आईबीएम द्वारा थिंक 2026 के दौरान प्रस्तुत आंकड़ों के अनुसार, कॉर्पोरेट सिस्टम में पंजीकृत प्रत्येक मानवीय पहचान के लिए, उसी वातावरण में 45 से 90 गैर-मानवीय पहचानें कार्यरत होती हैं। इनमें सेवा खाते, एपीआई कुंजी, प्रमाणीकरण टोकन और तेजी से बढ़ते एआई एजेंट शामिल हैं जो मानवीय हस्तक्षेप के बिना निर्णय लेने की स्वायत्तता के साथ सीआरएम, ईआरपी, डेटाबेस और ईमेल इनबॉक्स तक पहुंच रखते हैं।.
यह अनुपात नया नहीं है, लेकिन हाल के महीनों में जो बदलाव आया है वह गुणात्मक है: एआई एजेंट निष्क्रिय क्रेडेंशियल नहीं हैं। वे तर्क करते हैं, योजना बनाते हैं, दर्जनों प्रणालियों में कार्यों के अनुक्रम को निष्पादित करते हैं, और रनटाइम पर नई अनुमतियों का अनुरोध कर सकते हैं। और अधिकांश कंपनियों का पहचान और एक्सेस प्रबंधन ढांचा ऐसी दुनिया के लिए डिज़ाइन किया गया था जहां केवल लोग ही लॉग इन करते थे।.
IANS रिसर्च द्वारा CISOs के एक सर्वेक्षण में, AI-संचालित दुनिया के लिए पहचान सुरक्षा को इस वर्ष की दूसरी सबसे बड़ी प्राथमिकता बताया गया है, जिसे 5 में से 4.46 अंक मिले हैं। सुरक्षा टीमों के भीतर AI के उपयोग के बाद यह प्राथमिकता दूसरे स्थान पर है। दुनिया की सबसे बड़ी प्रौद्योगिकी परामर्श कंपनियों में से एक ने 2026 के लिए शीर्ष छह साइबर सुरक्षा रुझानों में AI एजेंटों के लिए पहचान और पहुंच प्रबंधन को अनुकूलित करना शामिल किया है, और चेतावनी दी है कि इस मुद्दे को हल करने में विफलता से पहुंच से संबंधित सुरक्षा घटनाओं में वृद्धि होगी क्योंकि स्वायत्त एजेंट अधिक प्रचलित हो जाएंगे।.
इस समस्या को और भी जटिल बनाने वाली बात यह है कि मौजूदा IAM सिस्टम उन मान्यताओं पर आधारित हैं जो स्वायत्त एजेंटों पर लागू नहीं होतीं। लोग निश्चित समय पर लॉग इन करते हैं, सीमित अवधि के सत्र बनाए रखते हैं, समय-समय पर उनकी पहुंच की समीक्षा की जाती है, और वे बहु-कारक प्रमाणीकरण के अधीन हो सकते हैं।.
एआई एजेंट चौबीसों घंटे मशीन की गति से काम करते हैं, उनमें विसंगति का पता लगाने के लिए आधारभूत व्यवहार पैटर्न नहीं होते, और वे मल्टी-फैक्टर ऑथेंटिकेशन (एमएफए) चुनौती का जवाब नहीं दे सकते। आईबीएम ने पाया है कि 92% कंपनियां गैर-मानवीय पहचान और एआई एजेंटों से जुड़े जोखिमों को प्रबंधित करने के लिए अपने पुराने आईएएम टूल्स पर भरोसा नहीं करती हैं। यह कोई मामूली कमी नहीं है: यह मौजूदा सुरक्षा संरचना और स्वायत्त एजेंटों को अपनाने से कंपनियों द्वारा उत्पन्न परिचालन वास्तविकता के बीच एक संरचनात्मक बेमेल है।.
स्वायत्त एजेंटों का प्रसार
डेलाइट ने अपनी 2026 स्टेट ऑफ एआई इन द एंटरप्राइज रिपोर्ट में बताया कि अकेले 2025 में ही कर्मचारियों की एआई टूल्स तक पहुंच में 50% की वृद्धि हुई, लेकिन केवल पांच में से एक कंपनी के पास ही इस उपयोग की निगरानी के लिए एक परिपक्व गवर्नेंस मॉडल है। एजेंटों के मामले में, यह वृद्धि और भी तीव्र है। प्रत्येक नया तैनात एजेंट कई व्युत्पन्न पहचान, एक्सेस टोकन और बाहरी एपीआई से कनेक्शन उत्पन्न कर सकता है। कॉल का समाधान करने के लिए कॉन्फ़िगर किया गया एक ग्राहक सेवा एजेंट, एक नियमित प्रक्रिया में, सैकड़ों उप-एजेंट उत्पन्न कर सकता है, जिनमें से प्रत्येक के अपने क्रेडेंशियल और एक्सेस स्कोप होते हैं। यदि इनमें से कोई एजेंट पॉलिसी के विरुद्ध रिफंड जारी करना शुरू कर देता है या बिना अनुमति के ग्राहक डेटा तक पहुंचता है, तो जो प्रश्न उठता है वह सरल है, लेकिन अक्सर अनुत्तरित रहता है: इस एजेंट को किसने कॉन्फ़िगर किया, कौन सी अनुमतियां दी गईं, और जो हुआ उसके लिए कौन जिम्मेदार है?
