थिंक २०२६ को समयमा IBM ले प्रस्तुत गरेको तथ्याङ्क अनुसार, कर्पोरेट प्रणालीहरूमा दर्ता भएका प्रत्येक मानव पहिचानको लागि, उही वातावरणमा ४५ देखि ९० गैर-मानव पहिचानहरू सञ्चालनमा छन्। यसमा सेवा खाताहरू, API कुञ्जीहरू, प्रमाणीकरण टोकनहरू, र बढ्दो रूपमा, AI एजेन्टहरू समावेश छन् जसले CRM, ERP, डाटाबेसहरू, र इमेल इनबक्सहरूमा पहुँच गर्दछन् जसले मानव हस्तक्षेप बिना निर्णय लिन स्वायत्तता पाउँछन्।.
यो अनुपात नयाँ होइन, तर हालैका महिनाहरूमा परिवर्तन भएको कुरा गुणात्मक छ: एआई एजेन्टहरू निष्क्रिय प्रमाणहरू होइनन्। तिनीहरू तर्क गर्छन्, योजना बनाउँछन्, दर्जनौं प्रणालीहरूमा कार्यहरूको क्रम कार्यान्वयन गर्छन्, र रनटाइममा नयाँ अनुमतिहरू अनुरोध गर्न सक्छन्। र धेरैजसो कम्पनीहरूको पहिचान र पहुँच व्यवस्थापन पूर्वाधार यस्तो संसारको लागि डिजाइन गरिएको थियो जहाँ मानिसहरूले मात्र लग इन गर्छन्।.
CISO हरूको IANS अनुसन्धान सर्वेक्षणमा, AI-संचालित संसारको लागि पहिचान आश्वासनलाई यस वर्षको लागि दोस्रो उच्च प्राथमिकताको रूपमा स्थान दिइएको थियो, जसले ५ मध्ये ४.४६ अङ्क प्राप्त गर्यो, जुन सुरक्षा टोलीहरू भित्र AI को प्रयोगभन्दा पछाडि थियो। विश्वको सबैभन्दा ठूलो प्रविधि परामर्शदाताहरू मध्ये एकले २०२६ को लागि शीर्ष छ साइबर सुरक्षा प्रवृत्तिहरू मध्ये AI एजेन्टहरूमा पहिचान र पहुँच व्यवस्थापन अनुकूलन समावेश गर्यो, जसले चेतावनी दियो कि यस मुद्दालाई सम्बोधन गर्न असफल हुँदा स्वायत्त एजेन्टहरू बढी प्रचलित हुँदै जाँदा पहुँच-सम्बन्धित सुरक्षा घटनाहरूमा वृद्धि हुनेछ।.
यस मुद्दालाई विशेष गरी गाह्रो बनाउने कुरा के हो भने अवस्थित IAM प्रणालीहरू स्वायत्त एजेन्टहरूमा लागू नहुने धारणाहरूमा निर्मित थिए। मानिसहरू अनुमानित समयमा लग इन गर्छन्, सीमित अवधिको सत्रहरू कायम राख्छन्, आवधिक पहुँच समीक्षाहरूबाट गुज्रन्छन्, र बहु-कारक प्रमाणीकरणको अधीनमा हुन सक्छन्।.
एआई एजेन्टहरूले मेसिनको गतिमा २४/७ काम गर्छन्, विसंगति पत्ता लगाउनको लागि आधारभूत रूपमा काम गर्ने व्यवहारिक ढाँचाहरू बिना, र MFA चुनौतीको प्रतिक्रिया दिन सक्दैनन्। IBM ले पहिचान गरेको छ कि ९२% कम्पनीहरूले गैर-मानव पहिचान र एआई एजेन्टहरूसँग सम्बन्धित जोखिमहरू व्यवस्थापन गर्न आफ्नै लिगेसी IAM उपकरणहरूमा विश्वास गर्दैनन्। यो वृद्धिशील सीमा होइन: यो अवस्थित सुरक्षा वास्तुकला र स्वायत्त एजेन्टहरू अपनाएर कम्पनीहरूले सिर्जना गरिरहेको सञ्चालन वास्तविकता बीचको संरचनात्मक बेमेल हो।.
