થિંક 2026 દરમિયાન IBM દ્વારા રજૂ કરાયેલા ડેટા અનુસાર, કોર્પોરેટ સિસ્ટમમાં નોંધાયેલ દરેક માનવ ઓળખ માટે, સમાન વાતાવરણમાં 45 થી 90 બિન-માનવ ઓળખ કાર્યરત છે. આમાં સર્વિસ એકાઉન્ટ્સ, API કી, પ્રમાણીકરણ ટોકન્સ અને વધુને વધુ, AI એજન્ટ્સનો સમાવેશ થાય છે જે CRM, ERP, ડેટાબેઝ અને ઇમેઇલ ઇનબોક્સને ઍક્સેસ કરે છે અને માનવ હસ્તક્ષેપ વિના નિર્ણયો લેવાની સ્વાયત્તતા ધરાવે છે.
આ ગુણોત્તર નવો નથી, પરંતુ તાજેતરના મહિનાઓમાં જે બદલાયું છે તે ગુણાત્મક છે: AI એજન્ટો નિષ્ક્રિય ઓળખપત્રો નથી. તેઓ તર્ક આપે છે, યોજના બનાવે છે, ડઝનેક સિસ્ટમોમાં ક્રિયાઓના ક્રમ ચલાવે છે, અને રનટાઇમ પર નવી પરવાનગીઓની વિનંતી કરી શકે છે. અને મોટાભાગની કંપનીઓનું ઓળખ અને ઍક્સેસ મેનેજમેન્ટ ઇન્ફ્રાસ્ટ્રક્ચર એવી દુનિયા માટે ડિઝાઇન કરવામાં આવ્યું હતું જ્યાં ફક્ત લોકો જ લોગ ઇન કરે છે.
CISO ના IANS સંશોધન સર્વેક્ષણમાં, AI-સંચાલિત વિશ્વ માટે ઓળખ ખાતરીને આ વર્ષ માટે બીજા ક્રમે સૌથી વધુ પ્રાથમિકતા આપવામાં આવી હતી, જેણે 5 માંથી 4.46 સ્કોર મેળવ્યા હતા, જે ફક્ત સુરક્ષા ટીમોમાં AI ના ઉપયોગ પાછળ હતો. વિશ્વની સૌથી મોટી ટેકનોલોજી કન્સલ્ટન્સીમાંની એકમાં 2026 માટે ટોચના છ સાયબર સુરક્ષા વલણોમાં AI એજન્ટો માટે ઓળખ અને ઍક્સેસ મેનેજમેન્ટને અનુકૂલિત કરવાનો સમાવેશ થાય છે, ચેતવણી આપી હતી કે આ મુદ્દાને સંબોધવામાં નિષ્ફળતા સ્વાયત્ત એજન્ટો વધુ પ્રચલિત થતાં ઍક્સેસ-સંબંધિત સુરક્ષા ઘટનાઓમાં વધારો કરશે.
આ મુદ્દાને ખાસ કરીને મુશ્કેલ બનાવે છે તે એ છે કે હાલની IAM સિસ્ટમો એવી ધારણાઓ પર બનાવવામાં આવી હતી જે સ્વાયત્ત એજન્ટોને લાગુ પડતી નથી. લોકો અનુમાનિત સમયે લોગ ઇન કરે છે, મર્યાદિત સમયગાળાના સત્રો જાળવી રાખે છે, સમયાંતરે ઍક્સેસ સમીક્ષાઓમાંથી પસાર થાય છે અને મલ્ટિફેક્ટર પ્રમાણીકરણને આધીન હોઈ શકે છે.
AI એજન્ટો 24/7 મશીન ગતિએ કાર્ય કરે છે, વિસંગતતા શોધ માટે આધારરેખા તરીકે સેવા આપવા માટે વર્તણૂકીય પેટર્ન વિના, અને MFA પડકારનો જવાબ આપી શકતા નથી. IBM એ ઓળખ્યું છે કે 92% કંપનીઓ બિન-માનવ ઓળખ અને AI એજન્ટો સાથે સંકળાયેલા જોખમોનું સંચાલન કરવા માટે તેમના પોતાના લેગસી IAM ટૂલ્સ પર વિશ્વાસ કરતી નથી. આ કોઈ વધારાની મર્યાદા નથી: તે હાલના સુરક્ષા આર્કિટેક્ચર અને સ્વાયત્ત એજન્ટો અપનાવીને કંપનીઓ જે ઓપરેશનલ વાસ્તવિકતા બનાવી રહી છે તે વચ્ચે માળખાકીય મેળ ખાતી નથી.
સ્વાયત્ત એજન્ટોનો પ્રસાર
ડેલોઇટે તેના 2026 સ્ટેટ ઓફ એઆઈ ઇન ધ એન્ટરપ્રાઇઝ રિપોર્ટમાં ઓળખી કાઢ્યું હતું કે 2025 માં જ AI ટૂલ્સની વર્કર એક્સેસમાં 50% નો વધારો થયો હતો, પરંતુ પાંચમાંથી માત્ર એક કંપની પાસે આ ઉપયોગની દેખરેખ રાખવા માટે પરિપક્વ ગવર્નન્સ મોડેલ છે. એજન્ટ બાજુએ, પ્રસાર વધુ તીવ્ર છે. દરેક નવા તૈનાત એજન્ટ બહુવિધ વ્યુત્પન્ન ઓળખ, ઍક્સેસ ટોકન્સ અને બાહ્ય API સાથે જોડાણો જનરેટ કરી શકે છે. કોલ્સ ઉકેલવા માટે ગોઠવાયેલ એક ગ્રાહક સેવા એજન્ટ, નિયમિત કામગીરીમાં, સેંકડો સબ-એજન્ટ જનરેટ કરી શકે છે, દરેક પાસે તેમના પોતાના ઓળખપત્રો અને ઍક્સેસ સ્કોપ હોય છે. જો આ એજન્ટોમાંથી કોઈ એક પોલિસી આઉટ-ઓફ-એજન્ટ્સ જારી કરવાનું અથવા અધિકૃતતા વિના ગ્રાહક ડેટાને ઍક્સેસ કરવાનું શરૂ કરે છે, તો ઉદભવતો પ્રશ્ન સરળ છે, પરંતુ ઘણીવાર અનુત્તરિત છે: આ એજન્ટને કોણે ગોઠવ્યો, કઈ પરવાનગીઓ આપવામાં આવી, અને શું થયું તેના માટે કોણ જવાબદાર છે?
