الشركات تعيد بناء إدارة الهوية لوكلاء الذكاء الاصطناعي، لا للبشر
داخل شركة نموذجية اليوم، يفوق عدد وكلاء الذكاء الاصطناعي وغيرهم من الهويات غير البشرية عدد حسابات الموظفين البشريين بفارق كبير — تُبلغ بعض فرق الأمن عن نسب تصل إلى 45 إلى 1، بل يذكر البعض أرقاماً أقرب إلى 80 إلى 1. هذه ليست مشكلة مستقبلية افتراضية. إنها الوضع الحالي للهوية في أي مؤسسة تبنّت الذكاء الاصطناعي الوكيل ولو لجزء بسيط من مهامها، وهي تكشف عن ضعف بنيوي في كيفية تأمين الشركات للوصول إلى أنظمتها.
بُنيت إدارة الهوية والوصول التقليدية (IAM) حول وحدة بسيطة وثابتة: الموظف البشري. يُوظَّف الشخص، يحصل على دور، يُمنح صلاحية وصول مرتبطة بذلك الدور، ثم يغادر في النهاية فتُلغى الصلاحية. يكسر وكلاء الذكاء الاصطناعي كل جزء من هذا النموذج. فهم يُنشؤون ويُلغون خلال ثوانٍ، وغالباً ما يمثلون فرقاً أو مهام متعددة في آن واحد، وغالباً ما تنشرهم فرق الهندسة أو المنتج دون علم قسم تقنية المعلومات، ويتصرفون بسرعة الآلة عبر أنظمة أكثر بكثير مما يلمسه أي إنسان في يوم واحد.
لماذا تُعد الصلاحيات الدائمة الخطر الحقيقي
يتمثل نمط الفشل الأساسي فيما تسميه فرق الأمن الصلاحيات الدائمة — حقوق وصول واسعة ومستمرة تُمنح مرة واحدة وتبقى قائمة إلى أجل غير مسمى لأن مراجعتها أمر غير مريح. بالنسبة للموظف البشري، تُعد الصلاحيات الدائمة خطراً معروفاً بالفعل؛ إذ تكشف عمليات التدقيق بانتظام عن حسابات لها صلاحيات لا يتذكر أحد أنه منحها. أما بالنسبة لوكيل ذكاء اصطناعي يعمل باستمرار ويمكن التلاعب به عبر حقن الأوامر أو استدعاء أداة مخترقة، فإن الصلاحيات الدائمة تحوّل ثغرة واحدة مستغلة إلى باب مفتوح عبر كل نظام يمكن لذلك الوكيل لمسه.
يتفاقم هذا الأمر بما يسميه الممارسون الذكاء الاصطناعي الخفي: وكلاء وأدوات أتمتة تُنشر خارج نطاق الحوكمة الرسمية، غالباً من قِبل فرق تسعى للتقدم بسرعة، وتحصل على وصول مباشر لبيانات حساسة دون أن تظهر أبداً في سجل هوية مركزي. الوكيل الذي لا يعلم أحد في فريق الأمن بوجوده لا يمكن مراقبته أو تقييد معدل استخدامه أو إيقافه بسرعة عند حدوث خلل.
ما تتطلبه إدارة الهوية الوكيلة فعلياً
يتقارب مزودو الأمن ومهندسو المؤسسات على حل يتضمن بضع ممارسات ملموسة، وليس منتجاً سحرياً واحداً:
الاكتشاف المستمر. يجب أن يكون كل وكيل ذكاء اصطناعي، والأنظمة التي يتصل بها، والصلاحيات التي يمتلكها حالياً، مرئياً في الوقت الفعلي — لا أن يُدقَّق فيه ربع سنوياً. الوكلاء الذين يُنشؤون ويُحذفون خلال دقائق يجعلون أي جرد ثابت عديم الفائدة تقريباً بشكل فوري.
الوصول المؤقت في الوقت المناسب. بدلاً من إصدار مفتاح API أو بيانات اعتماد حساب خدمة طويلة الأمد، ينبغي أن يحصل الوكلاء على رموز قصيرة الأجل ومحدودة النطاق، تُنشأ لحظة الاستخدام وتنتهي صلاحيتها تلقائياً. هذا يقلص النافذة المتاحة للمهاجم في حال تسرب بيانات الاعتماد.
التفويض الدقيق. التحكم في الوصول القائم على الأدوار (RBAC)، وهو المعيار الافتراضي لإدارة الهوية البشرية، خشن جداً بالنسبة لوكلاء يتخذون آلاف القرارات الصغيرة المعتمدة على السياق. تتيح نماذج التحكم في الوصول القائمة على السمات (ABAC) أو العلاقات (ReBAC) أن تعتمد الصلاحيات على البيانات المحددة والمهمة وسياق المخاطر لكل إجراء، وليس فقط على تصنيف دور ثابت.
سلطة مفوّضة وقابلة للتحقق تشفيرياً. عندما يتصرف وكيل نيابة عن مستخدم أو نظام آخر، يجب أن يكون هذا التفويض صريحاً وقابلاً للإثبات — عادة عبر معايير مثل تبادل رموز OAuth 2.0 أو اتحاد هوية عبء العمل — حتى لا يتمكن وكيل مخترق من انتحال هوية ذات صلاحيات أعلى بصمت.
إمكانية تدقيق كاملة. يجب أن يكون كل إجراء يتخذه الوكيل قابلاً للتتبع حتى هوية يمكن التحقق منها وسلسلة تفويض غير منقطعة. عند وقوع حادثة، تحتاج فرق الأمن إلى معرفة أي وكيل فعل ذلك، وتحت سلطة من، وبأي صلاحيات، خلال دقائق لا أيام.
مشهد الموردين لا يزال في طور التنظيم
أطلق مزودو الهوية مثل SailPoint وOkta وCyberArk أدوات موجهة خصيصاً للهويات غير البشرية والوكيلة خلال العام الماضي، عادة تحت مسميات مثل إدارة الهوية الوكيلة أو نسيج الهوية. لا يحل أي من هذه المنتجات محل نشر إدارة هوية مرتكز على البشر بشكل كامل — تُشغّل معظم الشركات كلا النظامين بالتوازي، ما يخلق بحد ذاته مخاطر تكامل واتساق. الواقع العملي لمعظم فرق الأمن حالياً هو خليط: إدارة هوية قائمة موسّعة بسياسات خاصة بالوكلاء، وإدارة أسرار مُحكمة لإصدار بيانات اعتماد قصيرة الأجل، وطبقات مراقبة جديدة لرصد السلوك الشاذ للوكلاء في الوقت الفعلي.
ماذا يعني هذا إذا كنت تنشر وكلاء ذكاء اصطناعي
إذا كانت مؤسستك تطلق وكلاء ذكاء اصطناعي لدعم العملاء أو المساعدة البرمجية أو تحليل البيانات أو أي مهمة أخرى، فتعامل مع الهوية كمتطلب منذ اليوم الأول، لا كتعديل لاحق. قبل أن يدخل الوكيل مرحلة الإنتاج، ينبغي أن تكون له هوية مسجلة، وبيانات اعتماد محدودة النطاق والزمن، ومالك مسؤول عن سلوكه، وسجلات تلتقط كل إجراء يتخذه وكل نظام يلمسه. تخطي هذه الخطوة للتقدم بسرعة لا يوفر وقتاً — إنه فقط ينقل التكلفة من الهندسة إلى الاستجابة للحوادث، وتلك الفاتورة تميل إلى الوصول في أسوأ لحظة ممكنة.