Fyrir hverja mannlega auðkenni sem skráð er í fyrirtækjakerfum eru á milli 45 og 90 auðkenni sem starfa í sama umhverfi, samkvæmt gögnum sem IBM kynnti á Think 2026. Þar á meðal eru þjónustureikningar, API-lyklar, auðkenningarlyklar og í auknum mæli gervigreindarumboðsmenn sem fá aðgang að CRM-kerfum, ERP-kerfum, gagnagrunnum og pósthólfum með sjálfstæði til að taka ákvarðanir án afskipta manna.
Hlutfallið er ekki nýtt af nálinni, en það sem hefur breyst á undanförnum mánuðum er eigindlegt: Gervigreindaraðilar eru ekki óvirkir skilríki. Þeir rökræða, skipuleggja, framkvæma aðgerðaröð í tugum kerfa og geta óskað eftir nýjum heimildum á keyrslutíma. Og innviðir auðkenningar- og aðgangsstjórnunar flestra fyrirtækja voru hannaðir fyrir heim þar sem aðeins fólk skráði sig inn.
Í könnun IANS Research meðal upplýsingaöryggisstjóra var auðkenning fyrir gervigreindardrifinn heim raðað sem næst hæsta forgangsverkefni þessa árs, með 4,46 af 5, aðeins á eftir notkun gervigreindar innan öryggisteyma sjálfra. Eitt stærsta tækniráðgjafafyrirtæki heims var aðlögun auðkenningar- og aðgangsstjórnunar að gervigreindaraðilum á meðal sex helstu þróunar í netöryggi fyrir árið 2026 og varaði við því að ef ekki tekst að taka á þessu vandamáli muni það leiða til aukinnar aðgangstengdrar öryggisatvika þar sem sjálfstæðir aðilar verða algengari.
Það sem gerir þetta mál sérstaklega erfitt er að núverandi IAM kerfi voru byggð á forsendum sem eiga ekki við um sjálfstæða aðila. Fólk skráir sig inn á fyrirsjáanlegum tímum, heldur lotum af takmarkaðri lengd, gengst undir reglubundnar aðgangsskoðanir og getur verið háð fjölþátta auðkenningu.
Gervigreindarumboðsmenn starfa allan sólarhringinn á vélarhraða, án hegðunarmynstra sem grunnur að fráviksgreiningu, og geta ekki brugðist við MFA-áskorun. IBM hefur komist að því að 92% fyrirtækja treysta ekki eigin eldri IAM-tólum til að stjórna áhættu sem tengist auðkennum sem ekki eru mannlegar og gervigreindarumboðsmönnum. Þetta er ekki stigvaxandi takmörkun: það er skipulagslegt ósamræmi milli núverandi öryggisarkitektúrs og rekstrarveruleikans sem fyrirtæki eru að skapa með því að taka upp sjálfstæða umboðsmenn.
Útbreiðsla sjálfstæðra aðila
Í skýrslu Deloitte frá árinu 2026, State of AI in the Enterprise, kom fram að aðgangur starfsmanna að gervigreindartólum jókst um 50% árið 2025 einu og sér, en aðeins eitt af hverjum fimm fyrirtækjum hefur þroskað stjórnunarlíkan til að hafa eftirlit með þessari notkun. Hvað varðar umboðsmenn er útbreiðslan enn meiri. Hver nýr umboðsmaður getur búið til margar afleiddar auðkenni, aðgangsmerki og tengingar við utanaðkomandi forritaskil (API). Einn þjónustufulltrúi, sem er stilltur til að leysa úr símtölum, getur í venjulegri aðgerð búið til hundruð undirumboðsmanna, hver með sín eigin innskráningarupplýsingar og aðgangssvið. Ef einn af þessum umboðsmönnum byrjar að gefa út endurgreiðslur utan stefnu eða fá aðgang að gögnum viðskiptavina án heimildar, þá er spurningin sem vaknar einföld en oft ósvarað: hver stillti þennan umboðsmann upp, hvaða heimildir voru veittar og hver ber ábyrgð á því sem gerðist?
Greining CSA frá árinu 2026 á útbreiðslu tákna leiddi í ljós að yfir 16% fyrirtækja fylgjast ekki einu sinni með stofnun auðkenna sem tengjast gervigreindaraðilum, sem þýðir að grunnbirgðir eru einfaldlega ekki til.
Þjónustuskilríki eru ekki það sama
Hefðbundnir þjónustureikningar framkvæma fyrirfram skilgreind verkefni í ákveðnum flæði. Gervigreindarumboðsmenn starfa samkvæmt skilgreiningu út frá líkindafræðilegum aðferðum: þeir túlka samhengi, ákveða aðgerðaröð og geta óskað eftir aðgangi að auðlindum sem skaparar þeirra gerðu ekki ráð fyrir. Hvítbók sem Cloud Security Alliance gaf út árið 2026 lýsti þessari virkni sem sjálfvirkri öflun innskráningarupplýsinga á keyrslutíma, eitthvað sem engin fyrri kynslóð af ómannlegum auðkennum var undirbúin fyrir.
Auðkenni umboðsmanns eru ekki bara óvirkur lykill, heldur aðalauðkenni aðila sem getur keðjað aðgerðir yfir mörg kerfi með hugsanlega ófyrirsjáanlegum afleiðingum.
Hugtakið núlltraust, sem hefur verið mikið notað til að vernda aðgang manna, þarf að vera útvíkkað innfæddlega til að ná yfir auðkenni annarra en manna og gervigreindaraðila. Þetta felur í sér að meðhöndla hvern aðila sem fyrsta flokks aðila í auðkenniskerfinu, með breytilegri úthlutun sem býr til og fjarlægir auðkenni fyrir hvert verkefni, heimildum byggðum á stefnum sem eru staðfestar við hverja keyrslu, fullkominni rekjanleika hverrar aðgerðar sem tengist endurskoðanlegri úthlutunarkeðju og einangrun vinnuflæðis til að takmarka áhrif ef brotið er á gögnum.
Sumir greinendur nota þegar hugtakið „verndarfulltrúar“, eftirlitsfulltrúar sem hafa það hlutverk að fylgjast með því hvort aðrir fulltrúar starfi innan skilgreindra marka, sem nauðsynlegt stjórnunarlag.
Fyrirtæki sem nota gervigreindarumboðsmenn án þess að taka fyrst á vandamálinu varðandi auðkenni eru að byggja sjálfvirkni á grunni sem ekki er hannaður til að styðja hana. Næsta stóra öryggisbrot fyrirtækja mun líklega ekki koma frá háþróaðri utanaðkomandi árásaraðila, heldur frá gervigreindarumboðsmanni með óhófleg heimildir sem enginn man eftir að hafa stillt, sem hefur aðgang að gögnum sem enginn heimilaði, á kerfi sem enginn vissi að var tengt.
