什么是网络安全和身份管理中的模拟？AI 代理如何使用它？

模拟是 Logto 的一项内置功能，在本文中，我们将解释它是什么以及何时可以使用。随着 2025 年 AI 代理的普及，我们在网络安全和身份管理中看到越来越多涉及模拟的用例。

什么是身份验证和授权中的模拟？#

身份验证和授权领域的模拟是指系统或用户临时假借其他用户的身份以代表他们执行操作。这通常是在适当授权的情况下进行的，与身份盗窃或恶意模拟不同。

常见的例子是当你在账户中遇到问题并向客户服务团队发送电子邮件寻求帮助时。他们代表你检查你的账户以解决问题。

模拟如何工作#

模拟流程涉及几个典型步骤。

1. 请求许可：模拟者（例如，管理员或 AI 代理）请求以用户的名义行事的许可。
2. 令牌交换：系统验证请求并交换令牌，授予模拟者必要权限的访问权限。
3. 代表用户行动：模拟者执行操作（例如，更新设置，排错），就像他们是用户一样。

然后，模拟者可以执行操作或访问资源，就像他们是被模拟的用户一样。

模拟的有效用例有哪些？#

客户支持#

正如我们上面所提到的，在客户支持场景中，模拟允许支持代理或管理员访问用户账户以诊断和解决问题，而无需用户的凭证。

以下是一些例子

1. 排错：管理员模拟用户以重新创建报告的问题并了解发生了什么。
2. 账户恢复：管理员更新用户的个人资料或代表他们重置设置。
3. 订阅管理：计费支持代理通过直接访问用户的账户修复订阅错误。

AI 代理#

AI 代理可以利用模拟代表用户执行任务，自动进行操作或协助工作流程。随着 AI 在业务流程中的参与越来越多，模拟在实现自动化操作的同时确保身份安全和访问控制方面发挥着关键作用。

以下是一些例子

1. 虚拟助理：AI 代理代表用户安排会议并发送日历邀请。
2. 自动回复：AI 聊天机器人响应客户询问并使用支持代理的个人资料直接解决问题。
3. 任务自动化：AI 助手代表用户更新项目管理板或提交报告。例如，更新工单状态（例如，从“进行中”到“已完成”）。以经理个人资料的名义发表评论或反馈。

审计和测试#

模拟也常用于审计、测试和质量保证目的。通过模拟不同角色，管理员或测试人员可以检查用户体验、工作流和权限，以确保系统性能和质量。

以下是一些例子

1. 角色测试：管理员模拟不同的用户角色（如经理、员工或访客）以检查访问控制并确保每个角色拥有对正确资源的正确权限。
2. 工作流测试：QA 工程师模拟来自各种用户资料的交易以测试系统行为。
3. 安全审计：审计员模拟用户以验证敏感操作是否触发适当的警报或需要多因素身份验证（MFA）。

委托访问#

委托访问允许一个用户代表另一个用户执行操作，通常在企业和团队协作设置中出现。这与典型的模拟不同，因为 行为者和委托者的身份都被保留。

以下是一些例子

1. 经理批准：经理代表他们的团队成员提交时间表或报销报告。
2. 团队协作：助理从执行官的账户安排会议或发送电子邮件。
3. 企业工作流：HR 代表更新员工记录，无需他们的密码。

要实施模拟，需要考虑哪些安全因素#

模拟允许用户在系统中暂时代表他人行事，赋予他们巨大的权力和控制权。因此，必须解决几个安全问题以防止滥用。

详细的审计日志记录#

记录每个模拟操作，包括是谁做的，做了什么，什么时候发生的以及在哪里发生的。确保日志显示模拟者和被模拟用户。安全存储日志，设置合理的保留期，并为任何异常活动启用警报。

基于角色的访问控制（RBAC）#

只允许授权角色（例如，支持代理）进行模拟，同时限制模拟范围（例如，支持代理只能模拟客户而不是管理员）。遵循最低权限原则，定期审查权限确保安全。

同意和通知#

有时，流程应包括同意和通知。例如：

1. 模拟之前：请求用户批准敏感操作。
2. 模拟之后：通知用户所做的详细信息。
3. 对于敏感行业（例如，医疗、金融），同意是必须的。

AI 代理在身份验证和授权中使用模拟的用例#

随着 2025 年 AI 代理的普及，模拟越来越多地用于使代理能够在用户的名义下进行操作，同时保持安全性和责任追溯。

以下是一些实际用例：

AI 客户支持代理#

场景：用户通过聊天联系支持解决账户问题。AI 代理无需用户密码即可访问他们的账户并执行操作。

它如何工作，如何设计的？

1. OIDC/OAuth 流程：AI 代理请求模拟用户以更新其信息的权限。它使用交换的令牌访问用户的个人资料并进行更改。
2. 日志记录：操作记录在用户名下，但标记为由 AI 代理执行。
3. 限制范围：代理的权限被限制在特定操作（例如，重置密码但不查看敏感支付数据）。

AI 安全代理用于账户监控#

场景：AI 代理监控用户会话并自动锁定受损账户。

它如何工作，如何设计的？

1. 该代理具有 “管理员模拟” 权限以检查和终止可疑的会话。
2. 如果检测到风险，它 模拟安全团队 锁定账户并通知用户。
3. 所有操作都记录在代理的身份下以供审计。

团队的 AI 工作流自动化#

场景：在项目管理工具中，AI 代理自动分配任务并代表团队成员更新状态。

它如何工作，如何设计的？

1. AI 自动化工作流可以模拟项目管理员以正确的用户名下更新工单。
2. 由于严格的 RBAC，代理无法访问未经授权的区域（例如私人板）。

构建模拟的安全最佳实践#

基于上述场景，设计中有几个原则以实现这些目标。

1. 令牌范围：使用有限的范围。确保定义和限制访问令牌可以授权的操作或资源。
2. 自定义声明：这对于为模拟过程添加额外的上下文或元数据很有用，例如模拟的原因或相关的支持工单。
3. 基于角色的访问控制（RBAC）：仅允许某些角色（例如，支持代理）模拟用户，并根据角色的需要限制范围。
4. 详细的日志记录：记录所有模拟操作，包括是谁执行的以及所做的，以确保责任归属和可追溯性。
5. 同意管理：在模拟发生时通知用户并给予他们批准或撤销访问权限的选项。

Logto 如何实现模拟？#

Logto 通过其管理 API 支持模拟。

查看此 指南 - 用户模拟 获取更多详情。Logto 还提供支持真实产品场景的额外功能，集成了模拟。