Για κάθε ανθρώπινη ταυτότητα που καταχωρείται σε εταιρικά συστήματα, υπάρχουν μεταξύ 45 και 90 μη ανθρώπινες ταυτότητες που λειτουργούν στα ίδια περιβάλλοντα, σύμφωνα με δεδομένα που παρουσίασε η IBM κατά τη διάρκεια του Think 2026. Αυτά περιλαμβάνουν λογαριασμούς υπηρεσιών, κλειδιά API, διακριτικά ελέγχου ταυτότητας και, ολοένα και περισσότερο, πράκτορες τεχνητής νοημοσύνης που έχουν πρόσβαση σε CRM, ERP, βάσεις δεδομένων και εισερχόμενα email με την αυτονομία λήψης αποφάσεων χωρίς ανθρώπινη παρέμβαση.
Η αναλογία δεν είναι καινούργια, αλλά αυτό που έχει αλλάξει τους τελευταίους μήνες είναι ποιοτικό: Οι πράκτορες τεχνητής νοημοσύνης δεν είναι παθητικά διαπιστευτήρια. Σκέφτονται, σχεδιάζουν, εκτελούν ακολουθίες ενεργειών σε δεκάδες συστήματα και μπορούν να ζητήσουν νέα δικαιώματα κατά τον χρόνο εκτέλεσης. Και η υποδομή διαχείρισης ταυτοτήτων και πρόσβασης των περισσότερων εταιρειών σχεδιάστηκε για έναν κόσμο όπου μόνο οι άνθρωποι συνδέονταν.
Σε μια έρευνα της IANS Research σε CISO, η διασφάλιση ταυτότητας για έναν κόσμο που βασίζεται στην Τεχνητή Νοημοσύνη κατατάχθηκε ως η δεύτερη υψηλότερη προτεραιότητα για φέτος, με βαθμολογία 4,46 στα 5, πίσω μόνο από τη χρήση της Τεχνητής Νοημοσύνης εντός των ίδιων των ομάδων ασφαλείας. Μία από τις μεγαλύτερες εταιρείες συμβούλων τεχνολογίας στον κόσμο συμπεριέλαβε την προσαρμογή της διαχείρισης ταυτότητας και πρόσβασης σε πράκτορες Τεχνητής Νοημοσύνης μεταξύ των έξι κορυφαίων τάσεων στον κυβερνοχώρο για το 2026, προειδοποιώντας ότι η μη αντιμετώπιση του ζητήματος θα οδηγήσει σε αύξηση των περιστατικών ασφάλειας που σχετίζονται με την πρόσβαση, καθώς οι αυτόνομοι πράκτορες γίνονται πιο διαδεδομένοι.
Αυτό που καθιστά ιδιαίτερα δύσκολο αυτό το ζήτημα είναι ότι τα υπάρχοντα συστήματα IAM βασίστηκαν σε υποθέσεις που δεν ισχύουν για τους αυτόνομους πράκτορες. Οι άνθρωποι συνδέονται σε προβλέψιμες ώρες, διατηρούν συνεδρίες περιορισμένης διάρκειας, υποβάλλονται σε περιοδικές αξιολογήσεις πρόσβασης και ενδέχεται να υπόκεινται σε πολυπαραγοντική επαλήθευση ταυτότητας.
Οι πράκτορες τεχνητής νοημοσύνης λειτουργούν 24/7 με την ταχύτητα της μηχανής, χωρίς πρότυπα συμπεριφοράς που να χρησιμεύουν ως βάση για την ανίχνευση ανωμαλιών και δεν μπορούν να ανταποκριθούν σε μια πρόκληση MFA. Η IBM έχει εντοπίσει ότι το 92% των εταιρειών δεν εμπιστεύονται τα δικά τους παλαιά εργαλεία IAM για τη διαχείριση των κινδύνων που σχετίζονται με μη ανθρώπινες ταυτότητες και πράκτορες τεχνητής νοημοσύνης. Αυτό δεν αποτελεί σταδιακό περιορισμό: πρόκειται για μια δομική αναντιστοιχία μεταξύ της υπάρχουσας αρχιτεκτονικής ασφάλειας και της λειτουργικής πραγματικότητας που δημιουργούν οι εταιρείες υιοθετώντας αυτόνομους πράκτορες.
