আইবিএম কর্তৃক থিঙ্ক ২০২৬-এ উপস্থাপিত তথ্য অনুসারে, কর্পোরেট সিস্টেমে নিবন্ধিত প্রতিটি মানব পরিচয়ের বিপরীতে একই পরিবেশে ৪৫ থেকে ৯০টি অ-মানব পরিচয় সক্রিয় থাকে। এগুলোর মধ্যে রয়েছে সার্ভিস অ্যাকাউন্ট, এপিআই কী, অথেনটিকেশন টোকেন এবং ক্রমবর্ধমানভাবে এআই এজেন্ট, যেগুলো মানুষের হস্তক্ষেপ ছাড়াই সিদ্ধান্ত নেওয়ার স্বায়ত্তশাসন নিয়ে সিআরএম, ইআরপি, ডেটাবেস এবং ইমেল ইনবক্স অ্যাক্সেস করে।.
এই অনুপাতটি নতুন নয়, কিন্তু সাম্প্রতিক মাসগুলোতে যা পরিবর্তিত হয়েছে তা হলো গুণগত: এআই এজেন্টরা এখন আর নিষ্ক্রিয় পরিচয়পত্র নয়। তারা যুক্তি দিয়ে চিন্তা করে, পরিকল্পনা করে, কয়েক ডজন সিস্টেম জুড়ে একের পর এক কাজ সম্পাদন করে এবং রানটাইমে নতুন অনুমতির জন্য অনুরোধ করতে পারে। আর বেশিরভাগ কোম্পানির পরিচয় ও অ্যাক্সেস ম্যানেজমেন্ট পরিকাঠামো এমন একটি বিশ্বের জন্য ডিজাইন করা হয়েছিল যেখানে কেবল মানুষই লগ ইন করত।.
CISO-দের উপর পরিচালিত IANS রিসার্চের একটি সমীক্ষায়, AI-চালিত বিশ্বের জন্য পরিচয় নিশ্চিতকরণকে এই বছরের দ্বিতীয় সর্বোচ্চ অগ্রাধিকার হিসেবে স্থান দেওয়া হয়েছে, যা ৫-এর মধ্যে ৪.৪৬ স্কোর করেছে এবং এটি কেবল নিরাপত্তা দলগুলোর মধ্যে AI-এর ব্যবহারের পরেই রয়েছে। বিশ্বের অন্যতম বৃহত্তম প্রযুক্তি পরামর্শক সংস্থা ২০২৬ সালের শীর্ষ ছয়টি সাইবার নিরাপত্তা প্রবণতার মধ্যে AI এজেন্টদের জন্য পরিচয় এবং অ্যাক্সেস ব্যবস্থাপনার অভিযোজনকে অন্তর্ভুক্ত করেছে এবং সতর্ক করেছে যে, এই সমস্যাটির সমাধান করতে ব্যর্থ হলে স্বায়ত্তশাসিত এজেন্টদের ব্যাপক প্রচলনের সাথে সাথে অ্যাক্সেস-সম্পর্কিত নিরাপত্তা ঘটনার সংখ্যা বৃদ্ধি পাবে।.
এই বিষয়টি বিশেষভাবে কঠিন হওয়ার কারণ হলো, বিদ্যমান IAM সিস্টেমগুলো এমন কিছু অনুমানের ওপর ভিত্তি করে তৈরি করা হয়েছিল যা স্বয়ংক্রিয় এজেন্টদের ক্ষেত্রে প্রযোজ্য নয়। মানুষ নির্দিষ্ট সময়ে লগ ইন করে, সীমিত সময়ের জন্য সেশন বজায় রাখে, পর্যায়ক্রমিক অ্যাক্সেস পর্যালোচনার মধ্য দিয়ে যায় এবং মাল্টিফ্যাক্টর অথেনটিকেশনের আওতায় থাকতে পারে।.
