Am bob hunaniaeth ddynol sydd wedi'i chofrestru mewn systemau corfforaethol, mae rhwng 45 a 90 o hunaniaethau an-ddynol yn gweithredu yn yr un amgylcheddau, yn ôl data a gyflwynwyd gan IBM yn ystod Think 2026. Mae'r rhain yn cynnwys cyfrifon gwasanaeth, allweddi API, tocynnau dilysu, ac yn gynyddol, asiantau AI sy'n cyrchu CRMs, ERPs, cronfeydd data, a blychau derbyn e-bost gyda'r ymreolaeth i wneud penderfyniadau heb ymyrraeth ddynol.
Nid yw'r gymhareb yn newydd, ond yr hyn sydd wedi newid yn ystod y misoedd diwethaf yw ansoddol: nid yw asiantau AI yn gymwysterau goddefol. Maent yn rhesymu, cynllunio, gweithredu dilyniannau o gamau gweithredu ar draws dwsinau o systemau, a gallant ofyn am ganiatâd newydd ar amser rhedeg. Ac mae seilwaith rheoli hunaniaeth a mynediad y rhan fwyaf o gwmnïau wedi'i gynllunio ar gyfer byd lle mai dim ond pobl oedd yn mewngofnodi.
Mewn arolwg IANS Research o CISOs, cafodd sicrwydd hunaniaeth ar gyfer byd sy'n cael ei yrru gan AI ei restru fel yr ail flaenoriaeth uchaf ar gyfer y flwyddyn hon, gan sgorio 4.46 allan o 5, y tu ôl i ddefnyddio AI o fewn timau diogelwch eu hunain yn unig. Roedd un o ymgynghoriaethau technoleg mwyaf y byd yn cynnwys addasu rheoli hunaniaeth a mynediad i asiantau AI ymhlith y chwe thuedd seiberddiogelwch gorau ar gyfer 2026, gan rybuddio y bydd methu â mynd i'r afael â'r mater yn arwain at gynnydd mewn digwyddiadau diogelwch sy'n gysylltiedig â mynediad wrth i asiantau ymreolaethol ddod yn fwy cyffredin.
Yr hyn sy'n gwneud y mater hwn yn arbennig o anodd yw bod systemau IAM presennol wedi'u hadeiladu ar dybiaethau nad ydynt yn berthnasol i asiantau ymreolaethol. Mae pobl yn mewngofnodi ar amseroedd rhagweladwy, yn cynnal sesiynau o hyd cyfyngedig, yn cael adolygiadau mynediad cyfnodol, a gallant fod yn destun dilysu aml-ffactor.
Mae asiantau AI yn gweithredu 24/7 ar gyflymder peiriant, heb batrymau ymddygiad i wasanaethu fel llinell sylfaen ar gyfer canfod anomaledd, ac ni allant ymateb i her MFA. Mae IBM wedi nodi nad yw 92% o gwmnïau'n ymddiried yn eu hoffer IAM etifeddol eu hunain i reoli'r risgiau sy'n gysylltiedig â hunaniaethau an-ddynol ac asiantau AI. Nid cyfyngiad cynyddrannol yw hwn: mae'n anghydweddiad strwythurol rhwng y bensaernïaeth ddiogelwch bresennol a'r realiti gweithredol y mae cwmnïau'n ei greu trwy fabwysiadu asiantau ymreolaethol.
