کارپوریٹ سسٹمز میں رجسٹرڈ ہر انسانی شناخت کے لیے، تھنک 2026 کے دوران IBM کے پیش کردہ ڈیٹا کے مطابق، اسی ماحول میں 45 سے 90 کے درمیان غیر انسانی شناختیں کام کر رہی ہیں۔ ان میں سروس اکاؤنٹس، API کیز، تصدیقی ٹوکنز، اور تیزی سے، AI ایجنٹس جو CRMs تک رسائی حاصل کرتے ہیں، ERPs، ERPs اور ای میلز میں ڈیٹا کے بغیر خود کار طریقے سے فیصلہ کرتے ہیں۔ مداخلت.
تناسب نیا نہیں ہے، لیکن حالیہ مہینوں میں جو کچھ بدلا ہے وہ قابلیت ہے: AI ایجنٹس غیر فعال اسناد نہیں ہیں۔ وہ درجنوں سسٹمز میں کارروائیوں کی ترتیب، منصوبہ بندی، ان پر عملدرآمد کرتے ہیں، اور رن ٹائم پر نئی اجازتوں کی درخواست کر سکتے ہیں۔ اور زیادہ تر کمپنیوں کی شناخت اور رسائی کے انتظام کے بنیادی ڈھانچے کو ایک ایسی دنیا کے لیے ڈیزائن کیا گیا تھا جہاں صرف لوگ لاگ ان ہوتے ہیں۔.
CISOs کے IANS ریسرچ سروے میں، AI سے چلنے والی دنیا کے لیے شناخت کی یقین دہانی کو اس سال کے لیے دوسری سب سے بڑی ترجیح قرار دیا گیا، جس نے 5 میں سے 4.46 اسکور کیے، صرف سیکیورٹی ٹیموں کے اندر AI کے استعمال کے پیچھے۔ دنیا کی سب سے بڑی ٹیکنالوجی کنسلٹنسیوں میں سے ایک میں 2026 کے لیے سائبر سیکیورٹی کے سرفہرست 6 رجحانات میں سے AI ایجنٹوں تک شناخت اور رسائی کا انتظام شامل ہے، جس نے خبردار کیا ہے کہ اس مسئلے کو حل کرنے میں ناکامی رسائی سے متعلق سیکیورٹی کے واقعات میں اضافے کا باعث بنے گی کیونکہ خود مختار ایجنٹس زیادہ مقبول ہو جاتے ہیں۔.
جو چیز اس مسئلے کو خاص طور پر مشکل بناتی ہے وہ یہ ہے کہ موجودہ IAM سسٹم ان مفروضوں پر بنائے گئے تھے جو خود مختار ایجنٹوں پر لاگو نہیں ہوتے ہیں۔ لوگ متوقع اوقات میں لاگ ان ہوتے ہیں، محدود مدت کے سیشنز کو برقرار رکھتے ہیں، وقتاً فوقتاً رسائی کے جائزوں سے گزرتے ہیں، اور ملٹی فیکٹر تصدیق کے تابع ہو سکتے ہیں۔.
AI ایجنٹس مشین کی رفتار سے 24/7 کام کرتے ہیں، رویے کے نمونوں کے بغیر بے ضابطگی کا پتہ لگانے کے لیے بنیادی لائن کے طور پر کام کرتے ہیں، اور MFA چیلنج کا جواب نہیں دے سکتے۔ IBM نے شناخت کیا ہے کہ 92% کمپنیاں غیر انسانی شناختوں اور AI ایجنٹوں سے وابستہ خطرات کو سنبھالنے کے لیے اپنے ہی لیگیسی IAM ٹولز پر بھروسہ نہیں کرتی ہیں۔ یہ کوئی بڑھتی ہوئی حد نہیں ہے: یہ موجودہ سیکورٹی فن تعمیر اور اس آپریشنل حقیقت کے درمیان ایک ساختی مماثلت ہے جو کمپنیاں خود مختار ایجنٹوں کو اپنا کر تخلیق کر رہی ہیں۔.