এআই এজেন্টরা মেশিনের গতিতে ২৪/৭ কাজ করে, যেখানে অস্বাভাবিকতা শনাক্তকরণের জন্য কোনো আচরণগত প্যাটার্ন থাকে না এবং এটি মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) চ্যালেঞ্জের জবাব দিতে পারে না। আইবিএম (IBM) শনাক্ত করেছে যে ৯২% কোম্পানি অ-মানব পরিচয় এবং এআই এজেন্টের সাথে সম্পর্কিত ঝুঁকিগুলো পরিচালনা করার জন্য তাদের নিজস্ব পুরোনো IAM টুলগুলোর ওপর আস্থা রাখে না। এটি কোনো ক্রমবর্ধমান সীমাবদ্ধতা নয়: এটি বিদ্যমান নিরাপত্তা কাঠামো এবং স্বায়ত্তশাসিত এজেন্ট গ্রহণের মাধ্যমে কোম্পানিগুলোর তৈরি করা পরিচালনগত বাস্তবতার মধ্যে একটি কাঠামোগত অমিল।.
স্বায়ত্তশাসিত এজেন্টদের বিস্তার
ডেলয়েট তার ‘২০২৬ স্টেট অফ এআই ইন দ্য এন্টারপ্রাইজ’ প্রতিবেদনে উল্লেখ করেছে যে, শুধুমাত্র ২০২৫ সালেই কর্মীদের এআই টুল ব্যবহারের সুযোগ ৫০% বৃদ্ধি পেয়েছে, কিন্তু প্রতি পাঁচটি কোম্পানির মধ্যে মাত্র একটির কাছে এই ব্যবহার তদারকি করার জন্য একটি পরিপক্ক গভর্নেন্স মডেল রয়েছে। এজেন্টের ক্ষেত্রে, এই বিস্তার আরও তীব্র। প্রতিটি নতুন স্থাপন করা এজেন্ট একাধিক ডিরাইভড আইডেন্টিটি, অ্যাক্সেস টোকেন এবং এক্সটার্নাল এপিআই-এর সাথে সংযোগ তৈরি করতে পারে। কল সমাধানের জন্য কনফিগার করা একটিমাত্র কাস্টমার সার্ভিস এজেন্ট তার রুটিন কার্যক্রমে শত শত সাব-এজেন্ট তৈরি করতে পারে, যাদের প্রত্যেকের নিজস্ব ক্রেডেনশিয়াল এবং অ্যাক্সেস স্কোপ থাকে। যদি এই এজেন্টগুলোর মধ্যে কোনো একটি নীতিমালার বাইরে গিয়ে রিফান্ড দেওয়া শুরু করে বা অনুমোদন ছাড়াই গ্রাহকের ডেটা অ্যাক্সেস করে, তাহলে যে প্রশ্নটি উঠে আসে তা সহজ, কিন্তু প্রায়শই অনুত্তরিত থেকে যায়: এই এজেন্টটি কে কনফিগার করেছে, কী কী অনুমতি দেওয়া হয়েছিল, এবং যা ঘটেছে তার জন্য কে দায়ী?
টোকেনের বিস্তার নিয়ে ২০২৬ সালের একটি সিএসএ (CSA) বিশ্লেষণে দেখা গেছে যে, ১৬ শতাংশেরও বেশি কোম্পানি এআই এজেন্টের সাথে যুক্ত আইডেন্টিটি তৈরির বিষয়টি ট্র্যাকই করে না, যার অর্থ হলো এর মৌলিক ইনভেন্টরি বা মজুতই নেই।.
