以 Taisys、Profet AI與Zentera為例，看 Agentic Zero Trust 如何從硬體身分、平台治理到網路隔離形成完整防線
文／楊建洲 James Yang，Profet AI 執行長特助
前三篇分別談過 AI Agent 面臨的威脅、Zero Trust架構，以及從設計走向企業導入所需要的控制流程。當 Agent真正開始進入企業環境後，下一個問題便是：這些安全要求，要如何轉化成真正可以執行的技術控制？
隨著 AI Agent 從回答問題逐漸走向存取企業資料、呼叫 MCP與工具、操作後端系統，甚至直接執行具業務影響力的任務，Agent Security 已經從模型安全，延伸成一條涵蓋身分、授權、平台治理、端點與網路的完整控制鏈。
從架構上來看，可以將這條防線分成三個不同層次：第一層確認「誰正在授權這個Agent」；第二層決定「這個 Agent 被允許做什麼」；第三層則限制「即使 Agent失控，實際上能夠碰到哪裡」。
Taisys、Profet AI與Zentera所提供的技術，正好分別對應這三個不同的安全邊界。
Taisys dMID：以 SIM Card 安全晶片建立可信身分
傳統企業 IAM管理的主要對象是「人」。使用者經過帳號、密碼、多因子驗證之後取得身分，再由系統授予相應權限。
Agentic AI 改變了這個基本假設。
當 Agent可以代表使用者持續執行工作，企業除了需要確認背後的使用者身分，也必須確認是哪一個 Agent 正在執行，以及某項高風險操作是否真的再次取得人的授權。
Taisys 太思科技長期投入 SIM、eSIM與電信身分認證，其最大的技術特色，在於利用 SIM Card內建的安全晶片與加密機制建立硬體層級的可信身分。
SIM Card 本身具有 Secure Element的特性。重要的身分憑證與加密金鑰可以受到晶片硬體保護，密碼學運算也可以在晶片內完成，而不是將關鍵憑證直接暴露於作業系統、瀏覽器或 Agent Runtime。
這套機制已經在電信與金融應用中累積多年實務經驗，而 dMID所代表的方向，是把這個成熟的硬體信任機制進一步延伸到 AI Agent。
目前許多 Agent 系統的 Human-in-the-Loop，是透過 System Prompt規定「刪除資料、付款或修改重要設定之前必須先取得使用者確認」。但只要這項規則仍存在於 Agent Context 裡，就代表安全控制與 Agent Reasoning仍處於同一個信任邊界
當 Context 被壓縮、指令發生衝突，或者 Agent對任務產生錯誤理解時，原本設計的確認流程就可能失效。
2026 年已有多起值得關注的 Agent 事故，包括郵件 Agent未依預期完成確認便大量刪除郵件，以及 Coding Agent在處理環境問題時誤刪正式環境資料。這些事件的共同點，不是外部攻擊者竊取帳號，而是 Agent 已經取得合法存取能力，卻在錯誤判斷下執行了不可逆操作。
因此，高風險操作的最終授權不能只存在於 Prompt。更合理的架構，是讓 Agent提出操作要求，但在真正執行之前，由 Agent Runtime之外的可信機制重新確認人的身分與授權。SIM Card 的 Secure Element正好可以提供這樣的 Hardware Root of Trust。
換句話說，Agent 可以判斷需要做什麼，但不能自行證明「人已經同意」。這使得Human Approval 從模型的 Reasoning中被抽離，形成一道獨立的硬體安全邊界。即使 Agent Runtime發生錯誤，甚至受到攻擊，高風險動作仍然必須跨越另一個可信認證機制才能真正執行。
但確認「誰批准」仍然只是第一步。完成身分驗證之後，企業還必須進一步判斷：這個使用者透過這個 Agent，在目前的任務情境下，到底可以做什麼。這就是
Agent Governance 的範圍。
Profet AI AI Studio：建立 Agent Governance 的 Policy Control Plane
在企業 Agent 架構中，Identity 與 Authorization 必須分開處理。
一個使用者完成身分驗證，不代表他透過任何 Agent都可以存取所有企業資源；同樣地，一個具有合法身分的Agent，也不代表它可以任意使用 Knowledge、Model、MCP、Tool 或企業後端系統。
這也是 Profet AI 將 AI Studio 定位為企業級 AI Agent Operation Platform的核心原因。
