Beyond Zero发布 Google重写企业零信任

时间：2026年9月5日 地点：美国山景城（Alphabet/Google 总部） 人物：Joseph Valente（前 Google 产品总监、论文一作）、Michal Zalewski（前 Google 杰出安全研究员、论文二作）、Heather Adkins（Google 安全工程 VP）、Archana Ramamoorthy（Google 高级总监）、Kane Narraway（Canva 安全经理） 事件详情：Google 正式在 ACM Queue 发表研究论文《Beyond Zero: Enterprise Security for the AI Era》，作为 2014 年 BeyondCorp 白皮书的 AI 时代继任者。论文由 Valente 与 Zalewski 共同撰写，提出五项核心原则：第一，以资源和动作为单位进行安全判断，不再向整个应用授予宽泛权限；第二，常规静态策略配合高风险场景下的动态控制；第三，自动补充操作者、动作、数据、风险四类上下文；第四，风险信号自动触发深入调查；第五，必要时直接发起额外验证或隔离措施，要求员工或 AI Agent 提供更多风险信息。Beyond Zero 同时覆盖前端界面、API 以及模型上下文协议 MCP 等不同访问方式。 背景：2014 年 Google 发布 BeyondCorp 白皮书，用基于身份和设备的访问控制取代了传统网络边界安全模型，在过去十年推动零信任（Zero Trust）成为企业安全主流思路。然而随着生成式 AI 和大规模语言模型兴起，AI Agent 开始大规模调用企业 API、读取内部数据并自动执行多步骤任务，单次登录或应用授权所覆盖的权限范围已远超人工操作所需。Valente 与 Zalewski 在论文中直言：「BeyondCorp 的前提假设——访问者是人、动作以人的速度发生、应用是信任的正确边界——已不再充分。」 影响：Beyond Zero 把零信任的边界从「应用层」下沉到「动作层」，每一次员工或 Agent 执行具体操作都需要重新授权，从而把企业安全推到机器速度级别。Google 表示，早期内部原型和部署在检测权限滥用、保护知识产权、满足监管要求方面已经显示出改善。Heather Adkins 与 Archana Ramamoorthy 将其描述为「AI 时代企业安全的新范式」。但 Canva 安全经理 Kane Narraway 警告，Beyond Zero 仍处于愿景阶段，「组件还没全部建成，更多论文即将发布」；Hacker News 社区也大多持怀疑态度，评论者 stogot 直言「零信任是确定性的，AI 是非确定性的，把非确定性用在访问控制上是糟糕主意」，担心概率性决策会让访问控制变得难以预测、测试与审计。 总结：Beyond Zero 标志着 Google 把企业安全架构正式拉进 AI Agent 时代，试图用「每次动作重新授权」的思路弥补传统零信任在机器速度场景下的空白。但从愿景到可落地的行业标准，SaaS 厂商需要暴露动作级授权接口、小型安全团队需要解决误报与意图判断难题，整个生态距离真正「自防御企业」仍有相当距离。 参考来源： 1. InfoQ《Beyond Zero: Google Publishes Successor to BeyondCorp》（2026-09-05）: https://www.infoq.com/news/2026/09/google-beyond-zero/ 2. ACM Queue 论文《Beyond Zero: Enterprise Security for the AI Era》（Valente & Zalewski, 2026）: https://spawn-queue.acm.org/doi/10.1145/3819083 3. arXiv 预印本 2605.22985（2026-05-21）: https://arxiv.org/abs/2605.22985 4. arXivlens 论文页《Beyond Zero: Enterprise Security for the AI Era》: https://arxivlens.com/paperview/details/beyond-zero-enterprise-security-for-the-ai-era-457-d265d269 5. FreeBuf 中文报道《Beyond Zero:Google 正在重写 Agent 时代的企业零信任架构》: https://freebuf.com/articles/es/484806.html 6. 中小企业IT网《Google提出Beyond Zero安全框架：AI智能体每次操作都要授权》: https://www.cbismb.com/aicent/article/VemIQ 7. AIToolly 中文《谷歌发布 Beyond Zero:AI 时代的企业安全新范式》: https://aitoolly.com/zh/ai-news/article/2026-07-28-googles-beyond-zero-redefining-enterprise-security-for-the-artificial-intelligence-era 8. PubDB 论文索引《Beyond Zero: Enterprise Security for the AI Era》: https://pubdb.com/paper/2605.22985