در دنیای امنیت مدرن، نسل جدیدی از محصولات امنیتی در تلاش‌اند تا مفهومی فراتر از کنترل دسترسی سنتی را پیاده‌سازی کنند: تشخیص قصد (Intent) کاربر. ایده اصلی این است که مدل‌های کوچک هوش مصنوعی (Small AI Models) روی هر دستگاه نصب شوند تا با نظارت بر فعالیت‌های کاربر در برنامه‌ها، مرورگرها و ابزارهای AI، درک کنند کاربر چه هدفی را دنبال می‌کند و پیش از وقوع آسیب، در صورت تشخیص نیت مخرب، مداخله کنند.
توانمندی‌های مدل‌های محلی در تحلیل رفتار
بازسازی فعالیت‌های کاربر بر روی صفحه نمایش (Screen) امروزه با دقت قابل توجهی امکان‌پذیر شده است. با استفاده از خط لوله‌های پردازشی (Pipelines) متشکل از مدل‌های کوچک برای خلاصه‌سازی مراحل UI و مدل‌های Fine-tuned برای استنتاج هدف، می‌توان مسیر حرکت کاربر را تحلیل کرد. این رویکرد در پاسخ به حوادث (Incident Response) بسیار مفید است، اما چالش اصلی در تشخیص هدف در لحظه (Real-time) و حین انجام عملیات است.
تفاوت بین هدف (Goal) و قصد (Intent)
حتی اگر یک سیستم بتواند دقیقاً توصیف کند که کاربر در حال «کپی کردن لیست مشتریان در یک ایمیل شخصی» است، باز هم نمی‌تواند به طور قطع تشخیص دهد که آیا این یک اقدام عادی برای ادامه کار در منزل است یا تلاش یک کارمند برای انتقال داده‌ها به رقیب. در اینجا تفاوت بین هدف (آنچه انجام می‌شود) و قصد (چرایی انجام آن) آشکار می‌شود.
روش‌های ارزیابی: تناسب شغلی در مقابل انحراف رفتاری
برای حل این مشکل، دو رویکرد اصلی وجود دارد:
- ارزیابی تناسب با بافت (Context/Job-fit): در این روش، دسترسی‌ها بر اساس نقش، تیم و کارهای اخیر کاربر امتیازدهی می‌شوند. این مدل‌ها (مانند سیستم Facade گوگل) نرخ مثبت کاذب (False Positive) بسیار پایینی دارند، اما نمی‌توانند فعالیت‌های مخربی را که کاملاً با کارهای روزمره کاربر همپوشانی دارد، شناسایی کنند.
- تشخیص انحراف (Deviation/Anomaly Detection): این روش‌ها رفتار نرمال هر فرد را یاد می‌گیرند و هرگونه تغییر را گزارش می‌کنند. با این حال، در محیط‌های واقعی، تغییرات رفتاری عادی بسیار زیاد است و این منجر به ایجاد حجم انبوهی از هشدارها (Alert Fatigue) می‌شود که تحلیل آن‌ها برای تیم SOC دشوار است.
ریسک‌های شبیه‌سازی و دور زدن سیستم
عوامل تهدید (Threat Actors) پیشرفته می‌توانند با تکنیک Padding، فعالیت‌های مخرب خود را در میان حجم زیادی از فعالیت‌های عادی پنهان کنند. وقتی یک مهاجم بداند سیستم بر اساس چه الگوهایی (Patterns) یا «داستان‌های» از پیش تعریف شده‌ای تصمیم می‌گیرد، می‌تواند رفتار خود را به‌گونه‌ای شبیه‌سازی کند که برای سیستم «عادی» به نظر برسد.
مدل پیشنهادی: رویکرد لایه‌ای و مدیریت ابهام
بهترین استراتژی برای پیاده‌سازی کنترل دسترسی مبتنی بر قصد، ترکیب چندین لایه است:
- سیاست‌های صریح (Explicit Policy): تعریف محدودیت‌های سخت در نقاط حساس (مانند آپلود داده یا پرداخت).
- امتیازدهی تناسب شغلی (Job-fit Scoring): رتبه‌بندی فعالیت‌ها بر اساس نقش کاربر.
- تشخیص الگوهای نام‌گذاری شده (Named-objective Detectors): شناسایی سناریوهای خاص مانند «کارمند در حال ترک سازمان».
- معرفی اصطکاک (Friction): در صورتی که سیستم بین چندین تفسیر مختلف (مثلاً benign در مقابل malicious) مردد باشد، نباید صرفاً یکی را انتخاب کند. در عوض، باید با ایجاد اصطکاک (مانند درخواست توجیه یا تایید مجدد)، کاربر را به چالش بکشد و این ابهام را برای تحلیلگر SOC ارسال کند.
در نهایت، در محیط‌هایی که از AI Agentها استفاده می‌شود، کنترل دسترسی مبتنی بر قصد دقیق‌تر خواهد بود، زیرا هدف (Goal) به صورت متنی و صریح وجود دارد و هر اقدام را می‌توان با هدف اعلام شده تطبیق داد.
