主要观点：如今各公司对 AI 兴奋，大语言模型推动生产力提升，但若不控制好秘密尤其是与非人类身份（NHIs）相关的秘密，AI 可能加快安全事故率。NHIs 在现代 DevOps 和云原生环境中广泛存在，需用秘密进行认证，且秘密易蔓延，NHIs 很少与单个用户绑定，其秘密常被忽视。RAG 虽能让 LLM 获取更多数据，但易导致秘密泄露，如在检索过程中找到包含硬编码密码的旧页面等。日志和反馈回路也会暴露秘密，第三方 LLM 可能导致日志去向不可见。

关键信息：

• 公司利用 AI 提升生产力，如 GitHub Copilot 和内部聊天机器人，但存在秘密管理问题。
• NHIs 形式多样，依赖秘密进行认证，且秘密易蔓延，超过 2370 万秘密在公共 GitHub 仓库中泄露。
• RAG 实施可能导致秘密泄露，如在回答内部开发环境连接问题时包含硬编码密码。
• 日志和反馈回路中的秘密暴露风险，第三方 LLM 可能导致日志去向不明。

重要细节：

• 非人类身份数量远超人类，其秘密泄露更易被忽视。
• 数据源文档未考虑 AI 和秘密，易导致聊天机器人成为内部秘密泄露引擎。
• 为防范风险，应在连接前清理知识源，盘点 NHIs，将秘密移入秘密管理器，监控和清理 AI 日志，使用基于角色的访问控制 RAG。
• 未来 AI 是机器间通信的未来，需管理好 NHIs 以保障安全。