密码要被淘汰了？英国机构下场，17%信任度逼出替代方案

你有没有算过，自己到底有多少个密码？邮箱、社交、购物、办公系统，每个平台都要求"大小写字母加数字加符号"，还不能和上一个重复。记不住就重置，重置完又忘，最后干脆所有账号用同一个——这大概是绝大多数人的真实状态。

这种状态正在被认真对待。围绕"通行密钥（passkey）取代密码"的讨论，最近明显加速了。英国国家网络安全中心（NCSC）成了这场转变的催化剂，把这轮变化描述为"对几十年安全实践的一次彻底翻修"。行业里终于形成了一个共识：传统的静态密码，挡不住现代自动化攻击。

AI把网络犯罪变成了流水线

Ping Identity 的 GTM CTO Alex Laurie 给出了一个判断：AI 已经把网络犯罪变成了一门高效率、工业规模的生意。

研究人员已经发现了"智能体勒索软件"攻击，这意味着攻击的节奏正在超出传统以人为中心的防御体系所能应对的范围。攻击者可以规模化地部署 AI 工具，以机器的速度和规模，发起海量的撞库攻击和高度逼真的钓鱼活动。

对企业来说，能不能用上通行密钥这类无密码验证方式，取决于现有身份与访问管理（IAM）系统的成熟度。在 IAM 策略不成熟、甚至完全没有 IAM 策略的企业中，只有 30% 在拥抱密码替代方案。没有无密码体系，攻击者就会继续侵蚀数字信任。

密码制造了一个无解的交易

多年来，身份安全被当成运维部门自己的事。但当客户体验直接决定企业收入时，交付顺畅的 IAM 就变成了一件商业上的必答题。

密码逼着用户做一个糟糕的取舍：让用户创建唯一且复杂的字符串，结果是严重的"密码疲劳"；而为了省事复用凭据、使用容易被猜到的短语，又会让入口对攻击者敞开。当安全性和可用性互相打架，商业模式本身就会出问题。

密码还制造了另一重障碍。尽管大多数英国公众确实担心身份盗用和欺诈，但只有 17% 的人完全信任那些管理自己身份数据的机构。通行密钥通过密码学认证，直接回应了这种信任缺口。

原因在于，私钥始终安全地留在用户本地设备上，永远不会共享给中心服务器或应用程序，因此不存在一个可供黑客攻破的中心数据库。通行密钥还能抵抗钓鱼，消除了用户被社会工程手段欺骗的风险。和密码不同，它在密码学上与一个特定的、经过验证的域名绑定，又多了一层技术防御。

给AI智能体发一张自己的身份证

向智能体 AI 的转变——也就是在极少人工干预下运行的完全自主系统——正在击碎传统的认证模型。密码从设计之初，就是给人脑记忆用的。

一个自主的 AI 智能体，比如自主数字代理、个人购物助手、合成工作流，没法"记住"密码，除非制造出严重漏洞，比如硬编码凭据，或者共享会话令牌带来的长期风险。

如果一个智能体继承了权限过大的人类凭据，那么一个被攻陷或行为失控的 AI，就能以机器速度窃取敏感数据，远远快过传统安全手段的响应时间。

要保护这支不断壮大的自主劳动力队伍，AI 智能体必须拥有自己独立的、一等公民式的身份，配备针对具体任务、有时间限制的权限。通行密钥和去中心化的密码学凭据，可以保护这些机器身份，让企业能够安全地验证和审计智能体工作流与交互，同时不暴露底层的人类凭据。

巨头已经在推，但老系统拖住了后腿

科技行业正在推动通行密钥的普及势头。谷歌、亚马逊这样的科技巨头，看到了提升客户便利性和账户安全性的必要性，正把通行密钥定位为默认的认证标准。那些迟迟不向无密码框架迁移的企业，等于还在守卫一道为另一个时代修建的围墙。

尽管大多数组织现在都看到了采用无密码选项的重要性，但告别传统密码的过程，被现实中的复杂性拖住了。许多核心 IT 系统和遗留基础设施都依赖密码，而密码深深嵌在业务流程里。

IT 负责人因此担心，更新这些系统需要大规模的代码重写和大量专业开发资源，替换它们需要精心的编排。

为应对这一挑战，现代的低代码或无代码身份平台，让组织能够以可视化方式映射、测试和部署复杂的认证流程。企业因此可以逐步引入通行密钥、生物识别提示这类现代无密码选项，而不打断现有用户的工作流，也不必替换整个底层遗留系统。

让团队在不影响用户体验和正常运行时间的前提下完成安全流程现代化，先进的身份编排正在成为一个关键的业务推动力。

静态登录这件事，本身已经过时了

威胁格局仍在被自动化威胁、深度伪造和自主软件重新定义。面对这些复杂的攻击，静态的、时间点式的登录概念已经过时。NCSC 发出的行动呼吁，成了许多组织需要的最后一把推力，让它们放下密码，重新思考如何守护数字信任。

采用以通行密钥和强大身份编排为核心的身份优先策略，企业可以减少用户摩擦，加强人类身份和机器身份的安全，并建立起在 AI 驱动的环境中自信增长所需的持续信任。