टोकन के प्रसार पर 2026 के सीएसए विश्लेषण से पता चला कि 16% से अधिक कंपनियां एआई एजेंटों से जुड़ी पहचानों के निर्माण को ट्रैक भी नहीं करती हैं, जिसका अर्थ है कि बुनियादी इन्वेंट्री मौजूद ही नहीं है।.
सेवा संबंधी प्रमाण पत्र और अन्य चीजें एक जैसी नहीं होतीं।
परंपरागत सेवा खाते पूर्वनिर्धारित कार्यों को निश्चित प्रवाह में निष्पादित करते हैं। कृत्रिम बुद्धिमत्ता (एआई) एजेंट, परिभाषा के अनुसार, संभाव्यता के आधार पर कार्य करते हैं: वे संदर्भ की व्याख्या करते हैं, कार्यों के क्रम का निर्णय लेते हैं, और उन संसाधनों तक पहुंच का अनुरोध कर सकते हैं जिनकी उनके रचनाकारों ने कल्पना भी नहीं की थी। क्लाउड सिक्योरिटी एलायंस द्वारा 2026 में प्रकाशित एक श्वेतपत्र में इस प्रक्रिया को रनटाइम पर स्वचालित रूप से क्रेडेंशियल प्राप्त करने के रूप में वर्णित किया गया है, जिसके लिए मानव-रहित पहचान की कोई भी पिछली पीढ़ी तैयार नहीं थी।.
किसी एजेंट के पास मौजूद क्रेडेंशियल केवल एक निष्क्रिय कुंजी नहीं है, बल्कि एक ऐसे कर्ता की प्राथमिक पहचान है जो संभावित रूप से अप्रत्याशित परिणामों के साथ कई प्रणालियों में कार्यों की श्रृंखला बनाने में सक्षम है।.
मानव पहुंच की सुरक्षा के लिए व्यापक रूप से अपनाई गई ज़ीरो ट्रस्ट की अवधारणा को गैर-मानवीय पहचानों और एआई एजेंटों तक भी विस्तारित करने की आवश्यकता है। इसका तात्पर्य है कि पहचान प्रणाली में प्रत्येक एजेंट को एक प्रथम श्रेणी की इकाई के रूप में माना जाए, जिसमें गतिशील प्रावधान हो जो प्रत्येक कार्य के लिए पहचान बनाए और हटाए, प्रत्येक आह्वान पर सत्यापित नीतियों के आधार पर प्राधिकरण हो, प्रत्येक क्रिया की पूर्ण ट्रैसेबिलिटी हो जो एक ऑडिट योग्य प्रतिनिधिमंडल श्रृंखला से जुड़ी हो, और समझौता होने की स्थिति में प्रभाव के दायरे को सीमित करने के लिए वर्कफ़्लो को अलग किया जाए।.
कुछ विश्लेषक पहले से ही "संरक्षक एजेंट" शब्द का प्रयोग करते हैं, जो पर्यवेक्षी एजेंट होते हैं जिनका कार्य यह निगरानी करना होता है कि अन्य एजेंट परिभाषित सीमाओं के भीतर काम कर रहे हैं या नहीं, शासन की एक आवश्यक परत के रूप में।.
पहचान संबंधी समस्या का समाधान किए बिना एआई एजेंटों को तैनात करने वाली कंपनियां ऐसी नींव पर स्वचालन का निर्माण कर रही हैं जो इसे समर्थन देने के लिए डिज़ाइन नहीं की गई है। अगला बड़ा कॉर्पोरेट सुरक्षा उल्लंघन संभवतः किसी परिष्कृत बाहरी हमलावर से नहीं, बल्कि अत्यधिक अनुमतियों वाले एआई एजेंट से होगा, जिसे कॉन्फ़िगर करने की जानकारी किसी को नहीं है, जो बिना अनुमति के डेटा तक पहुंच रहा है, और ऐसे सिस्टम पर काम कर रहा है जिसके कनेक्ट होने की जानकारी किसी को नहीं है।.
