美国NIST（美国国家标准与技术研究院）联合CISA（美国网络安全和基础设施安全局）定稿令牌防滥用指南，新增AI（人工智能）与抗量子迁移高层考量
美国NIST（美国国家标准与技术研究院）与CISA（美国网络安全和基础设施安全局）发布定稿报告NIST IR 8587，为联邦机构及其合作的云服务商提供身份与访问令牌的防伪造、防盗用实施指南。
相比2025年12月草案，定稿弱化密码密钥保护的硬性规定、改为结果导向，并新增处理AI（人工智能）和向后量子密码（PQC）标准迁移的高层考量，但不为这两个议题提供完整工具集。
报告全名为《Protecting Tokens and Assertions from Forgery, Theft, and Misuse》（NIST（美国国家标准与技术研究院） IR 8587），由NIST（美国国家标准与技术研究院）与CISA（美国网络安全和基础设施安全局）发布，响应美国行政令14306的委托，并建立在SP 800-53近期更新之上。
报道发布时间为2026年9月15日。 相比2025年12月的公开草案，定稿的主要变化包括：密码密钥保护指南不再那么规定性、更偏结果导向，聚焦组织整体能力； 增加密钥使用、保护和存储建议； 新增处理AI（人工智能）和向PQC（后量子密码）标准迁移的高层考量，报告不为这两个议题提供完整工具集； 增加对现行和新兴标准的引用；
令牌撤销、令牌信号共享等任务有更多选项。 报告引用的一起攻击中，境外行为者用源自单一被盗商业签名密钥的伪造令牌访问某机构邮件系统，从单一机构窃取超过6万封邮件。 NIST数字身份项目负责人Ryan Galluzzo表示，报告主要面向联邦机构及其合作的云服务提供商（CSP），但任何处理身份令牌和相关身份断言的机构都可参考。
撰稿方称NIST和CISA获得联合网络防御协作组（JCDC）等行业伙伴的关键反馈。
这是身份与访问管理领域的合规基线更新，与生成式AI（人工智能）的直接关系有限：报告只给出AI和PQC（后量子密码）迁移的高层考量，未提供评测方法、红队流程或模型安全指标。
值得关注的是它把“AI代理的身份标准”问题交给了NIST（美国国家标准与技术研究院）国家网络安全卓越中心（NCCoE）此前的概念文件，说明面向AI代理的身份治理仍处于早期原则阶段，尚无可对照的产品级验收标准。
后续观察信号
- NIST（美国国家标准与技术研究院） IR 8587中关于令牌撤销和信号共享的具体选项有哪些，是否可映射到教育场景的账号风控
- NCCoE关于将身份标准应用于AI（人工智能）代理的概念文件是否已形成可实施要求
- PQC（后量子密码）迁移项目的时间表和行业参与方式