美国国家网络安全中心（NCSC）正推动密码替代方案的加速落地。面对现代自动化威胁，传统静态密码已显得防御力不足。
人工智能已将网络犯罪转化为高效、工业规模的产业。随着研究人员发现代理勒索软件攻击，以人为中心的传统防御手段正迅速失效。网络犯罪分子利用工业级 AI 工具，以机器速度和规模策划凭证填充攻击及超逼真的钓鱼活动。
对于企业而言，采用密钥等无密码验证方法取决于现有身份和访问管理 (IAM) 系统的成熟度。目前仅有 30% 的企业采用了替代密码方案。若缺乏无密码系统，数字信任将持续受到威胁行为者的破坏。
用户摩擦与安全困境
长期以来，身份安全被视为运营部门的孤立议题。然而，随着客户体验直接影响企业收入，提供无缝的 IAM 已成为商业必需品。
密码迫使在安全性与可用性之间做出艰难权衡：要求用户创建独特复杂的字符串会导致严重的“密码疲劳”，而重复使用凭证或使用易猜短语则使入口暴露于风险之下。当安全措施损害可用性时，商业模式便难以为继。
此外，尽管大多数英国公众担忧身份盗窃和欺诈，但仅 17% 的人完全信任管理其身份数据的组织。密钥通过加密身份验证直接解决了这一信任赤字。
由于私钥保存在用户本地设备且从不与中央服务器或应用程序共享，密钥能有效抵御钓鱼攻击，消除用户成为社会工程目标的风险。不同于密码，密钥还与特定经过验证的域名绑定，为攻击者增加了另一层技术防御。
保障自主身份安全
向智能 AI——即完全自主运行、人为干预最小化的系统——的转变打破了传统认证模式。密码本质上是依赖人类大脑记忆的信息。
自主 AI 代理（如自主数字代理、个人购物助手和合成工作流）无法像人类一样“记住”密码，否则将造成硬编码凭据或共享会话令牌等严重漏洞，带来永久性风险。
如果 AI 代理继承了过度特权的人类凭据，一旦受损或泄露，敏感数据将以机器速度扩散，远超传统安全方法的响应时间。
为确保不断增长的自主劳动力安全，AI 代理必须拥有独特的、一流的身份，并具备特定任务、有限时间的许可权限。密钥和去中心化加密凭据能够保护这些机器身份，允许企业在不暴露潜在人类凭据的情况下，安全地验证和审计代理工作流程及交互。
从密码到密钥的演进
科技行业正在推动密钥的普及。Google 和 Amazon 等科技巨头出于提升客户便利性和账户安全性的考量，已将密钥作为默认认证标准。企业若拖延转向无密码框架，将继续依赖为完全不同时代设计的防御围墙。
虽然多数组织认识到采用无密码选项的重要性，但从传统密码过渡仍受现实复杂性阻碍。许多核心 IT 系统和遗留基础设施深度依赖嵌入业务流程中的密码。
因此，IT 领导者担心更新这些系统需要大量的代码重写和专业开发资源。
为应对这一挑战，现代低代码或无代码身份平台使组织能够可视化地绘制、测试和部署复杂的身份验证流程。这使得企业可以逐步引入密钥或生物识别提示等现代无密码选项，而无需扰乱活跃用户的工作流程或更换整个遗留基础系统。
通过允许团队在不影响用户体验或正常运行时间的情况下实现安全流程现代化，先进的身份编排成为关键的业务支持者。
未来信任始于身份安全
随着自动化威胁、深度伪造和自主软件继续重新定义威胁格局，针对这些复杂攻击，静态、时间点登录的概念已过时。许多组织需要放弃密码，重新思考如何维护数字信任。
采用以密钥和强大身份编排为中心的身份优先方法，使企业能够减少用户摩擦，加强人类和机器身份的安全性，并建立在 AI 驱动环境中自信增长所需的持续信任。
