IBMk Think 2026-n aurkeztutako datuen arabera, korporazio-sistemetan erregistratutako giza identitate bakoitzeko, 45 eta 90 artean daude ingurune berdinetan jarduten dutenak ez diren giza identitateak. Horien artean daude zerbitzu-kontuak, API gakoak, autentifikazio-tokenak eta, gero eta gehiago, CRM, ERP, datu-base eta posta elektronikoko sarrera-ontzietara sartzen diren adimen artifizialaren agenteak, gizakiaren esku-hartzerik gabe erabakiak hartzeko autonomiarekin.
Proportzioa ez da berria, baina azken hilabeteetan aldatu dena kualitatiboa da: IA agenteak ez dira kredentzial pasiboak. Arrazoitu, planifikatu eta ekintza-sekuentziak exekutatzen dituzte dozenaka sistematan zehar, eta baimen berriak eska ditzakete exekuzio-garaian. Eta enpresa gehienen identitate- eta sarbide-kudeaketa azpiegitura jendeak bakarrik saioa hasten zuen mundu baterako diseinatu zen.
IANS Research-ek CISOei buruz egindako inkesta batean, IA bidezko mundu baterako identitate-bermea aurtengo bigarren lehentasun handiena bezala sailkatu zen, 5etik 4,46ko puntuazioa lortuz, segurtasun-taldeetan bertan IA erabiltzearen atzetik. Munduko teknologia-aholkularitza handienetako batek identitate- eta sarbide-kudeaketa IA agenteetara egokitzea sartu zuen 2026ko sei zibersegurtasun-joera nagusien artean, eta ohartarazi zuen arazoa konpontzen ez bada, sarbidearekin lotutako segurtasun-intzidenteen gorakada ekarriko duela agente autonomoek gero eta presentzia handiagoa izan dezaten.
Arazo hau bereziki zailtzen duena da dauden IAM sistemak agente autonomoei aplikatzen ez zaizkien hipotesietan oinarrituta eraiki zirela. Jendeak aurreikus daitezkeen orduetan saioa hasten du, iraupen mugatuko saioak mantentzen ditu, aldizkako sarbide-berrikuspenak egiten ditu eta faktore anitzeko autentifikazioaren menpe egon daitezke.
Adimen artifizialaren agenteek makinaren abiaduran funtzionatzen dute 24/7, anomaliak detektatzeko oinarri gisa balioko duten portaera-eredurik gabe, eta ezin diote MFA erronkari erantzun. IBMk identifikatu duenez, enpresen % 92k ez dute beren IAM tresnetan konfiantzarik egiten giza ez diren identitateekin eta adimen artifizialaren agenteekin lotutako arriskuak kudeatzeko. Hau ez da muga gehigarri bat: dauden segurtasun-arkitekturaren eta enpresek agente autonomoak hartuz sortzen ari diren eragiketa-errealitatearen arteko egiturazko desadostasuna da.
Agente autonomoen ugaritzea
Deloittek, 2026ko Enpresetako IAren Egoerari buruzko txostenean, identifikatu zuen langileen IA tresnetarako sarbidea % 50 hazi zela 2025ean bakarrik, baina bost enpresatik batek bakarrik du gobernantza-eredu heldua erabilera hori gainbegiratzeko. Agenteen aldetik, ugalketa are biziagoa da. Agente berri bakoitzak hainbat identitate eratorri, sarbide-token eta kanpoko APIetarako konexio sor ditzake. Deiak konpontzeko konfiguratutako bezeroarentzako arreta-zerbitzuko agente bakar batek, ohiko eragiketa batean, ehunka azpiagente sor ditzake, bakoitza bere kredentzial eta sarbide-esparruekin. Agente horietako batek politikaz kanpoko itzulketak egiten edo bezeroen datuetara baimenik gabe sartzen hasten bada, sortzen den galdera sinplea da, baina askotan erantzunik gabea: nork konfiguratu zuen agente hau, zer baimen eman zitzaizkion eta nor da gertatutakoaren arduraduna?
2026an CSAk tokenen ugalketaren inguruan egindako analisi batek agerian utzi zuen enpresen % 16k baino gehiagok ez dutela IA agenteekin lotutako identitateen sorrera jarraitzen ere egiten, eta horrek esan nahi du oinarrizko inbentarioa ez dela existitzen.
Zerbitzu-kredentzialak ez dira gauza bera
Ohiko zerbitzu-kontuek aurrez definitutako zereginak exekutatzen dituzte fluxu deterministuetan. IA agenteek, definizioz, probabilitatez jokatzen dute: testuingurua interpretatzen dute, ekintza-sekuentziak erabakitzen dituzte eta sortzaileek aurreikusi ez zituzten baliabideetarako sarbidea eska dezakete. Cloud Security Alliance-k 2026an argitaratutako txosten zuri batek dinamika hau exekuzio-garaian kredentzialen eskuratze autonomo gisa deskribatu zuen, eta horretarako aurreko belaunaldi ez-gizakiak ez ziren identitateak prestatuta zeuden.
Agente batek dituen kredentzialak ez dira gako pasibo bat soilik, emaitza aurreikusezinak izan ditzakeen hainbat sistematan zehar ekintzak kateatzeko gai den aktore baten identitate nagusia baizik.
Zero Trust kontzeptua, gizakien sarbidea babesteko oso hedatua, modu natiboan zabaldu behar da gizakiak ez diren identitateetara eta adimen artifizialaren agenteetara. Horrek esan nahi du agente bakoitza lehen mailako entitate gisa tratatzea identitate-sisteman, zeregin bakoitzeko identitateak sortu eta kentzen dituen hornidura dinamikoarekin, deialdi bakoitzean egiaztatutako politiketan oinarritutako baimenarekin, ekintza bakoitzaren trazabilitate osoa ordezkaritza-kate auditatu bati lotuta, eta lan-fluxuen isolamendua arriskuan jartzen bada eragin-erradioa mugatzeko.
Analista batzuek dagoeneko erabiltzen dute "zaindari agenteak" terminoa, hau da, beste agente batzuk muga zehatzen barruan jarduten ari diren kontrolatzea duten gainbegirale agenteak, gobernantza-geruza beharrezko gisa.
Identitatearen arazoa lehenik konpondu gabe IA agenteak zabaltzen dituzten enpresek automatizazioa eraikitzen ari dira hori eusteko diseinatuta ez dauden oinarrietan. Hurrengo enpresa-segurtasun-urraketa handia ziurrenik ez da kanpoko erasotzaile sofistikatu batetik etorriko, baizik eta inork konfiguratu izana gogoratzen ez duen baimen gehiegi dituen IA agente batetik, inork baimendu ez dituen datuetara sartzetik, inork konektatuta zegoela ez zekien sistema batean.
