Yapay Zeka Ajanları Şirket Ağlarında İnsan Kimliklerini Kullanıyor
Kurumsal şirketler, iş süreçlerini hızlandırmak için birden fazla yapay zeka platformunu aynı anda kullanmaya başladı. Okta tarafından 20 binin üzerinde organizasyonun verileriyle hazırlanan rapora göre, şirketler artık tek bir sağlayıcıya bağlı kalmak yerine farklı kategorilerden onlarca farklı aracı sistemlerine dahil ediyor. Ancak bu çeşitlilik, beraberinde ciddi bir güvenlik riskini de getiriyor.
Araştırmalar, yapay zeka ajanlarının çalışma prensiplerinin güvenlik protokolleriyle çeliştiğini ortaya koyuyor. Birçok sistem, ajanların yetkilendirilmesi için hala geleneksel servis hesaplarına, statik API anahtarlarına ve hatta paylaşılan insan hesaplarına başvuruyor. Bir yapay zeka ajanı, bir çalışanın kimlik bilgileriyle işlem yaptığında, gerçekleştirilen eylemin kaynağını belirlemek imkansız hale geliyor. Bu durum, güvenlik ekiplerinin denetim izlerini tamamen kaybetmesine ve bir işlemin çalışan tarafından mı yoksa otonom bir algoritma tarafından mı yapıldığının ayırt edilememesine neden oluyor.
Okta bünyesinde görev yapan araştırmacı Fei Liu, bu sorunun sadece yeni bir yazılım tedarikçisi eklemekten ibaret olmadığını, kurumun kimlik yapısının genişletilmesi olarak görülmesi gerektiğini belirtiyor. Liu, şirketlerin 'en az ayrıcalık' prensibini uygulaması ve yapay zeka ajanları için özel, insan dışı kimlikler oluşturması gerektiğini vurguluyor. Mevcut durumda, her yeni platform kendi erişim belirteçlerini ve gizli anahtarlarını beraberinde getiriyor; bu da 'yetki fazlası' olan uygulamaların ve sahipsiz belirteçlerin artmasına yol açıyor.
Kurumsal olarak onaylanmış araçların yanı sıra, çalışanların kendi kişisel hesaplarıyla veya onaylanmamış bulut ortamlarında kurdukları 'gölge yapay zeka' kullanımı da ciddi bir tehdit oluşturuyor. Uzmanlar, şirketlerin çalışanları bu araçları kullanmaya zorlamamak için onaylı platformları merkezi bir Single Sign-On (SSO) yapısına dahil etmelerini öneriyor. Erişimlerin merkezi bir noktadan verilmesi, gözden geçirilmesi ve gerektiğinde iptal edilebilmesi, bu karmaşık kimlik yapısının yönetilmesinde tek çözüm yolu olarak görülüyor.