AI Studio 管理的並不是單一 Agent，而是 Agent 執行工作時涉及的User、Agent、Workflow、Knowledge、Model、AutoML、MCP、Tool 與 Enterprise
System 之間的授權與治理關係。
以企業內部的 FAE Twin為例，它可能需要查詢歷史技術文件、分析客戶問題、呼叫 AutoML模型分析製程資料，再透過 MCP 串接 Jira、PLM 或其他企業系統。
此時真正需要治理的問題，不再只是「FAE Twin 是否可以登入」，而是它可以讀取哪一個客戶的資料、哪些內容只能查詢、哪些系統可以修改、哪些 Tool Call
可以自動執行，以及哪些操作必須進一步取得人工批准。
這些決策不應交由 LLM 自行判斷。
AI Studio 透過 ACL、Guardrail、Workflow、Knowledge Governance、Tool/MCPManagement 與 Audit，將企業政策放在 Agent Reasoning 之外。Agent 負責理解問題、分析資訊與規劃任務，但資源是否可以存取、工具是否允許呼叫，以及某項操作是否需要 Approval，必須由平台政策決定。
因此，一套完整的 Agent 控制架構至少需要把三件事情分開：
Reasoning 由 Agent 負責；Policy Enforcement 由治理平台負責；涉及高風險或不可逆操作時，再由獨立的 Human Approval 機制完成最終授權。
如果這三件事情全部寫在同一份 Prompt 中，本質上仍然是讓 Agent同時扮演申請者、審查者與執行者，並不符合 Zero Trust 的精神。
當 AI 從「提供資訊」進一步走向「採取行動」，安全控制自然也必須從模型層擴展到完整的 Agent Execution Chain。
然而，即使企業已經建立可信身分與平台授權，仍然存在最後一個問題：如果Agent 本身遭到 Prompt Injection、惡意 MCP 或第三方工具影響，甚至企業內存在尚未被納管的 Shadow AI，應用層政策是否足以限制風險？
這就需要進一步延伸到基礎設施與網路層。
Zentera Ensage AI：從 Shadow AI 可視性到 Network Isolation
Zentera Systems 長期投入 Zero Trust Network Security，其核心技術 CoIP Zero Trust Overlay，透過軟體定義的隔離與 Micro-segmentation，將企業應用、資料與工作負載限制在不同的安全邊界內。
其基本原則是：即使攻擊者突破一個端點，或取得一組合法 Credential，也不應因此能夠在企業內部網路中任意橫向移動。
Ensage AI 則把這套 Zero Trust 架構延伸到 AI Agent。
Profet AI 與 Zentera 的合作，正是把 Agent Governance 與底層 Zero Trust Network Enforcement 串接起來。AI Studio 負責管理 Agent 與 Knowledge、Model、MCP、Tool 及企業應用之間的邏輯授權；Ensage AI 則進一步處理 Endpoint、Session 與 Network Layer 的安全控制。
Ensage AI 透過 zLink 在端點以 Process Fingerprint 與 Network Behavior 進行 Agent Discovery，讓企業即使不依賴申報也能掌握各類 Coding Agent、MCP Server 或第三方工具的實際存在，解決 Shadow AI 可視性問題；同時以 AI Session Controller 提供 Prompt、Response 與 Tool Call 的可視化與控管，並透過中介層降低敏感 Credential 暴露風險與限制入侵後的橫向利用，再結合 Zentera Labs 的生態風險追蹤與 Virtual Chamber 技術，將不同 Agent 與工作負載進一步隔離於獨立網路環境中。
Project A 的 Agent 無法直接存取 Project B 的資源，不只是因為平台政策規定「不可以」，而是 Project B 的服務在網路層根本不在它的可連線範圍內。
同樣地，研發 Agent 即使受到 Prompt Injection，也不應因此取得財務系統的 Network Reachability；Coding Agent 可以操作 Git Repository，也不代表它應該能直接連線 Production Database。
這就是 Zero Trust 中極為重要的 Blast Radius Control。
