平台级安全架构：凭据隔离、权限分级与敏感数据脱敏

当企业把自动化从"跑几个流程"推进到"让成百上千个数字员工协同干活"，安全就从"上线前的检查项"变成了"平台的地基"。单点 RPA 时代，账号密码写死在脚本里也许还能勉强接受；但在企业级智能体自动化平台里，机器人要跨 CRM、ERP、财务、核心业务系统搬运资金与客户数据，任何一处凭据泄露或越权操作，影响都会被放大成系统性风险。本文从平台工程视角，拆解凭据隔离、权限分级与敏感数据脱敏这三件必须做对的事。

一、平台期的安全挑战来自"规模"

规模上来之后，安全问题的性质变了：

• 凭据散布：几十个机器人各自保存登录信息，离职、轮岗、系统改密时极易出现"幽灵账号"；
• 数据跨界：自动化在多个异构系统间搬运，涉及资金、客户隐私、合规报表等敏感内容；
• 影响面大：一次权限误配，可能让成百上千个流程都能读到本不该读的数据。

解决之道不是给每个机器人加锁，而是把"身份、权限、数据"三类能力收到平台层统一管控。

二、凭据隔离：机器人不持有明文

平台应内置统一凭据库，机器人运行时不接触明文账号密码，而是向凭据服务申请短期令牌，任务结束即回收：

1. 凭据集中托管：账号、证书、API Key 统一存放，加密存储、按角色授权读取；
2. 短期令牌下发：每次执行临时颁发，避免长期有效的静态口令；
3. 双人复核：资金类、高权限操作触发双人审批，关键动作留痕；
4. 全链路回放：操作过程可回溯，便于事后定责与审计。

三、权限分级：四类角色各司其职

企业级平台通常把权限拆成四类，遵循按需授权原则：

• 开发角色：设计、调试流程，但不能触碰生产凭据；
• 运维角色：负责调度与运行，不修改业务规则；
• 审计角色：只读查看运行与录屏，独立监督；
• 业务角色：提出需求、查看结果，不参与底层配置。

业务人员可以通过低代码界面"造流程"，但平台要确保其看不到生产系统的敏感凭据，从机制上隔离风险。

四、敏感数据脱敏：传输、存储、日志三道关

• 传输加密：跨系统数据走受控通道，不在公网明文暴露；
• 字段级脱敏：身份证号、银行卡号、手机号等按规则脱敏，仅保留业务必需部分；
• 日志不留明文：运行日志、录屏元数据不记录敏感原文，需要追溯时走授权解密。

五、用可观测把安全"看"出来

安全不能只靠制度，还要有技术手段持续验证。某大型银行引入桌面行为分析后，被纳管的终端从 150 个扩展到 260 个，整体运行效能提升约 70%，年度处理业务量达 80 万笔，释放 30 余名人力；某金融集团质检中心约 70 名人员，每天对 2200 名客服、15 万条通话数据做质检，在录屏与录音系统对接、音视频同步后，整体效率提升约 10%，投诉定位也有了客观依据。这些数字背后，是"操作可回放、行为可分析、责任可界定"的工程能力。

六、落地检查清单

• 凭据是否集中托管、机器人不持明文
• 是否按开发/运维/审计/业务四类做权限分级
• 敏感字段是否在传输、存储、日志三处脱敏
• 是否具备录屏回放与行为分析能力
• 资金/合规类操作是否双人复核并留痕

安全能力要前置到平台设计阶段，而非事后补救——凭据、权限、脱敏、审计四件事同步规划，才能支撑规模化运营而不留隐患。某金融集团在录屏与行为分析加持下，约 70 名人员即可覆盖 2200 名客服、15 万条通话的质检，效率提升约 10%，正是安全与效率并重的样本。