थिंक २०२६ दरम्यान आयबीएमने सादर केलेल्या आकडेवारीनुसार, कॉर्पोरेट सिस्टीममध्ये नोंदणीकृत प्रत्येक मानवी ओळखीमागे, त्याच वातावरणात ४५ ते ९० अमानवी ओळखी कार्यरत असतात. यामध्ये सर्व्हिस अकाउंट्स, एपीआय कीज, ऑथेंटिकेशन टोकन्स आणि वाढत्या प्रमाणात एआय एजंट्सचा समावेश आहे, जे मानवी हस्तक्षेपाशिवाय निर्णय घेण्याच्या स्वायत्ततेसह सीआरएम, ईआरपी, डेटाबेस आणि ईमेल इनबॉक्समध्ये प्रवेश करतात.
हे प्रमाण नवीन नाही, पण गेल्या काही महिन्यांत जो बदल झाला आहे तो गुणात्मक आहे: एआय एजंट हे निष्क्रिय क्रेडेन्शियल्स नाहीत. ते तर्क करतात, नियोजन करतात, डझनभर सिस्टीम्सवर कृतींच्या क्रमांची अंमलबजावणी करतात आणि रनटाइमवर नवीन परवानग्यांची विनंती करू शकतात. आणि बहुतेक कंपन्यांची ओळख आणि प्रवेश व्यवस्थापन पायाभूत सुविधा अशा जगासाठी तयार केली गेली होती, जिथे फक्त माणसेच लॉग इन करत असत.
CISOs च्या IANS रिसर्च सर्वेक्षणात, AI-चालित जगासाठी ओळख हमीला या वर्षासाठी ५ पैकी ४.४६ गुण देऊन दुसरे सर्वोच्च प्राधान्य देण्यात आले, जे केवळ सुरक्षा टीममधील AI च्या वापराच्या मागे होते. जगातील सर्वात मोठ्या तंत्रज्ञान सल्लागार कंपन्यांपैकी एकाने २०२६ साठीच्या शीर्ष सहा सायबरसुरक्षा ट्रेंडमध्ये ओळख आणि प्रवेश व्यवस्थापनाला AI एजंट्सशी जुळवून घेण्याचा समावेश केला आहे, आणि असा इशारा दिला आहे की या समस्येकडे दुर्लक्ष केल्यास स्वायत्त एजंट्स अधिक प्रचलित झाल्यामुळे प्रवेश-संबंधित सुरक्षा घटनांमध्ये वाढ होईल.
या समस्येला विशेषतः कठीण बनवणारी गोष्ट ही आहे की, विद्यमान IAM प्रणाली अशा गृहितकांवर आधारित आहेत, जी स्वायत्त एजंटना लागू होत नाहीत. लोक ठराविक वेळी लॉग इन करतात, मर्यादित कालावधीचे सत्र (सेशन) सांभाळतात, त्यांच्या प्रवेशाचे वेळोवेळी पुनरावलोकन केले जाते आणि त्यांना बहुघटक प्रमाणीकरणाला (मल्टिफॅक्टर ऑथेंटिकेशन) सामोरे जावे लागू शकते.
एआय एजंट्स २४/७ मशीनच्या वेगाने काम करतात, विसंगती शोधण्यासाठी आधार म्हणून वापरता येतील असे वर्तणुकीचे नमुने त्यांच्याकडे नसतात आणि ते एमएफए (MFA) आव्हानाला प्रतिसाद देऊ शकत नाहीत. आयबीएमने (IBM) असे ओळखले आहे की ९२% कंपन्यांना मानवेतर ओळख आणि एआय एजंट्सशी संबंधित धोके व्यवस्थापित करण्यासाठी त्यांच्या स्वतःच्या जुन्या आयएएम (IAM) साधनांवर विश्वास नाही. ही एक टप्प्याटप्प्याने वाढणारी मर्यादा नाही: ही विद्यमान सुरक्षा रचना आणि स्वायत्त एजंट्सचा अवलंब करून कंपन्या निर्माण करत असलेले कार्यात्मक वास्तव यांच्यातील एक संरचनात्मक विसंगती आहे.
स्वायत्त एजंट्सचा प्रसार
डेलॉइटने, त्यांच्या २०२६ च्या 'स्टेट ऑफ एआय इन द एंटरप्राइज' अहवालात नमूद केले आहे की, केवळ २०२५ मध्येच कर्मचाऱ्यांचा एआय साधनांचा वापर ५०% नी वाढला आहे, परंतु या वापराचे निरीक्षण करण्यासाठी पाचपैकी केवळ एका कंपनीकडेच एक परिपक्व प्रशासकीय मॉडेल आहे. एजंटच्या बाजूने, ही वाढ आणखी तीव्र आहे. प्रत्येक नव्याने तैनात केलेला एजंट अनेक व्युत्पन्न ओळख, ॲक्सेस टोकन आणि बाह्य एपीआयशी कनेक्शन तयार करू शकतो. कॉल सोडवण्यासाठी कॉन्फिगर केलेला एकच ग्राहक सेवा एजंट, एका नियमित कामकाजात, शेकडो उप-एजंट तयार करू शकतो, ज्या प्रत्येकाकडे स्वतःची क्रेडेन्शियल्स आणि ॲक्सेसची व्याप्ती असते. जर यापैकी एखादा एजंट धोरणाबाहेरील परतावा देऊ लागला किंवा परवानगीशिवाय ग्राहकांच्या डेटामध्ये प्रवेश करू लागला, तर एक साधा पण अनेकदा अनुत्तरित प्रश्न निर्माण होतो: या एजंटला कोणी कॉन्फिगर केले, कोणत्या परवानग्या देण्यात आल्या आणि जे घडले त्यासाठी जबाबदार कोण आहे?