Amlder asiantau ymreolaethol
Yn ei hadroddiad Cyflwr Deallusrwydd Artiffisial yn y Fenter yn 2026, nododd Deloitte fod mynediad gweithwyr at offer Deallusrwydd Artiffisial wedi tyfu 50% yn 2025 yn unig, ond dim ond un o bob pump cwmni sydd â model llywodraethu aeddfed i oruchwylio'r defnydd hwn. Ar ochr yr asiantau, mae'r amlhau hyd yn oed yn fwy dwys. Gall pob asiant sydd newydd ei ddefnyddio gynhyrchu nifer o hunaniaethau deilliedig, tocynnau mynediad, a chysylltiadau ag APIs allanol. Gall un asiant gwasanaeth cwsmeriaid sydd wedi'i ffurfweddu i ddatrys galwadau, mewn gweithrediad arferol, gynhyrchu cannoedd o is-asiantau, pob un â'i gymwysterau a'i gwmpasau mynediad ei hun. Os bydd un o'r asiantau hyn yn dechrau rhoi ad-daliadau y tu allan i'r polisi neu'n cyrchu data cwsmeriaid heb awdurdodiad, mae'r cwestiwn sy'n dod i'r amlwg yn syml, ond yn aml heb ei ateb: pwy a ffurfweddodd yr asiant hwn, pa ganiatadau a roddwyd, a phwy sy'n gyfrifol am yr hyn a ddigwyddodd?
Datgelodd dadansoddiad CSA yn 2026 ar amlhau tocynnau nad yw dros 16% o gwmnïau hyd yn oed yn olrhain creu hunaniaethau sy'n gysylltiedig ag asiantau AI, sy'n golygu nad yw'r rhestr eiddo sylfaenol yn bodoli o gwbl.
Nid yw cymwysterau gwasanaeth yr un peth
Mae cyfrifon gwasanaeth traddodiadol yn cyflawni tasgau wedi'u diffinio ymlaen llaw mewn llifau penderfynol. Mae asiantau AI, yn ôl y diffiniad, yn gweithredu'n debygol: maent yn dehongli cyd-destun, yn penderfynu ar ddilyniannau o gamau gweithredu, a gallant ofyn am fynediad at adnoddau nad oedd eu crewyr yn eu rhagweld. Disgrifiodd papur gwyn a gyhoeddwyd gan y Cloud Security Alliance yn 2026 y deinameg hon fel caffaeliad ymreolaethol o gymwysterau ar amser rhedeg, rhywbeth nad oedd unrhyw genhedlaeth flaenorol o hunaniaethau an-ddynol wedi'i baratoi ar ei gyfer.
Nid allwedd oddefol yn unig yw'r manylion mewngofnodi sydd gan asiant, ond prif hunaniaeth actor sy'n gallu cysylltu gweithredoedd ar draws systemau lluosog gyda chanlyniadau a allai fod yn anrhagweladwy.
Mae angen ymestyn y cysyniad o Ymddiriedaeth Sero, a fabwysiadwyd yn eang i amddiffyn mynediad dynol, yn frodorol i hunaniaethau nad ydynt yn ddynol ac asiantau AI. Mae hyn yn awgrymu trin pob asiant fel endid o'r radd flaenaf yn y system hunaniaeth, gyda darpariaeth ddeinamig sy'n creu ac yn dileu hunaniaethau fesul tasg, awdurdodiad yn seiliedig ar bolisïau a wirir ym mhob galwad, olrhain llwyr pob gweithred sy'n gysylltiedig â chadwyn ddirprwyo archwiliadwy, ac ynysu llifau gwaith i gyfyngu ar radiws yr effaith rhag ofn y bydd perygl.
Mae rhai dadansoddwyr eisoes yn defnyddio'r term "asiantau gwarcheidiol," asiantau goruchwylio y mae eu swyddogaeth yn monitro a yw asiantau eraill yn gweithredu o fewn terfynau diffiniedig, fel haen angenrheidiol o lywodraethu.
Mae cwmnïau sy'n defnyddio asiantau AI heb fynd i'r afael â mater hunaniaeth yn gyntaf yn adeiladu awtomeiddio ar sylfeini nad ydynt wedi'u cynllunio i'w gefnogi. Mae'n debyg na fydd y toriad diogelwch corfforaethol mawr nesaf yn dod gan ymosodwr allanol soffistigedig, ond gan asiant AI â chaniatâd gormodol nad oes neb yn cofio ei ffurfweddu, yn cyrchu data nad oedd neb wedi'i awdurdodi, ar system nad oedd neb yn gwybod ei bod wedi'i chysylltu.
