本文来自微信公众号： HavenlonLabs ，作者：Havenlon Labs
一、零信任回答了一个问题，但不是全部问题
过去二十年，企业安全最重要的一次范式转移，是零信任。
它推翻了一个存在很久的默认假设：进入内网不等于值得信任，拥有账号不等于可以自由行动。每一次访问，都要重新验证身份、设备、环境与权限。安全边界不再是一堵可以一次性建好的墙，而是一连串持续发生的动态判断。
零信任解决的，是一个足够重要也足够清晰的问题：
谁可以接近一种能力？
在软件主要用来"呈现信息"的年代，这个问题几乎就是安全问题的全部。人看报表、查数据、下载文件、登录后台，风险绝大部分集中在"不该看的人看到了不该看的东西"，或者"不该进的人进了不该进的系统"。把入口守住，风险就守住了大半。
但当AI Agent开始调用工具、操作系统、编排流程、直接改变现实状态，另一个问题浮出水面：
一个主体有资格使用某种能力，是否意味着这一次具体的执行就应该发生？
这不是同一个问题，也不是同一个问题的自然延伸。
零信任管的是谁能靠近能力，而AI时代真正危险的，是能力被使用之后，结果如何进入现实。
二、合法的访问，不等于正确的执行
设想一个再常规不过的场景。
一名财务人员通过了身份认证。账号真实，设备合规，网络环境正常，多因素认证通过，他也确实拥有付款权限。按照零信任的全部逻辑检查一遍，这次访问没有任何问题——它甚至是一次教科书级别的"干净访问"。
但如果下一步动作是：向一个外部账户转出五百万元。
系统真正需要判断的，就已经不再只是"这个人是谁"。
它还需要知道：收款账户是否与审批时的对象一致；金额是否仍在授权范围内；这份审批是否已经过期；业务状态在审批之后是否发生了变化；最终提交到接口的那一组参数，是否在中途被替换。
这些问题，身份和权限回答不了。
零信任可以证明一个主体有资格进入系统，却无法单独证明：这件事，在此刻，以这些参数，对这个对象，真的应该进入现实。
在过去，这个缺口并不总是致命。
因为最终动作通常由人完成。人会打开页面、逐项核对、手工填写参数，再点击确认。这个过程可能低效、可能出错、可能被绕过，但它天然带着摩擦力——速度有限，规模有限，一次错误的影响范围也相对有限。人的迟疑，事实上一直在充当系统里一层没有被写进架构图的缓冲。
AI Agent抹掉了这层缓冲。
AI可以连续读取上下文、生成参数、调用接口、触发审批，并在极短时间内完成大量操作。一个原本只停留在"理解层面"的偏差——对一句指令的误读、对一个字段的错配、对一次上下文注入的轻信——可以迅速穿过整条软件链路，最终变成一笔真实的转账、一次真实的停机、一条真实的对外披露。
更麻烦的是，这些操作在形式上可能完全合法。
账号是真的，权限是真的，接口调用是真的，审批记录也是真的。每一个环节单独审计，都能通过。
但结果仍然可能是错的。
AI带来的新型风险，不是"非法入侵"，而是"合法的错误"。
三、安全边界正在从访问端，滑向执行端
零信任的核心，是不默认相信访问者。
但在AI Agent时代，只怀疑访问者已经不够。系统必须怀疑整条执行链上的每一个环节。
人可能判断失误。
AI可能误解意图。
审批可能对应了错误的对象。
策略可能配置错了。
上游SaaS可能被攻破。
终端设备可能收到一条形式合法、实质错误的指令。
这些环节里的任何一个，在今天的企业架构中都可能拥有"事实上的最终决定权"——只要它说通过，动作就会发生。而这正是问题所在。
在一条足够长的执行链里，任何一个组件被赋予无限权力，整个系统的安全下限，就等于那个组件的最坏情况。
这就是"对抗性完整"（Adversarial Integrity）试图解决的问题。
它不追问某个组件是否"足够可信"，而是换一个更冷静的问法：
即使其中一部分判断错误、失效，甚至被攻破，系统是否仍然守得住最终的执行边界？
顺着这个问法，一系列在传统安全里被默认成立的等式，都需要被重新拆开：
身份通过，不代表执行应该发生。
权限合法，不代表参数正确。
审批完成，不代表最终对象没有被替换。
AI给出高置信度判断，也不代表现实系统应该无条件接受。
对抗性完整不承诺系统永远不犯错。它承诺的是另一件更现实的事：限制错误能够产生的后果。
