NIST выпустила рекомендации по защите токенов от подделки и кражи

NIST совместно с CISA опубликовала финальную версию отчёта IR 8587 о защите токенов и утверждений SAML, OIDC и OAuth от подделки, перехвата и повторного использования. Документ описывает пять классов угроз, включая компрометацию ключей подписи, и требует проверять audience, scope и срок действия токена, а не только подпись.

• Отчёт IR 8587 вышел 15 сентября 2026 года совместно с CISA
• Выделены пять классов угроз: подделка, перенаправление, повтор, кража ключей и токенов
• Рекомендованы sender-constrained токены через DPoP или mutual TLS
• Для ИИ-агентов советуют короткие сроки жизни и ограничение scope