Agent 早已消失，它的访问密钥却还活着，会发生什么？

文章用一个虚构例子说事：云平台上有一个叫 research-agent-2 的账号，它的访问密钥是 14 个月前创建的，最后一次使用是 11 个月前，但至今仍然有效。问题出在：人离职会触发账号回收流程，但一个干完活的 AI 助手（agent）往往只是关掉页面就走，没人回头清理它的权限；而 AWS IAM 的访问密钥不会自动过期，于是这把旧钥匙一直能开门。文章引用 OWASP 2025 年非人类身份风险榜单，把“下线条目没处理好”排在第一位，并提到 2026 年 9 月 GreyNoise 记录的一次攻击：从零到在真实目标上实现远程代码执行不到 4 小时，26 秒内攻陷至少 11 家机构，说明拖慢清理很危险。解决办法分三步：用 CloudQuery 把 AWS 凭证报告同步进数据库，再用给出的 SQL 查询找出“创建超过 90 天且 90 天以上没用过”的有效密钥，然后由指定负责人复核，配合策略和定时任务处理。注意 90 天只是复查门槛，不是判死刑；查询不包含 root 账号密钥，那需要单独紧急审计。文章提供的是自查方法和查询语句，属于已给出的操作指导，不是新发布的工具。