行API调用的场景。内容涵盖Token Exchange、MCP安全模型、工具级授权、持续验证及审计等关键议题，为平台安全工程师和IAM架构师提供系统性指导。

本文讨论了在Agent会话中实施持续验证和会话撤销的挑战与策略，重点在于有效处理访问令牌和敏感数据。提出了结合短TTL和推送机制的方案，以确保用户撤销访问时及时清理缓存和终止进程。同时介绍了CAEP事件类型及其在Agent中的应用，强调与零信任安全架构的一致性。

零信任认证模型动态调整信任分数，可能随时降级或撤销会话。传统模型在现代威胁下不再适用，需采用持续验证模式。该模式包括事件驱动、周期性和请求粒度三种方式，各自具有不同的安全性和性能开销。会话降级策略如权限衰减、步骤认证和会话撤销，旨在平衡用户体验与安全性。信号源的更新频率和可靠性对持续验证效果有重要影响。

文章介绍了零信任架构在网络安全中的应用，强调“永不信任，总是验证”的原则。通过《黑道家族》的类比，解释了零信任的关键特性，如持续验证、最小访问、微分段和端到端加密。文章还展示了一个用Python实现多因素认证的示例，说明如何通过严格身份验证来保护网络安全。零信任架构被视为应对网络威胁的最佳选择。

今年写了很多关于质量保障的文章，内容包括质量内建、质量门禁、测试左移、质量度量等。现在思考如何证明经过测试的软件系统质量提升，以及质量提升的特征。当前的现状是业务多样、架构复杂、迭代快速和管控难度大。预期目标是应用可信、数据可信、质量可信和SLA可信。提升测试质量的四个关键特征是：持续验证、数据可信、质量可信和SLA可信。