Πολλαπλασιασμός αυτόνομων πρακτόρων
Η Deloitte, στην έκθεσή της για την Κατάσταση της Τεχνητής Νοημοσύνης στις Επιχειρήσεις για το 2026, διαπίστωσε ότι η πρόσβαση των εργαζομένων σε εργαλεία Τεχνητής Νοημοσύνης αυξήθηκε κατά 50% μόνο το 2025, αλλά μόνο μία στις πέντε εταιρείες διαθέτει ένα ώριμο μοντέλο διακυβέρνησης για την επίβλεψη αυτής της χρήσης. Από την πλευρά των πρακτόρων, ο πολλαπλασιασμός είναι ακόμη πιο έντονος. Κάθε νεοαναπτυγμένος πράκτορας μπορεί να δημιουργήσει πολλαπλές παράγωγες ταυτότητες, διακριτικά πρόσβασης και συνδέσεις με εξωτερικά API. Ένας μόνο πράκτορας εξυπηρέτησης πελατών που έχει ρυθμιστεί για την επίλυση κλήσεων μπορεί, σε μια συνήθη λειτουργία, να δημιουργήσει εκατοντάδες υπο-πράκτορες, ο καθένας με τα δικά του διαπιστευτήρια και πεδία πρόσβασης. Εάν ένας από αυτούς τους πράκτορες αρχίσει να εκδίδει επιστροφές χρημάτων εκτός πολιτικής ή να έχει πρόσβαση σε δεδομένα πελατών χωρίς εξουσιοδότηση, το ερώτημα που προκύπτει είναι απλό, αλλά συχνά αναπάντητο: ποιος διαμόρφωσε αυτόν τον πράκτορα, ποια δικαιώματα δόθηκαν και ποιος είναι υπεύθυνος για το τι συνέβη;
Μια ανάλυση της CSA του 2026 σχετικά με τον πολλαπλασιασμό των token αποκάλυψε ότι πάνω από το 16% των εταιρειών δεν παρακολουθούν καν τη δημιουργία ταυτοτήτων που σχετίζονται με πράκτορες Τεχνητής Νοημοσύνης, πράγμα που σημαίνει ότι το βασικό απόθεμα απλώς δεν υπάρχει.
Τα διαπιστευτήρια υπηρεσίας δεν είναι το ίδιο πράγμα
Οι παραδοσιακοί λογαριασμοί υπηρεσιών εκτελούν προκαθορισμένες εργασίες σε ντετερμινιστικές ροές. Οι πράκτορες τεχνητής νοημοσύνης, εξ ορισμού, ενεργούν πιθανοτικά: ερμηνεύουν το πλαίσιο, αποφασίζουν για τις ακολουθίες δράσης και μπορούν να ζητήσουν πρόσβαση σε πόρους που οι δημιουργοί τους δεν προέβλεψαν. Μια λευκή βίβλος που δημοσιεύτηκε από την Cloud Security Alliance το 2026 περιέγραψε αυτή τη δυναμική ως αυτόνομη απόκτηση διαπιστευτηρίων κατά τον χρόνο εκτέλεσης, κάτι για το οποίο δεν ήταν προετοιμασμένη καμία προηγούμενη γενιά μη ανθρώπινων ταυτοτήτων.
Τα διαπιστευτήρια που διαθέτει ένας πράκτορας δεν είναι απλώς ένα παθητικό κλειδί, αλλά η κύρια ταυτότητα ενός δρώντος ικανού να συνδέει αλυσιδωτά ενέργειες σε πολλαπλά συστήματα με δυνητικά απρόβλεπτα αποτελέσματα.
Η έννοια της Μηδενικής Εμπιστοσύνης, η οποία έχει υιοθετηθεί ευρέως για την προστασία της ανθρώπινης πρόσβασης, πρέπει να επεκταθεί εγγενώς σε μη ανθρώπινες ταυτότητες και πράκτορες Τεχνητής Νοημοσύνης. Αυτό συνεπάγεται την αντιμετώπιση κάθε πράκτορα ως οντότητας πρώτης κατηγορίας στο σύστημα ταυτοποίησης, με δυναμική παροχή που δημιουργεί και αφαιρεί ταυτότητες ανά εργασία, εξουσιοδότηση βάσει πολιτικών που επαληθεύονται σε κάθε κλήση, πλήρη ιχνηλασιμότητα κάθε ενέργειας που συνδέεται με μια ελεγχόμενη αλυσίδα ανάθεσης και απομόνωση των ροών εργασίας για τον περιορισμό της ακτίνας των επιπτώσεων σε περίπτωση παραβίασης.
Ορισμένοι αναλυτές χρησιμοποιούν ήδη τον όρο «φύλακες», εποπτικούς πράκτορες των οποίων η λειτουργία είναι να παρακολουθούν εάν άλλοι πράκτορες λειτουργούν εντός καθορισμένων ορίων, ως απαραίτητο επίπεδο διακυβέρνησης.
Οι εταιρείες που αναπτύσσουν πράκτορες τεχνητής νοημοσύνης χωρίς πρώτα να αντιμετωπίσουν το ζήτημα της ταυτότητας, κατασκευάζουν αυτοματισμούς σε θεμέλια που δεν έχουν σχεδιαστεί για να τον υποστηρίζουν. Η επόμενη σημαντική παραβίαση της εταιρικής ασφάλειας πιθανότατα δεν θα προέλθει από έναν εξελιγμένο εξωτερικό εισβολέα, αλλά από έναν πράκτορα τεχνητής νοημοσύνης με υπερβολικά δικαιώματα που κανείς δεν θυμάται να έχει διαμορφώσει, αποκτώντας πρόσβαση σε δεδομένα που κανείς δεν έχει εξουσιοδοτήσει, σε ένα σύστημα που κανείς δεν γνώριζε ότι ήταν συνδεδεμένο.
