با گسترش پذیرش هوش مصنوعی در سازمان‌ها، تمرکز مدیران ارشد از «آیا باید از AI استفاده کنیم» به «چگونه می‌توان آن را با سرعت و امنیت مقیاس‌بندی کرد» تغییر یافته است. یکی از بزرگ‌ترین چالش‌های امنیتی در این مسیر، مدیریت AI Agents (عوامل هوشمند) است که می‌توانند به سرعت از سطح دسترسی‌های اولیه خود فراتر روند.
چالش «بدهی هویت» (Identity Debt)
عوامل هوشمند برای دستیابی به دسترسی‌های سطح بالا، نیازی به شکستن کنترل‌های امنیتی یا Exploit کردن آسیب‌پذیری‌های پیچیده ندارند؛ بلکه آن‌ها از Identity Debt یا همان «بدهی هویت» موجود در سازمان بهره‌برداری می‌کنند. این بدهی شامل موارد زیر است:
- اعتبارنامه‌های سخت‌افزاری شده (Hard-coded credentials) در سیستم‌ها
- حساب‌های رها شده (Orphaned accounts)
- مسیرهای احراقی مدیریت‌نشده
- دسترسی‌های بیش از حد (Over-privileged accounts)
این پدیده که به عنوان «ماده تاریک هویت» (Identity Dark Matter) شناخته می‌شود، می‌تواند در عرض چند ثانیه به یک مسیر زنده برای دسترسی‌های غیرمجاز تبدیل شود.
مدل عملیاتی چهار مرحله‌ای برای آمادگی AI
برای کنترل موثر بر Agentهای هوشمند، یک مدل عملیاتی شامل چهار مرحله پیشنهاد می‌شود:
- Observe (مشاهده): شناسایی تمامی AI Agentهای در حال اجرا و تحلیل مسیرهای دسترسی، ابزارها و اعتبارنامه‌های مورد استفاده آن‌ها در زمان اجرا (Runtime).
- Understand (درک): تطبیق فعالیت‌های جاری با هدف اعلام شده و محدوده مجاز Agent. در این مرحله، برچسب‌های آمادگی (Readiness Tags) برای شناسایی شکاف‌های بهداشتی هویت (Identity Hygiene) استفاده می‌شود.
- Govern (حکمرانی): در صورت خروج رفتار Agent از چارچوب سیاست‌ها، اقدامات اصلاحی مانند کاهش دسترسی‌ها، ابطال اعتبارنامه‌ها یا فعال‌سازی Kill-Switch در سطح اپلیکیشن برای توقف فوری عملیات اجرا می‌شود.
- Prove (اثبات): ایجاد یک رکورد قابل حسابرسی (Auditable) که هر اقدام Agent را به هویت فراخوانده شده، زنجیره تفویض اختیار و پاسخ حاکمیتی مربوطه متصل کند.
الزامات نظارتی و استانداردهای جهانی
مدیریت ریسک AI دیگر تنها یک انتخاب فنی نیست، بلکه به یک ضرورت قانونی تبدیل شده است. برای مثال، پیش‌نویس NIST Cyber AI Profile بر لزوم ادغام واقعیت‌های پیشرفت AI در برنامه‌های مدیریت ریسک سایبری تاکید دارد. همچنین در اروپا، استاندارد DORA مؤسسات مالی را ملزم می‌کند تا کنترل‌های دسترسی ICT و وابستگی‌های شخص ثالث را (حتی اگر بازیگر یک Agent هوشمند باشد) به اثبات برسانند.
یکپارچگی با زیرساخت‌های SOC
برای مدیریت بهینه، این کنترل‌ها باید با ابزارهای موجود در سازمان یکپارچه شوند. برای نمونه، اتصال به راهکارهای PAM (مدیریت دسترسی‌های ممتاز) برای شناسایی حساب‌های نامرئی و ارسال تله‌متری‌های هویت به SIEM (مانند Splunk) جهت تحلیل و پاسخ به حوادث در مرکز عملیات امنیت (SOC) ضروری است.