ટોકન પ્રસાર પર 2026 ના CSA વિશ્લેષણમાં જાણવા મળ્યું છે કે 16% થી વધુ કંપનીઓ AI એજન્ટો સાથે સંકળાયેલી ઓળખની રચનાને પણ ટ્રેક કરતી નથી, જેનો અર્થ એ થાય કે મૂળભૂત ઇન્વેન્ટરી ફક્ત અસ્તિત્વમાં નથી.
સેવા ઓળખપત્રો એક જ વસ્તુ નથી
પરંપરાગત સેવા ખાતાઓ નિર્ધારિત પ્રવાહોમાં પૂર્વવ્યાખ્યાયિત કાર્યો કરે છે. વ્યાખ્યા દ્વારા, AI એજન્ટો સંભવિત રીતે કાર્ય કરે છે: તેઓ સંદર્ભનું અર્થઘટન કરે છે, ક્રિયાના ક્રમ નક્કી કરે છે, અને એવા સંસાધનોની ઍક્સેસની વિનંતી કરી શકે છે જેની તેમના સર્જકોએ અપેક્ષા રાખી ન હતી. 2026 માં ક્લાઉડ સિક્યુરિટી એલાયન્સ દ્વારા પ્રકાશિત એક શ્વેતપત્રમાં આ ગતિશીલતાને રનટાઇમ પર ઓળખપત્રોના સ્વાયત્ત સંપાદન તરીકે વર્ણવવામાં આવી હતી, જેના માટે કોઈ પાછલી પેઢીના બિન-માનવ ઓળખ તૈયાર કરવામાં આવી ન હતી.
એજન્ટ પાસે જે ઓળખપત્રો હોય છે તે ફક્ત એક નિષ્ક્રિય ચાવી નથી, પરંતુ એક એવા અભિનેતાની પ્રાથમિક ઓળખ છે જે સંભવિત અણધારી પરિણામો સાથે બહુવિધ સિસ્ટમોમાં ક્રિયાઓને સાંકળવામાં સક્ષમ છે.
માનવીય ઍક્સેસને સુરક્ષિત રાખવા માટે વ્યાપકપણે અપનાવવામાં આવેલ ઝીરો ટ્રસ્ટની વિભાવનાને મૂળ રીતે બિન-માનવ ઓળખ અને AI એજન્ટો સુધી વિસ્તૃત કરવાની જરૂર છે. આનો અર્થ એ છે કે ઓળખ પ્રણાલીમાં દરેક એજન્ટને પ્રથમ-વર્ગની એન્ટિટી તરીકે ગણવો, ગતિશીલ જોગવાઈ સાથે જે કાર્ય દીઠ ઓળખ બનાવે છે અને દૂર કરે છે, દરેક વિનંતી પર ચકાસાયેલ નીતિઓ પર આધારિત અધિકૃતતા, ઓડિટેબલ ડેલિગેશન ચેઇન સાથે જોડાયેલ દરેક ક્રિયાની સંપૂર્ણ ટ્રેસેબિલિટી, અને સમાધાનના કિસ્સામાં અસરના ત્રિજ્યાને મર્યાદિત કરવા માટે વર્કફ્લોને અલગ પાડવું.
કેટલાક વિશ્લેષકો પહેલાથી જ "ગાર્ડિયન એજન્ટ્સ" શબ્દનો ઉપયોગ કરે છે, જે સુપરવાઇઝરી એજન્ટ્સ છે જેનું કાર્ય અન્ય એજન્ટો નિર્ધારિત મર્યાદામાં કાર્યરત છે કે કેમ તેનું નિરીક્ષણ કરવાનું છે, જે શાસનના જરૂરી સ્તર તરીકે છે.
ઓળખના મુદ્દાને સંબોધ્યા વિના AI એજન્ટોને તૈનાત કરતી કંપનીઓ એવા પાયા પર ઓટોમેશન બનાવી રહી છે જે તેને ટેકો આપવા માટે રચાયેલ નથી. આગામી મોટો કોર્પોરેટ સુરક્ષા ભંગ સંભવતઃ કોઈ સુસંસ્કૃત બાહ્ય હુમલાખોર તરફથી નહીં, પરંતુ એક AI એજન્ટ તરફથી આવશે જેની પાસે અતિશય પરવાનગીઓ છે જેને કોઈને યાદ નથી કે તેને ગોઠવવાનું, કોઈએ અધિકૃત ન કરેલા ડેટાને ઍક્સેસ કરવાનું, એવી સિસ્ટમ પર જે કોઈને ખબર ન હતી કે કનેક્ટેડ છે.
