数十年来，静态凭据定义了数字访问方式。尽管其依然存续，但根基已动摇。如今，AI驱动的攻击以机器速度运行，网络钓鱼逼真到令39%的安全专业人员难以察觉，凭据填充攻击更呈工业化规模，传统防御体系正面临崩溃。
据媒体报道，英国国家网络安全中心（NCSC）近日宣布，传统密码已无法抵御自动化威胁，转向通行密钥（Passkeys）是对数十年安全实践的彻底改革。行业共识认为，密码时代的终结并非突然切换，而是随着消费者平台和企业系统的加速普及逐步完成。
Passkeys基于存储在设备上的加密密钥，绑定合法域名，虚假网站无法获取响应，且不存在可被窃取或重放的共享秘密。用户通过生物识别、PIN码或硬件令牌验证，既降低摩擦又提升安全性。
认知与行动的鸿沟
习惯难以改变。Yubico与Okta合作于10月7日发布的《2026年全球身份验证状态调查》揭示了这一差距。在近2000名受访的安全和IT专家中，87%知晓无密码选项，但仍有48%的个人账户主要依赖用户名和密码，工作场景中这一比例为43%。
登录疲劳是主要惯性来源。频繁的验证码提示和重置请求让用户疲惫，便利性往往胜出。入职流程加剧了这一问题：52%的受访者在入职第一天即获得基于密码的凭据，这些默认设置塑造了长期行为模式。
然而，变革势头正在积聚。FIDO联盟发布的《2026年Passkeys状态报告》显示，全球活跃Passkeys已达50亿个，68%的组织已部署或试点用于员工访问。微软已在多项服务中将Passkeys设为新账户默认选项，并允许用户在Entra ID中将其注册为首种多因素认证方法，取消此前对短信的要求，相关部署将于2026年10月下旬启动。
人机身份验证的新挑战
企业面临新复杂情况。随着智能体AI系统自主性增强，个人购物助手、数字代理等无法在不引入硬编码秘密或共享令牌的情况下记住密码，这会创建永久性漏洞。身份验证必须同时适应机器与人类身份。
密码为人类记忆设计，扩展至自主智能体时便失效。硬编码凭据易受攻击，会话令牌在系统间传递时暴露风险。Passkeys和FIDO2密钥通过加密证明取代记忆秘密，私钥保留在设备或硬件令牌上，公钥在服务中注册，适用于员工登录及AI智能体执行任务。
完全过渡不仅涉及技术替换，身份编排至关重要。持续信任信号取代一次性检查，设备智能、行为上下文和风险评估叠加在加密验证之上。恢复路径也变得关键，需确保丢失设备或被攻破的身份验证器不会无限期锁定用户。
硬件安全密钥提供最高保障，31%的受访者视其为黄金标准，因其需物理在场且能抵御AI生成的网络钓鱼诱饵。跨设备同步的Passkeys在偏好程度上紧随其后。
微软的变革加速了企业采用。该公司计划到2027年2月，在Entra ID中为大多数用户停用原生短信和语音代码交付功能，Passkeys或其他抗网络钓鱼方法将成为强制要求。延迟行动的组织将面临后期强制迁移的局面。
市场信号确认了这一方向。2026年10月的无密码身份验证软件排名中，HYPR、Okta、Duo等厂商在目录集成、SAML和OIDC支持及分阶段实施便利性方面展开竞争，部分厂商提供免费层级以降低门槛。
但密码不会一夜消失。遗留应用程序、某些B2B集成和边缘情况使其得以延续，混合环境将在未来几年占据主导。安全团队需同时管理两种模型，在推动主身份验证向Passkeys转移的同时，加固恢复流程。
后量子担忧迫在眉睫。当前加密标准面临先进计算的潜在威胁，FIDO标准正在演进。准备中的组织应考虑抗量子攻击算法，从密码的转变只是长期身份基础设施重构的第一层。
数据显示认知与行动脱节。安全专业人员理解风险却默认使用熟悉方法，入职流程锁定了这些选择。在第一天更改默认设置能带来巨大影响。AI智能体增加了紧迫感，91%的领导者希望在自主系统执行关键行动前获得人类批准，身份验证必须在不引入新弱点的情况下证明身份、意图和授权。
随着NCSC指导方针、微软产品变更、FIDO采用数据及厂商创新共同作用，过渡正在加速。密码退出默认地位，Passkeys向前推进，行业正从基于记忆的凭据转向植根于设备和硬件的加密信任。现在采取行动的组织将获得更强、更灵活的控制环境，而等待者将继承技术债务和升高的风险。告别密码的时代已经开始，并在2026年加快步伐。