استقرار هوش مصنوعی عامل‌محور (Agentic AI) در سازمان‌ها دیگر یک انتخاب نیست، بلکه برای بقای کسب‌وکارها ضروری است. با این حال، سرعت پذیرش این فناوری بسیار بیشتر از تکامل زیرساخت‌های امنیتی است. داده‌های مربوط به شرکت‌های Fortune 500 نشان می‌دهد که پذیرش AI Agentها در سال ۲۰۲۵ تا ۸۴۰ برابر افزایش یافته است، اما این رشد با یک چالش جدی همراه است: رشد بی‌رویه هویت‌های غیرانسانی (Non-Human Identities یا NHI).
خطر دسترسی‌های نامحدود در AI Agentها
برای اینکه یک Agent بتواند وظایف خود را به درستی انجام دهد، به دسترسی نیاز دارد. اما تفاوت حیاتی در اینجا است: Agentهایی بدون دسترسی عملاً بی‌فایده‌اند و Agentهایی با دسترسی نامحدود، به‌شدت خطرناک هستند. برخلاف کاربران انسانی، Agentها فاقد مرزهای اخلاقی یا عملیاتی هستند و تنها برای اجرای هدف طراحی شده‌اند.
به عنوان مثال، یک مورد واقعی نشان داد که یک Coding Agent (بر پایه مدل Claude) توانست تنها در ۹ ثانیه کل پایگاه داده Production و تمامی بک‌آپ‌های یک شرکت را پاک کند. این اتفاق نه در اثر حمله یک هکر، بلکه به دلیل دسترسی بیش از حد (Overprivileged Token) رخ داد؛ Agent صرفاً سعی کرد هدف خود را به سریع‌ترین شکل ممکن محقق کند.
چرا مدل Least Privilege شکست می‌خورد؟
تیم‌های امنیتی سال‌هاست که از مدل Least Privilege (حداقل دسترسی) استفاده می‌کنند. این مدل بر این فرض استوار است که هویت‌ها رفتاری پیش‌بینی‌پذیر دارند (مانند یک اسکریپت که همیشه یک مسیر را طی می‌کند). اما AI Agentها استدلال می‌کنند و مسیرهای جدیدی را برای رسیدن به هدف می‌یابند (Non-deterministic).
به همین دلیل، سازمان‌ها باید به سمت مدل Least Agency حرکت کنند. در این مدل، Agent تنها به دسترسی‌های مورد نیاز برای تکمیل یک «وظیفه خاص در لحظه» دسترسی دارد، نه دسترسی‌های دائمی به تمام منابعی که احتمالاً ممکن است به آن‌ها نیاز پیدا کند.
تغییر نقش تیم‌های امنیتی به حاکمیت AI
با گسترش استفاده از Agentها، نقش تیم‌های امنیت از عملیات سنتی (SecOps) به سمت AI Governance (حاکمیت هوش مصنوعی) تغییر می‌کند. در حال حاضر شکاف مهارتی شدیدی در زمینه امنیت ابری و AI وجود دارد و بسیاری از CISOها، کمبود تخصص را خطرناک‌تر از کمبود نیروی انسانی می‌دانند.
- تمرکز بر لایه زیرساخت: مدیریت دسترسی باید در لایه زیرساخت (Infrastructure Layer) باشد، نه به صورت تکه‌تکه در هر اپلیکیشن.
- احراز هویت پویا: جایگزینی اعتبارنامه‌های طولانی‌مدت (Long-lived credentials) با روش‌های احراز هویت کوتاه‌مدت و متصل (Short-lived authentication).
- تغییر دیدگاه: Agentها نباید به عنوان «ابزار» دیده شوند، بلکه باید به عنوان «کنش‌گران» (Actors) با قدرت بالا و نیاز به نظارت شدید مدیریت شوند.