स्वायत्त एजेन्टहरूको प्रसार
डेलोइटले आफ्नो २०२६ को इन्टरप्राइज रिपोर्टमा एआईको अवस्था (State of AI in the Enterprise Report) मा पहिचान गरेको छ कि २०२५ मा मात्र एआई उपकरणहरूमा कामदारको पहुँच ५०% ले बढेको छ, तर पाँच मध्ये एउटा कम्पनीसँग मात्र यो प्रयोगको निरीक्षण गर्न परिपक्व शासन मोडेल छ। एजेन्ट पक्षमा, प्रसार अझ तीव्र छ। प्रत्येक नयाँ तैनाथ एजेन्टले धेरै व्युत्पन्न पहिचानहरू, पहुँच टोकनहरू, र बाह्य API हरूमा जडानहरू उत्पन्न गर्न सक्छ। कलहरू समाधान गर्न कन्फिगर गरिएको एकल ग्राहक सेवा एजेन्टले, नियमित सञ्चालनमा, सयौं उप-एजेन्टहरू उत्पन्न गर्न सक्छ, प्रत्येकको आफ्नै प्रमाणहरू र पहुँच स्कोपहरू छन्। यदि यी एजेन्टहरू मध्ये एकले नीति बाहिरको फिर्ता जारी गर्न वा प्राधिकरण बिना ग्राहक डेटा पहुँच गर्न थाल्छ भने, उत्पन्न हुने प्रश्न सरल छ, तर प्रायः अनुत्तरित छ: यो एजेन्टलाई कसले कन्फिगर गर्यो, कुन अनुमतिहरू प्रदान गरियो, र के भयो त्यसको लागि को जिम्मेवार छ?
टोकन प्रसारमा २०२६ को CSA विश्लेषणले १६% भन्दा बढी कम्पनीहरूले AI एजेन्टहरूसँग सम्बन्धित पहिचानको सिर्जनालाई पनि ट्र्याक गर्दैनन् भन्ने कुरा पत्ता लगायो, जसको अर्थ आधारभूत सूची अवस्थित नै हुँदैन।.
सेवा प्रमाणपत्रहरू एउटै कुरा होइनन्।
परम्परागत सेवा खाताहरूले निर्धारणात्मक प्रवाहहरूमा पूर्वनिर्धारित कार्यहरू कार्यान्वयन गर्छन्। परिभाषा अनुसार, एआई एजेन्टहरूले सम्भाव्य रूपमा कार्य गर्छन्: तिनीहरूले सन्दर्भको व्याख्या गर्छन्, कार्यको अनुक्रममा निर्णय गर्छन्, र तिनीहरूका सिर्जनाकर्ताहरूले अनुमान नगरेका स्रोतहरूमा पहुँच अनुरोध गर्न सक्छन्। २०२६ मा क्लाउड सुरक्षा गठबन्धन द्वारा प्रकाशित एक श्वेतपत्रले यो गतिशीलतालाई रनटाइममा प्रमाणहरूको स्वायत्त अधिग्रहणको रूपमा वर्णन गरेको थियो, जसको लागि गैर-मानव पहिचानको कुनै पनि अघिल्लो पुस्ता तयार गरिएको थिएन।.
एजेन्टसँग हुने प्रमाणहरू केवल एक निष्क्रिय कुञ्जी मात्र होइनन्, तर सम्भावित रूपमा अप्रत्याशित परिणामहरू सहित धेरै प्रणालीहरूमा कार्यहरू श्रृंखलाबद्ध गर्न सक्षम अभिनेताको प्राथमिक पहिचान हुन्।.
मानव पहुँचलाई सुरक्षित राख्न व्यापक रूपमा अपनाइएको शून्य ट्रस्टको अवधारणालाई गैर-मानव पहिचान र एआई एजेन्टहरूमा पनि विस्तार गर्न आवश्यक छ। यसको अर्थ पहिचान प्रणालीमा प्रत्येक एजेन्टलाई प्रथम श्रेणीको संस्थाको रूपमा व्यवहार गर्नु हो, जसमा प्रति कार्य पहिचान सिर्जना गर्ने र हटाउने गतिशील प्रावधान, प्रत्येक आह्वानमा प्रमाणित नीतिहरूमा आधारित प्राधिकरण, लेखापरीक्षण योग्य प्रतिनिधिमण्डल श्रृंखलासँग जोडिएको प्रत्येक कार्यको पूर्ण ट्रेसेबिलिटी, र सम्झौताको अवस्थामा प्रभावको दायरा सीमित गर्न कार्यप्रवाहहरूको अलगाव समावेश छ।.
केही विश्लेषकहरूले पहिले नै "अभिभावक एजेन्ट" शब्द प्रयोग गर्छन्, पर्यवेक्षक एजेन्टहरू जसको कार्य अन्य एजेन्टहरू परिभाषित सीमा भित्र काम गरिरहेका छन् कि छैनन् भनेर निगरानी गर्नु हो, शासनको आवश्यक तहको रूपमा।.
पहिचानको मुद्दालाई पहिले सम्बोधन नगरी एआई एजेन्टहरू तैनाथ गर्ने कम्पनीहरूले यसलाई समर्थन गर्न डिजाइन नगरिएका जगहरूमा स्वचालन निर्माण गरिरहेका छन्। अर्को प्रमुख कर्पोरेट सुरक्षा उल्लंघन सम्भवतः परिष्कृत बाह्य आक्रमणकारीबाट आउने छैन, तर अत्यधिक अनुमतिहरू भएको एआई एजेन्टबाट आउनेछ जुन कसैलाई याद छैन कन्फिगर गर्ने, कसैले अधिकृत नगरेको डेटा पहुँच गर्ने, कसैलाई थाहा नभएको प्रणालीमा जडान गरिएको छ भनेर।.
