گزارش جدید Delinea با عنوان «شکاف اجرایی هوش مصنوعی» (The AI Enforcement Gap)، هشدار می‌دهد که تیم‌های امنیت هویت (Identity Security) با چالشی جدی در زمینه دسترسی‌های مداوم AI Agents به سیستم‌های شرکتی و اقداماتی که این عوامل به نمایندگی از کاربران انجام می‌دهند، روبرو هستند.
تضاد میان سیاست‌های مکتوب و اجرای عملی
بر اساس این گزارش، در حالی که ۹۹.۷٪ از مدیران IT و امنیت اعلام کرده‌اند که سازمان آن‌ها دارای سیاست‌های رسمی برای مدیریت دسترسی ابزارهای هوش مصنوعی به داده‌ها است، اما در عمل، شکاف بزرگی میان این سیاست‌ها و قابلیت نظارت وجود دارد. بسیاری از سازمان‌ها قادر نیستند در لحظه (Real-time) مشاهده یا گزارش کنند که یک AI Agent دقیقاً چه اقداماتی انجام می‌دهد.
چالش‌های دسترسی و مجوزهای باقی‌مانده
یکی از بحرانی‌ترین نقاط ضعف، باقی ماندن مجوزهای دسترسی پس از اتمام ماموریت AI Agent است. این دسترسی‌های فعال باعث می‌شود ابزارها تا زمان انقضای مجوز یا لغو دستی آن‌ها، همچنان به سیستم‌ها و داده‌های سازمان دسترسی داشته باشند. نکات کلیدی در این زمینه عبارتند از:
- عدم حذف خودکار: ۴۲٪ از مدیران امنیت اعلام کردند که سازمان آن‌ها هیچ روش خودکاری برای حذف دسترسی هوش مصنوعی پس از پایان یک Session ندارد.
- به‌ارث‌بری مجوزها: عوامل هوش مصنوعی اغلب مجوزهای شخصی کاربر اجراکننده را به ارث می‌برند. این موضوع باعث می‌شود Agent به امتیازاتی دست یابد که کاربر در طول سال‌ها جمع‌آوری کرده و لزوماً با وظیفه محوله به AI مرتبط نیست.
- دسترسی‌های گسترده: مجوزهای وسیع به Agent اجازه می‌دهد توالی‌هایی از اقدامات را برای رسیدن به هدف انتخاب کند که ممکن است در زمان تایید دسترسی، پیش‌بینی نشده باشد و منجر به آسیب شود.
کمبود دید (Visibility) و قابلیت ردیابی
تیم‌های امنیتی دید محدودی نسبت به اقدامات Agentها پس از اتصال دارند. این مشکل در محیط‌های حساس‌تر مانند Kubernetes و خطوط لوله‌های Build and Deployment (CI/CD) بسیار شدیدتر است، جایی که Agentهای کدنویسی می‌توانند بدون نظارت، تغییراتی در اپلیکیشن‌ها و زیرساخت‌ها ایجاد کنند.
همچنین، تنها ۳۶٪ از پاسخ‌دهندگان تایید کردند که می‌توانند هرگونه دسترسی AI به داده‌های حساس را به طور دقیق به شخصی که آن را مجاز کرده است، ردیابی (Trace) کنند. این فقدان قابلیت ردیابی، تحلیل حوادث و پاسخ به آن‌ها را بسیار دشوار می‌کند.
رفتارهای پرخطر کارکنان
فشار کاری و ضرب‌الاجل‌های زمانی باعث شده تا ۷۶٪ از کارکنان در مقاطعی برای استفاده از ابزارهای AI در سیستم‌های کاری، مراحل تایید رسمی (Approval) را دور بزنند. علاوه بر این، بسیاری از کارکنان به دلیل عدم تشخیص داده‌های حساس یا نبود فرآیندهای شفاف، دسترسی‌های غیرمجاز ابزارها را گزارش نمی‌کنند.
