STS
按需签发临时、有限权限凭证的服务机制，调用方用长期身份换取有效期通常为15分钟到数小时的临时凭证，自带过期时间和权限范围，用于限制凭证泄露的攻击窗口
时间轴 (近 90 天)
云厂商和内部密钥管理服务签发的临时凭证（如 STS 短期 token 或 OAuth 访问令牌）有效期往往只有几十分钟。
在开发终端场景中，改用短期令牌（如OIDC联合身份、临时STS凭证）并配合细粒度IAM策略，可以显著缩小凭证泄露后的影响范围。
短期令牌通过 STS（Security Token Service）等机制签发，有效期从几分钟到几小时，并绑定特定权限范围，攻击者拿到过期令牌后无法复用。
IAM角色是云平台（如AWS、Azure、GCP）中用于定义身份权限的核心机制，是一组权限策略的集合，通常与临时安全凭证配合使用，通过STS动态颁发访问密钥。
凭证管理可通过短期凭证（如STS动态签发）、凭证代理（Credential Broker）持有长期密钥、网络层出站策略限制来实现，核心逻辑是将凭证从Agent进程移走。
STS（Security Token Service）是一种按需签发临时、有限权限凭证的服务，典型代表是AWS STS，临时凭证有效期通常为15分钟到数小时。
SAP团队将整个STS框架、全部十个仿真环境以及生成的数据集全部开源，代码托管于GitHub
STS采用免Schema（schema-free）设计，不依赖对数据库结构的直接访问，而是让LLM智能体在仿真企业环境中通过调用强制执行策略的API生成数据
由于数据通过定义合法性的同一个环境生成，STS从构造上保证了结构合法性，并将合法性强制执行与分布建模解耦
STS引入了Generalist Populator（GP），一个领域无关的填充智能体
还有 4 条时间轴事件
全部知识事实 (14)
云厂商和内部密钥管理服务签发的临时凭证（如 STS 短期 token 或 OAuth 访问令牌）有效期往往只有几十分钟。
50%待验证在开发终端场景中，改用短期令牌（如OIDC联合身份、临时STS凭证）并配合细粒度IAM策略，可以显著缩小凭证泄露后的影响范围。
50%待验证短期令牌通过 STS（Security Token Service）等机制签发，有效期从几分钟到几小时，并绑定特定权限范围，攻击者拿到过期令牌后无法复用。
50%待验证IAM角色是云平台（如AWS、Azure、GCP）中用于定义身份权限的核心机制，是一组权限策略的集合，通常与临时安全凭证配合使用，通过STS动态颁发访问密钥。
50%待验证STS（Security Token Service）是一种按需签发临时、有限权限凭证的服务，典型代表是AWS STS，临时凭证有效期通常为15分钟到数小时。
50%待验证凭证管理可通过短期凭证（如STS动态签发）、凭证代理（Credential Broker）持有长期密钥、网络层出站策略限制来实现，核心逻辑是将凭证从Agent进程移走。
50%待验证即便是拥有Schema特权的智能体，在航空业环境的紧耦合工作流中仍有高达82%的轨迹失败，原因是任务组合的脆弱性
50%待验证STS引入了Generalist Populator（GP），一个领域无关的填充智能体
50%待验证STS采用免Schema（schema-free）设计，不依赖对数据库结构的直接访问，而是让LLM智能体在仿真企业环境中通过调用强制执行策略的API生成数据
50%待验证由于数据通过定义合法性的同一个环境生成，STS从构造上保证了结构合法性，并将合法性强制执行与分布建模解耦
50%待验证在论文测试的十个环境中，有七个因为种子数据的硬性要求而无法应用统计合成器
50%待验证跨账户角色假设通过调用STS的AssumeRole API换取目标账户IAM角色的临时凭证，临时凭证通常有效期为15分钟至1小时
50%待验证AWS OIDC联合身份场景中，外部工作负载将从其身份提供商获取的JWT提交给STS的AssumeRoleWithWebIdentity接口以换取临时凭证
50%待验证SAP团队将整个STS框架、全部十个仿真环境以及生成的数据集全部开源，代码托管于GitHub
50%