وفقًا للبيانات التي قدمتها شركة IBM خلال مؤتمر Think 2026، يوجد ما بين 45 و90 هوية غير بشرية تعمل في نفس البيئات مقابل كل هوية بشرية مسجلة في أنظمة الشركات. وتشمل هذه الهويات حسابات الخدمة ومفاتيح واجهة برمجة التطبيقات ورموز المصادقة، وبشكل متزايد، وكلاء الذكاء الاصطناعي الذين يصلون إلى أنظمة إدارة علاقات العملاء وأنظمة تخطيط موارد المؤسسات وقواعد البيانات وصناديق البريد الإلكتروني مع الاستقلالية لاتخاذ القرارات دون تدخل بشري.
ليست هذه النسبة جديدة، لكن ما تغير في الأشهر الأخيرة هو تغير نوعي: لم تعد أنظمة الذكاء الاصطناعي مجرد بيانات اعتماد سلبية. فهي تُحلل وتُخطط وتُنفذ سلاسل من الإجراءات عبر عشرات الأنظمة، ويمكنها طلب أذونات جديدة أثناء التشغيل. وقد صُممت بنية إدارة الهوية والوصول في معظم الشركات لعالم لا يُسمح فيه إلا للأشخاص بتسجيل الدخول.
في استطلاع أجرته وكالة IANS Research وشمل رؤساء أمن المعلومات، احتل ضمان الهوية في عالم يعتمد على الذكاء الاصطناعي المرتبة الثانية من حيث الأهمية لهذا العام، مسجلاً 4.46 من 5، بعد استخدام الذكاء الاصطناعي داخل فرق الأمن نفسها. وقد أدرجت إحدى أكبر شركات الاستشارات التقنية في العالم تكييف إدارة الهوية والوصول مع أنظمة الذكاء الاصطناعي ضمن أهم ستة اتجاهات في مجال الأمن السيبراني لعام 2026، محذرةً من أن عدم معالجة هذه المسألة سيؤدي إلى زيادة في الحوادث الأمنية المتعلقة بالوصول مع ازدياد انتشار الأنظمة المستقلة.
ما يزيد هذه المسألة تعقيداً هو أن أنظمة إدارة الهوية والوصول الحالية بُنيت على افتراضات لا تنطبق على الأنظمة المستقلة. إذ يسجل المستخدمون دخولهم في أوقات محددة، ويحافظون على جلسات محدودة المدة، ويخضعون لمراجعات دورية للوصول، وقد يخضعون للمصادقة متعددة العوامل.
تعمل أنظمة الذكاء الاصطناعي على مدار الساعة طوال أيام الأسبوع بسرعة فائقة، دون وجود أنماط سلوكية تُعتمد عليها في كشف الحالات الشاذة، ولا تستطيع الاستجابة لتحديات المصادقة متعددة العوامل. وقد كشفت شركة IBM أن 92% من الشركات لا تثق في أدوات إدارة الهوية والوصول القديمة لديها لإدارة المخاطر المرتبطة بالهويات غير البشرية وأنظمة الذكاء الاصطناعي. هذا ليس مجرد قصور طفيف، بل هو خلل هيكلي بين بنية الأمان الحالية والواقع التشغيلي الذي تُنشئه الشركات من خلال تبني أنظمة الذكاء الاصطناعي المستقلة.
انتشار العوامل المستقلة
أشارت شركة ديلويت، في تقريرها لعام 2026 حول حالة الذكاء الاصطناعي في المؤسسات، إلى أن وصول الموظفين إلى أدوات الذكاء الاصطناعي قد ازداد بنسبة 50% في عام 2025 وحده، إلا أن شركة واحدة فقط من بين كل خمس شركات لديها نموذج حوكمة ناضج للإشراف على هذا الاستخدام. أما على صعيد الوكلاء، فإن الانتشار أشدّ كثافة. إذ يمكن لكل وكيل جديد أن يُنشئ هويات فرعية متعددة، ورموز وصول، واتصالات بواجهات برمجة تطبيقات خارجية. ويمكن لوكيل خدمة عملاء واحد مُهيأ لحل المكالمات، في عملية روتينية، أن يُنشئ مئات الوكلاء الفرعيين، لكل منهم بيانات اعتماد ونطاقات وصول خاصة به. إذا بدأ أحد هؤلاء الوكلاء في إصدار عمليات استرداد أموال خارجة عن السياسة المتبعة أو الوصول إلى بيانات العملاء دون إذن، فإن السؤال الذي يطرح نفسه بسيط، ولكنه غالباً ما يبقى بلا إجابة: من قام بتهيئة هذا الوكيل؟ وما هي الأذونات الممنوحة له؟ ومن المسؤول عما حدث؟
كشف تحليل أجرته CSA عام 2026 حول انتشار الرموز أن أكثر من 16٪ من الشركات لا تتعقب حتى إنشاء الهويات المرتبطة بوكلاء الذكاء الاصطناعي، مما يعني أن المخزون الأساسي ببساطة غير موجود.
بيانات اعتماد الخدمة ليست هي نفسها
تُنفّذ حسابات الخدمة التقليدية مهامًا مُحددة مسبقًا ضمن مسارات حتمية. أما وكلاء الذكاء الاصطناعي، بحكم تعريفهم، فيتصرفون بشكل احتمالي: فهم يُفسرون السياق، ويُقررون تسلسل الإجراءات، ويمكنهم طلب الوصول إلى موارد لم يتوقعها مُنشئوهم. وقد وصفت ورقة بحثية نشرها تحالف أمن الحوسبة السحابية عام 2026 هذه الديناميكية بأنها اكتساب تلقائي لبيانات الاعتماد أثناء التشغيل، وهو أمر لم يكن أي جيل سابق من الهويات غير البشرية مُهيأً له.
إن المؤهلات التي يمتلكها الوكيل ليست مجرد مفتاح سلبي، بل هي الهوية الأساسية لفاعل قادر على ربط الإجراءات عبر أنظمة متعددة بنتائج قد لا يمكن التنبؤ بها.
يجب توسيع مفهوم "انعدام الثقة"، المُعتمد على نطاق واسع لحماية وصول الأفراد، ليشمل الهويات غير البشرية ووكلاء الذكاء الاصطناعي. وهذا يعني معاملة كل وكيل ككيان أساسي في نظام الهوية، مع توفير ديناميكي يُنشئ الهويات ويزيلها لكل مهمة، وتفويض يعتمد على سياسات يتم التحقق منها عند كل استدعاء، وإمكانية تتبع كاملة لكل إجراء مرتبط بسلسلة تفويض قابلة للتدقيق، وعزل سير العمل للحد من نطاق التأثير في حالة الاختراق.
يستخدم بعض المحللين بالفعل مصطلح "الوكلاء الحراس"، وهم وكلاء إشرافيون تتمثل وظيفتهم في مراقبة ما إذا كان الوكلاء الآخرون يعملون ضمن حدود محددة، كطبقة ضرورية من الحوكمة.
الشركات التي تنشر أنظمة الذكاء الاصطناعي دون معالجة مسألة الهوية أولاً، تبني أنظمة أتمتة على أسس غير مصممة لدعمها. من المرجح ألا يأتي الاختراق الأمني المؤسسي الكبير القادم من مهاجم خارجي متطور، بل من نظام ذكاء اصطناعي يتمتع بصلاحيات مفرطة لا يتذكر أحد كيفية إعدادها، ويصل إلى بيانات لم يأذن بها أحد، على نظام لم يكن أحد يعلم بوجوده.
