密钥轮换：Agent 的钥匙到期必须换，不能一直用

核心观点

一把钥匙用得越久，丢了的概率越大——而且你根本不知道它什么时候丢的。Agent 手里的 API 密钥、数据库口令、服务账号凭证也是如此：长期有效的密钥一旦泄露，攻击者可以安静地用上几个月。密钥轮换就是给每把钥匙定一个“保质期”，到期强制换新的，旧的自动作废。轮换不是为了防 Agent 变坏，而是为了让“已经泄露但还没被发现”的密钥尽快失效。

四步落地清单

• 先盘点再谈轮换：列出所有 Agent 在用的密钥——哪个服务、谁持有、最后一次换是什么时候，盘不清就轮不动。
• 分级定周期：能动钱、能删数据的密钥 30 天一换；只读、低风险的 90 天一换；临时任务的密钥随任务结束即废。
• 新旧交叠不断线：先发新密钥、确认 Agent 用新密钥跑通，再废旧密钥，留 24 小时交叠期，别搞“先废后发”式停摆。
• 轮换要自动化：靠人工记日子一定会漏——用定时任务或密钥管理工具，到期自动发新、自动回收、自动留记录。

一个反面案例

某团队一个客服 Agent 的密钥两年没换过，离职员工的旧配置里还留着它。后来一次异常调用被查出时，日志里根本分不清是正常任务还是冒用——如果密钥每 30 天一换，旧配置里的那把钥匙早就作废了，查都不用查。

今日思考题

你的 Agent 有没有超过 90 天没换过的密钥？找出来，给它排一个本周的轮换时间。