NIST發布權杖與身分聲明防護指引，納入AI代理與PQC考量

NIST 發布權杖與身分聲明防護指引 IR 8587

美國國家標準暨技術研究院（NIST）聯手網路安全與基礎設施安全局（CISA），正式釋出 IR 8587，針對聯邦機關與雲端服務供應商提供權杖（Token）與身分聲明（Identity Claim）的實作建議。指引聚焦偽造、竊取與濫用風險，並首次將 AI 代理 與 後量子密碼學（PQC） 轉型納入考量。

背景與主要調整

相較於去年 12 月的草案，正式版將 簽章金鑰 的儲存與使用防護分離，金鑰使用期限須依系統風險等級與受保護資料敏感度評估，並建議透過自動化機制定期輪替。

對於 工作負載（非人類身分） 使用的權杖，指引要求縮短有效期間，並限制可存取的資源與權限；若技術允許，還應與特定傳送端綁定，以降低被竊後的冒用風險。

防護作業的具體要求

• 避免權杖洩漏：嚴禁在系統日誌、CI/CD 流程或建置/部署產生的檔案中留下權杖。
• 撤銷與監控機制：系統必須具備即時撤銷權杖的功能，並在連線階段監控異常行為，快速偵測並阻止冒用。
• AI 代理的適用性：AI 代理若使用已簽署的權杖或身分聲明存取 API、資料或工具，同樣必須遵守上述防護措施。指引指出，AI 身分管理的完整議題仍待未來標準補足。

PQC 轉型的衝擊

PQC 演算法的公鑰、簽章與密文尺寸普遍大於現行橢圓曲線或 RSA，可能導致 JWT 等權杖資料量超過瀏覽器 Cookie 或 HTTP 標頭的大小限制。部分硬體安全模組（HSM）亦可能需要韌體或架構升級，既有身分同盟系統未必能直接支援。NIST 建議組織先盤點現行金鑰密碼學，評估傳輸方式在 PQC 環境下的可行性。

未來展望

IR 8587 為聯邦與雲端業者提供了從金鑰管理到 AI 代理、PQC 轉型的全方位防護框架。隨著 AI 服務與量子抗性需求持續升溫，企業必須將指引內的自動化金鑰輪替、最小權限原則與即時撤銷機制納入日常運維，才能在未來的資安威脅中保持韌性。

讀者提示：立即檢視自家 IAM（身分與存取管理）流程，確認權杖的有效期限、日誌處理與撤銷機制是否符合 IR 8587 要求，將是提升資安防護的第一步。