傳統權限設計通常從工作需求出發，思考「這個 Agent 完成任務需要哪些權限」；Zero Trust 則必須再加入另一個問題：如果這個 Agent 下一秒完全失控，企業最多願意讓它影響到哪個範圍？
前者確保工作可以完成，後者則決定事故最終可能造成多大的損害。
對 AI Agent 而言，這項能力會越來越重要。因為 Agent 執行 API、Command 與 Tool Call 的速度遠高於人工安全團隊的反應速度，只依賴事件發生後的監控與告警，很可能已經來不及。
因此，一部分安全控制必須存在於 Agent 本身無法繞過的基礎設施層。
三層 Agentic Zero Trust：Identity、Governance 與 Enforcement
把 Taisys、Profet AI 與 Zentera放在同一個架構中，可以清楚看出三者處理的是不同的安全邊界。
第一層是 Identity & Human Authorization。
Taisys dMID 以 SIM Card Secure Element 作為硬體信任根，保護身分憑證與加密機制，並在重要操作發生前提供獨立於 Agent Runtime 的可信認證。這一層解決的核心問題是：究竟是誰真正批准這項操作。
第二層是 Agent Governance & Policy Control Plane。
Profet AI AI Studio 管理 User、Agent、Workflow、Knowledge、Model、AutoML、MCP、Tool 與 Enterprise System 之間的存取政策，透過 ACL、Guardrail、Workflow、Approval 與 Audit 決定 Agent 在不同 Context 下的權限。這一層解決的是：這個 Agent 現在被允許做什麼。
第三層是 Compute & Network Enforcement。
Zentera Ensage AI 從 Agent Discovery、Endpoint Visibility、AI Session Control，一直到 Micro-segmentation 與 Virtual Chamber，限制 Agent 實際可以到達的網路與系統範圍。這一層解決的是：即使 Agent 遭到攻擊或失控，實際上能走到哪裡。
三個安全問題彼此相關，但不能互相取代。
身分認證無法限制一個取得合法權限的 Agent 在企業網路中的橫向移動；平台治理無法單獨發現端點上所有未納管的 Shadow Agent；網路隔離則無法判斷某一次高風險業務行為是否真正取得人的批准。
真正的 Agentic Zero Trust，必須讓三個控制層保持相對獨立，又能建立一致的 Trust Chain。
結語：從 Agent 功能競爭走向 Agent Trust Architecture
Agentic AI 的安全，很難由單一產品完整解決。
Agent Identity、Human Approval、Agent Governance、MCP 與 Tool Management、Endpoint Visibility、Session Control 與 Network Isolation，本來就是不同的專業領域。
因此，未來更合理的企業架構，不是期待一套 Agent 平台重新實作所有資安能力，而是讓不同安全層各自負責最擅長的控制，再透過一致的政策、身分與稽核機制形成完整架構。
在這套架構中，Taisys 以 SIM Card 安全晶片提供 Hardware Root of Trust；Profet AI AI Studio 作為 Agent Governance 的 Policy Control Plane；Zentera 則負責
Endpoint、Session 與 Network Enforcement。
三者形成的不是三套彼此獨立的產品，而是一條從身分、授權、執行到隔離的信任鏈。
對企業而言，未來評估 Agentic AI 平台時，真正需要確認的也不應只是模型能力、Agent 數量，或可以串接多少 MCP 與工具，而是每一次 Agent 行動是否都能回答幾個基本問題：由誰發起、由哪一個 Agent 執行、根據什麼政策取得權限、由誰批准高風險行動、實際存取哪些資源，以及發生異常時能否立即撤銷、隔離並完整追溯。
當 AI Agent 從資訊助手逐漸進入企業核心流程，資安設計的重點也將從「防止模型回答錯誤」，進一步轉向「確保 Agent 的每一次自主行動，都存在可驗證、可授權、可限制與可追溯的信任邊界」。這才是 Agentic Zero Trust 真正需要解決的問題。