这是一个心态上的转变。传统安全建设常常追求"把每一环都做到可信"，而对抗性完整承认一个工程事实——在一个由人、模型、SaaS、脚本和第三方接口共同组成的系统里，"每一环都可信"是一个永远无法验证的假设。既然假设无法验证，就不要把系统的安全性押在它上面。
四、它不是零信任的替代品，而是控制对象不同
把对抗性完整称为"零信任的升级版"，在传播上很省力，但并不准确。
零信任和对抗性完整之间不是前后替代关系，而是控制对象的差异。
零信任控制的是：
谁能使用能力。
对抗性完整控制的是：
什么结果能够真正发生。
零信任提供的身份认证、设备状态、风险评分、访问决策，在新的体系里依然重要，而且不可或缺。变化的是它们的地位——它们从"最终裁决"降级为"证据"。
零信任不默认相信访问者；对抗性完整不默认相信任何单一环节，能够代表最终的正确。
沿着这条线索回看，企业安全边界的迁移路径其实相当清晰：
第一次，边界在网络。防火墙、VPN、内外网隔离，安全等于"把坏人挡在外面"。
第二次，边界迁移到身份与访问。零信任重构了信任模型，安全等于"每一次访问都重新验证"。
第三次，边界正在迁移到最终执行。安全等于"每一次会改变现实的动作，都必须独立满足不可突破的条件"。
这并不意味着零信任过时了。恰恰相反——正因为零信任把入口问题处理得足够好，企业才终于有余力看清出口端更深的风险。
五、业务必须被理解，但不必被重新实现
执行控制与访问控制之间，还有一个常被忽略的结构性差异。
访问控制可以在很大程度上抽离具体业务。无论访问的是邮箱、代码仓库、CRM还是财务系统，身份、设备、网络、权限的判断框架大体是一样的。这也是零信任能够被做成通用产品的原因。
但执行控制无法完全脱离业务语义。
一笔付款、一次生产环境的服务器重启、一次密钥调用、一次产线停机，它们的风险形态、可逆程度、影响半径完全不同。系统必须知道"对谁、做什么、当前状态是什么、边界在哪里"，否则根本无法判断这个结果该不该发生。
于是很多团队会在这里产生一个误解：难道执行控制系统要把ERP、财务系统、生产系统重做一遍？
不需要。
真正要做的，是把复杂业务压缩成有限的、确定的、可验证的执行条件。
一笔业务在现实中的描述可能是：
向某供应商支付五百万元采购款。
进入执行控制层之后，它会被收敛成一组可以被逐项验证的条件：
发起主体是否有效？
目标账户是否与审批对象严格一致？
金额是否仍在授权范围之内？
该审批当前是否仍然有效、是否已经过期？
必要证据（合同、验收、对账）是否完整？
是否存在任何单一组件可以绕过上述限制的路径？
执行控制不判断这笔生意划不划算，也不替企业决定这个供应商好不好。
它只判断一件事：
这次将要进入现实的执行，是否满足企业事先定义好的、不可突破的条件。
对抗性完整不是把业务从安全里拿掉，而是把业务从冗长流程，收敛为可以被证明的执行边界。
这件事的工程价值在于：条件是有限的，因此是可验证、可审计、可回放的；而流程是无限的，永远补不完。当AI开始高频操作业务系统时，只有前者能跟得上。
六、AI时代，安全不能只守住入口
传统安全关心的是：攻击者能不能进入系统。
零信任向前推进了一步，关心的是：一个已经进入系统的主体，是否持续满足访问条件。
而对抗性完整把问题推到了最后一步：
即使身份真实、权限合法、审批完成、上层系统全部返回"允许"，最终结果是否仍然受到一层独立的约束？
这是AI Agent时代无法回避的问题。
当软件只负责展示信息，访问控制的重要性已经足够高。当软件开始替人操作现实系统——转账、调度、部署、变更、对外沟通——安全就必须继续向执行端推进。因为从这一刻起，一次误判的成本，不再是信息泄露，而是现实世界里一个无法撤销的动作。
企业未来真正需要的，不只是证明每一个组件足够可信，而是确保任何一个组件即使被信任，也不能单独制造无界的后果。
零信任告诉企业：
不要因为一个主体已经进入，就默认相信它。
对抗性完整进一步告诉企业：
不要因为一条执行链看起来合法，就默认让结果发生。
AI时代真正危险的，已经不只是入口。而是一个错误的决定，如何顺畅地穿过整个系统，最终落进现实。