انتقلت وكلاء الذكاء الاصطناعي بسرعة من كونها أدوات تجريبية إلى مكونات أساسية في سير العمل اليومي عبر مجالات الأمن والهندسة وتقنية المعلومات والعمليات. ما بدأ كمساعدات شخصية مثل مساعدي البرمجة والدردشة الآلية والمساعدين الذكيين، تطور إلى وكلاء مؤسسيين مشتركين مدمجين في العمليات الحرجة.
هذه الوكلاء باتت قادرة على تنظيم سير العمل عبر أنظمة متعددة، مثل:
- وكيل الموارد البشرية الذي ينشئ أو يلغي حسابات عبر أنظمة الهوية والتطبيقات السحابية.
- وكيل إدارة التغيير الذي يحدّث الإعدادات في بيئات الإنتاج ويسجل الموافقات.
- وكيل دعم العملاء الذي يسترجع بيانات العملاء ويطلق إصلاحات في الأنظمة الخلفية.
نموذج الوصول وراء الوكلاء المؤسسيين
لتقديم قيمة على نطاق واسع، تُمنح هذه الوكلاء صلاحيات أوسع من المستخدمين الأفراد، مما يتيح لها الوصول إلى أدوات وبيانات متعددة. غالباً ما تعتمد على حسابات خدمة مشتركة أو مفاتيح API أو منح OAuth طويلة الأمد، ما يجعلها تعمل باستمرار دون تدخل بشري. هذه الصلاحيات الواسعة، رغم أنها تعزز الكفاءة، قد تخلق وسطاء وصول يتجاوزون الحدود التقليدية للسيطرة على الصلاحيات.
كسر نموذج التحكم التقليدي
عندما يتفاعل المستخدمون مع الوكلاء، فإنهم لا يصلون إلى الأنظمة مباشرة، بل يطلبون من الوكيل تنفيذ المهام نيابة عنهم. هذه الأوامر تُنفذ بهوية الوكيل وليس هوية المستخدم، مما يكسر نموذج التحكم التقليدي. النتيجة: مستخدم محدود الصلاحيات يمكنه الوصول إلى بيانات أو تنفيذ إجراءات لم يكن مسموحاً له بها مباشرة، وكل ذلك دون أن يظهر في سجلات التدقيق سوى هوية الوكيل. هذا يفتح الباب أمام تصعيد صلاحيات غير مرئي.
أمثلة على تجاوز الصلاحيات
- موظف لديه وصول محدود للأنظمة المالية يطلب من الوكيل “تلخيص أداء العملاء”، فيسترجع الوكيل بيانات من أنظمة الفوترة وCRM والمالية، ويمنح الموظف معلومات لم يكن مخولاً لرؤيتها.
- مهندس بلا صلاحيات إنتاجية يطلب من الوكيل “إصلاح مشكلة نشر”، فيقوم الوكيل بتعديل الإعدادات وإعادة تشغيل الأنظمة باستخدام صلاحياته المرتفعة.
في كلا المثالين، لم تُخالف السياسات بشكل مباشر، لكن تم تجاوز الضوابط لأن التحقق من الصلاحيات جرى على مستوى الوكيل لا المستخدم.
حدود الضوابط التقليدية
أنظمة إدارة الهوية والصلاحيات (IAM) مصممة لتطبيق القيود على المستخدمين البشر، لكنها غير مناسبة لسير العمل الذي تديره الوكلاء. السجلات تنسب النشاط إلى الوكيل، مما يحجب هوية من أصدر الطلب. هذا يضعف القدرة على تطبيق مبدأ أقل الصلاحيات، ويعقد التحقيقات ويبطئ الاستجابة للحوادث الأمنية.
الحاجة إلى رؤية جديدة
مع توسع دور الوكلاء المؤسسيين، تحتاج فرق الأمن إلى رؤية واضحة لكيفية ارتباط هويات الوكلاء بالأصول الحساسة. يجب مراقبة الفجوات بين صلاحيات المستخدم وصلاحيات الوكيل، ومتابعة التغيرات المستمرة في الأذونات لكشف مسارات التصعيد قبل استغلالها.
تبني آمن للوكلاء
الوكلاء أصبحوا من أقوى العناصر في المؤسسات، لكن الثقة المفرطة بهم قد تحولهم إلى نقاط ضعف أمنية. الحل يكمن في:
- تعزيز الرؤية والوعي بالهوية.
- مراقبة مستمرة للنشاط والصلاحيات.
- ربط نشاط الوكلاء بسياق المستخدمين.
أدوات مثل Wing Security تقدم هذه الرؤية، عبر اكتشاف الوكلاء النشطين، تحديد ما يمكنهم الوصول إليه، ومقارنة صلاحياتهم مع صلاحيات المستخدمين، مما يساعد المؤسسات على الاستفادة من الأتمتة دون التضحية بالتحكم أو الأمان.