टोकन प्रसारावरील २०२६ च्या CSA विश्लेषणानुसार असे दिसून आले आहे की १६% पेक्षा जास्त कंपन्या AI एजंटशी संबंधित ओळखींच्या निर्मितीचा मागोवा देखील ठेवत नाहीत, याचा अर्थ मूलभूत साठा अस्तित्वातच नाही.
सर्व्हिस क्रेडेंशियल्स या दोन वेगवेगळ्या गोष्टी आहेत
पारंपारिक सेवा खाती पूर्वनिश्चित कार्ये एका निश्चित प्रवाहात पार पाडतात. एआय एजंट, व्याख्येनुसार, संभाव्यतेनुसार कार्य करतात: ते संदर्भाचा अर्थ लावतात, कृतींच्या क्रमावर निर्णय घेतात आणि त्यांच्या निर्मात्यांनी अपेक्षा न केलेल्या संसाधनांमध्ये प्रवेशाची विनंती करू शकतात. क्लाउड सिक्युरिटी अलायन्सने २०२६ मध्ये प्रकाशित केलेल्या एका श्वेतपत्रिकेत या गतिशीलतेचे वर्णन 'रनटाइमवर क्रेडेन्शियल्सचे स्वायत्त अधिग्रहण' असे केले आहे, ज्यासाठी मानवेतर ओळखींची कोणतीही पूर्वीची पिढी तयार नव्हती.
एजंटकडे असलेली ओळखपत्रे ही केवळ एक निष्क्रिय किल्ली नसून, संभाव्यतः अनपेक्षित परिणामांसह अनेक प्रणालींमध्ये कृतींची साखळी तयार करण्यास सक्षम असलेल्या कर्त्याची ती प्राथमिक ओळख आहे.
मानवी प्रवेशाचे संरक्षण करण्यासाठी मोठ्या प्रमाणावर स्वीकारलेली 'झिरो ट्रस्ट'ची संकल्पना, मानवेतर ओळख आणि एआय एजंट्सपर्यंत मूळतः विस्तारित करणे आवश्यक आहे. याचा अर्थ असा की, प्रत्येक एजंटला ओळख प्रणालीमध्ये एक प्रथम-श्रेणी घटक म्हणून मानले जाईल, ज्यामध्ये प्रत्येक कार्यासाठी ओळख तयार करणे आणि काढून टाकणे यासाठी डायनॅमिक प्रोव्हिजनिंग, प्रत्येक आवाहनावेळी सत्यापित केलेल्या धोरणांवर आधारित अधिकृतता, तपासण्यायोग्य प्रतिनिधी साखळीशी जोडलेल्या प्रत्येक कृतीची संपूर्ण शोधक्षमता आणि प्रणालीशी तडजोड झाल्यास परिणामाची व्याप्ती मर्यादित करण्यासाठी कार्यप्रवाहांचे विलगीकरण यांचा समावेश असेल.
काही विश्लेषक आधीपासूनच "गार्डियन एजंट" ही संज्ञा वापरतात; हे असे पर्यवेक्षकीय एजंट आहेत ज्यांचे कार्य इतर एजंट निर्धारित मर्यादेत काम करत आहेत की नाही यावर देखरेख ठेवणे आहे आणि ते प्रशासनाचा एक आवश्यक स्तर मानतात.
आयडेंटिटीच्या (ओळखीच्या) समस्येचे निराकरण न करता एआय एजंट्स तैनात करणाऱ्या कंपन्या, ऑटोमेशनची उभारणी अशा पायावर करत आहेत जो त्याला आधार देण्यासाठी तयार केलेला नाही. पुढील मोठे कॉर्पोरेट सुरक्षा उल्लंघन बहुधा एखाद्या अत्याधुनिक बाह्य हल्लेखोराकडून होणार नाही, तर ते अशा एका एआय एजंटकडून होईल ज्याला अवाजवी परवानग्या दिल्याचे कोणालाही आठवत नाही, जो कोणीही अधिकृत न केलेल्या डेटावर प्रवेश करत आहे आणि जो अशा सिस्टीमवर आहे जी जोडलेली आहे हे कोणालाही माहीत नव्हते.