সার্ভিস ক্রেডেনশিয়াল একই জিনিস নয়।
প্রচলিত সার্ভিস অ্যাকাউন্টগুলো পূর্বনির্ধারিত কাজগুলো একটি নির্দিষ্ট ধারায় সম্পাদন করে। অন্যদিকে, এআই এজেন্টরা স্বভাবতই সম্ভাবনামূলকভাবে কাজ করে: তারা পারিপার্শ্বিক পরিস্থিতি অনুধাবন করে, কাজের ক্রম নির্ধারণ করে এবং এমন সব রিসোর্সের অ্যাক্সেসের জন্য অনুরোধ করতে পারে যা তাদের নির্মাতারা আগে থেকে অনুমান করেননি। ২০২৬ সালে ক্লাউড সিকিউরিটি অ্যালায়েন্স কর্তৃক প্রকাশিত একটি শ্বেতপত্রে এই গতিশীলতাকে রানটাইমে ক্রেডেনশিয়ালের স্বয়ংক্রিয় অধিগ্রহণ হিসেবে বর্ণনা করা হয়েছে, যার জন্য পূর্ববর্তী কোনো প্রজন্মের অ-মানবিক পরিচয় প্রস্তুত ছিল না।.
একজন এজেন্টের কাছে থাকা পরিচয়পত্র কেবল একটি নিষ্ক্রিয় চাবি নয়, বরং এমন একজন অভিনেতার প্রাথমিক পরিচয়, যিনি একাধিক সিস্টেম জুড়ে সম্ভাব্য অপ্রত্যাশিত ফলাফলসহ ধারাবাহিক কার্যক্রম পরিচালনা করতে সক্ষম।.
মানুষের প্রবেশাধিকার সুরক্ষিত করার জন্য বহুল প্রচলিত ‘জিরো ট্রাস্ট’ ধারণাটিকে স্বাভাবিকভাবেই অ-মানবিক পরিচয় এবং এআই এজেন্টদের ক্ষেত্রেও প্রসারিত করা প্রয়োজন। এর জন্য প্রয়োজন আইডেন্টিটি সিস্টেমে প্রতিটি এজেন্টকে একটি ফার্স্ট-ক্লাস সত্তা হিসেবে গণ্য করা, যেখানে থাকবে ডায়নামিক প্রোভিশনিং ব্যবস্থা যা প্রতিটি কাজের জন্য পরিচয় তৈরি ও অপসারণ করবে, প্রতিটি আহ্বানে যাচাইকৃত নীতির উপর ভিত্তি করে অনুমোদন, একটি নিরীক্ষণযোগ্য ডেলিগেশন চেইনের সাথে সংযুক্ত প্রতিটি কাজের সম্পূর্ণ ট্রেসেবিলিটি, এবং কোনো আপোসের ক্ষেত্রে প্রভাবের পরিধি সীমিত করার জন্য ওয়ার্কফ্লোগুলোর আইসোলেশন।.
কিছু বিশ্লেষক ইতিমধ্যেই শাসনের একটি অপরিহার্য স্তর হিসেবে 'অভিভাবক এজেন্ট' (guardian agents) শব্দটি ব্যবহার করেন। এরা হলো এমন তত্ত্বাবধায়ক এজেন্ট যাদের কাজ হলো অন্যান্য এজেন্টরা নির্ধারিত সীমার মধ্যে কাজ করছে কিনা তা পর্যবেক্ষণ করা।.
যেসব কোম্পানি প্রথমে পরিচয়ের বিষয়টি সমাধান না করেই এআই এজেন্ট মোতায়েন করছে, তারা এমন ভিত্তির ওপর অটোমেশন তৈরি করছে যা একে সমর্থন করার জন্য ডিজাইন করা হয়নি। পরবর্তী বড় ধরনের কর্পোরেট নিরাপত্তা লঙ্ঘন সম্ভবত কোনো অত্যাধুনিক বহিরাগত আক্রমণকারীর কাছ থেকে আসবে না, বরং আসবে এমন একটি এআই এজেন্টের কাছ থেকে যার অতিরিক্ত অনুমতি রয়েছে এবং যা কনফিগার করার কথা কারো মনে নেই; যা এমন ডেটা অ্যাক্সেস করছে যার অনুমোদন কেউ দেয়নি; এবং এমন একটি সিস্টেম থেকে যা সংযুক্ত আছে বলে কেউ জানত না।.
