أكد محللون أمنيون ما كانت فرق الهوية تخشاه منذ فترة: وكلاء الذكاء الاصطناعي يتم نشرهم داخل المؤسسات بوتيرة أسرع بكثير من قدرة أنظمة الحوكمة على ضبطهم. في تقريرها الأول عن Guardian Agents، أشارت مؤسسة Gartner إلى أن “اعتماد المؤسسات لوكلاء الذكاء الاصطناعي يتسارع، متجاوزًا نضج سياسات الحوكمة والضوابط التنظيمية”.
فجوة هيكلية في إدارة الهوية
على مدى عقود، صُممت أنظمة إدارة الهوية والوصول (IAM) لتتعامل مع المستخدمين البشر الذين يسجلون الدخول والخروج. لكن وكلاء الذكاء الاصطناعي يعملون بشكل مختلف: فهم يعملون باستمرار، يتنقلون بين تطبيقات متعددة، يحصلون على صلاحيات بشكل انتهازي، ويولّدون نشاطًا بسرعة الآلة. النتيجة هي ما تسميه شركة Orchid Security “المادة المظلمة للهوية” — طبقة غير مرئية وغير مُدارة من النشاط الهوياتي خارج نطاق رؤية منصات IAM التقليدية.
تشير تحليلات Orchid إلى أن نصف نشاط الهوية المؤسسية يحدث بالفعل خارج نطاق الرؤية المركزية، لأن العديد من الهويات والصلاحيات تُدار داخل التطبيقات نفسها وليس عبر الأدوات المركزية. وهنا يبرز السؤال: كيف يمكن إدارة ما لا يمكن رؤيته؟
أسئلة جديدة لفرق الهوية
منصة Orchid تقدم وكيلًا ذكيًا باسم Ask Orchid، قادر على مراقبة الهوية داخل التطبيقات نفسها والإجابة عن أسئلة مباشرة بلغة طبيعية. أبرز ثلاثة أسئلة يطرحها قادة الأمن والامتثال اليوم:
- ما وكلاء الذكاء الاصطناعي النشطون في بيئتنا؟
معظم المؤسسات لا تملك جردًا مركزيًا لهذه الوكلاء ولا تعرف ما يفعلونه أو أي بيانات يصلون إليها. Ask Orchid يكتشف تلقائيًا الوكلاء، يحدد أهدافهم المحتملة، ويقترح إجراءات للرقابة. - ما مدى التزامنا بمتطلبات NIST للهوية الآن؟
بدلًا من انتظار تدقيق خارجي، يمكن للمنصة مقارنة الضوابط المطبقة داخل التطبيقات مع معايير NIST (الإصدارين 1.1 و2.0)، وتقديم خريطة واضحة للفجوات وخطة إصلاح أولوياتها. - هل لدينا بيانات اعتماد ثابتة يجب تدويرها فورًا؟
الحسابات الخدمية، رموز API، والاعتمادات القديمة تشكل أهدافًا ثمينة للمهاجمين. Ask Orchid يقدم جردًا كاملًا لهذه الاعتمادات، يحدد مواقعها، ويصنفها حسب مستوى الخطر.
تسارع المادة المظلمة للهوية
هذه ليست حالات استثنائية، بل هي جوهر المشكلة: النشاط الهوياتي المؤسسي تجاوز ما صُممت منصات IAM لرصده. التطبيقات تصادق المستخدمين محليًا، الحسابات الخدمية تُنشأ وتُنسى، ووكلاء الذكاء الاصطناعي يُمنحون هويات جديدة بصلاحيات واسعة. النتيجة هي توسع سريع لـ”المادة المظلمة للهوية”، بوتيرة توازي وربما تتجاوز سرعة تبني الذكاء الاصطناعي نفسه.
كيف تغلق Orchid الفجوة؟
منصة Orchid تعمل داخل التطبيقات نفسها، عبر تحليل ثنائي وديناميكي، لرصد منطق المصادقة والتفويض مباشرة دون الحاجة إلى واجهات برمجية أو تعديلات في الشيفرة. هذا يمنحها رؤية شاملة للنشاط الهوياتي، بما في ذلك كل وكيل ذكاء اصطناعي نشط.
وقد تم الاعتراف بـ Orchid كـ “ممثل بائع” في تقرير Gartner الأول عن Guardian Agents، حيث تقدم ما تسميه “سلطة هوية كاملة الطيف”، تشمل الرصد، التنظيم، والمعالجة الآلية.
مبادئ تبني آمن لوكلاء الذكاء الاصطناعي
نهج Orchid يرتكز على خمسة مبادئ أساسية:
- إسناد بشري لكل فعل وكيل لضمان المساءلة.
- سجل نشاط شامل يربط الوكيل بالأداة والفعل والهدف.
- حواجز ديناميكية واعية بالسياق بدلًا من صلاحيات دائمة واسعة.
- مبدأ أقل امتياز عبر رفع مؤقت للصلاحيات عند الحاجة فقط.
- معالجة آلية لسلوكيات خطرة مثل تدوير الاعتمادات أو إنهاء الجلسات.
بهذا، تقدم Orchid للمؤسسات القدرة على رؤية ما كان غير مرئي، ومعالجة المخاطر قبل أن تتحول إلى اختراقات فعلية.