خود مختار ایجنٹوں کا پھیلاؤ
ڈیلوئٹ نے اپنی 2026 اسٹیٹ آف اے آئی انٹرپرائز رپورٹ میں نشاندہی کی ہے کہ صرف 2025 میں AI ٹولز تک کارکنوں کی رسائی میں 50 فیصد اضافہ ہوا ہے، لیکن اس استعمال کی نگرانی کے لیے پانچ میں سے صرف ایک کمپنی کے پاس گورننس کا بالغ ماڈل ہے۔ ایجنٹ کی طرف، پھیلاؤ اور بھی زیادہ شدید ہے۔ ہر نیا تعینات کیا گیا ایجنٹ متعدد اخذ کردہ شناختیں، رسائی ٹوکنز، اور بیرونی APIs سے کنکشن بنا سکتا ہے۔ کالز کو حل کرنے کے لیے ترتیب دیا گیا ایک واحد کسٹمر سروس ایجنٹ، ایک معمول کے آپریشن میں، سینکڑوں ذیلی ایجنٹس تیار کر سکتا ہے، ہر ایک اپنی اپنی اسناد اور رسائی کے دائرہ کار کے ساتھ۔ اگر ان ایجنٹوں میں سے کوئی ایک غیر پالیسی ریفنڈ جاری کرنا شروع کر دیتا ہے یا اجازت کے بغیر کسٹمر کے ڈیٹا تک رسائی حاصل کرنا شروع کر دیتا ہے، تو جو سوال ابھرتا ہے وہ آسان ہے، لیکن اکثر جواب نہیں دیا جاتا: اس ایجنٹ کو کس نے تشکیل دیا، کیا اجازتیں دی گئیں، اور جو ہوا اس کا ذمہ دار کون ہے؟
ٹوکن کے پھیلاؤ پر 2026 کے CSA تجزیہ سے یہ بات سامنے آئی ہے کہ 16% سے زیادہ کمپنیاں AI ایجنٹوں سے وابستہ شناختوں کی تخلیق کا بھی پتہ نہیں لگاتی ہیں، یعنی بنیادی انوینٹری ہی موجود نہیں ہے۔.
سروس کی اسناد ایک ہی چیز نہیں ہیں۔
روایتی سروس اکاؤنٹس مقررہ بہاؤ میں پہلے سے طے شدہ کاموں کو انجام دیتے ہیں۔ AI ایجنٹس، تعریف کے مطابق، ممکنہ طور پر کام کرتے ہیں: وہ سیاق و سباق کی تشریح کرتے ہیں، کارروائی کے سلسلے کا فیصلہ کرتے ہیں، اور ان وسائل تک رسائی کی درخواست کر سکتے ہیں جن کی ان کے تخلیق کاروں نے توقع نہیں کی تھی۔ 2026 میں کلاؤڈ سیکیورٹی الائنس کے ذریعہ شائع کردہ ایک وائٹ پیپر نے اس متحرک کو رن ٹائم کے وقت اسناد کے خود مختار حصول کے طور پر بیان کیا، جس کے لیے غیر انسانی شناخت کی کوئی پچھلی نسل تیار نہیں کی گئی تھی۔.
ایک ایجنٹ کے پاس جو اسناد ہوتی ہیں وہ محض ایک غیر فعال کلید نہیں ہوتیں، بلکہ ایک اداکار کی بنیادی شناخت ہوتی ہے جو ممکنہ طور پر غیر متوقع نتائج کے ساتھ متعدد سسٹمز میں کارروائیوں کو زنجیروں میں باندھنے کی صلاحیت رکھتی ہے۔.
زیرو ٹرسٹ کا تصور، جو انسانی رسائی کے تحفظ کے لیے وسیع پیمانے پر اپنایا گیا ہے، اسے مقامی طور پر غیر انسانی شناختوں اور AI ایجنٹوں تک پھیلانے کی ضرورت ہے۔ اس کا مطلب شناخت کے نظام میں ہر ایجنٹ کے ساتھ فرسٹ کلاس ہستی کے طور پر برتاؤ کرنا ہے، متحرک فراہمی کے ساتھ جو ہر کام کی شناخت تخلیق اور ہٹاتی ہے، ہر درخواست پر تصدیق شدہ پالیسیوں کی بنیاد پر اجازت، قابل سماعت وفد کے سلسلہ سے منسلک ہر عمل کی مکمل ٹریس ایبلٹی، اور کام کے بہاؤ کو الگ تھلگ کر کے سمجھوتے کے دائرے میں اثر کو محدود کرنا۔.
کچھ تجزیہ کار پہلے سے ہی اصطلاح "سرپرست ایجنٹوں"، نگران ایجنٹوں کا استعمال کرتے ہیں جن کا کام نگرانی کرنا ہے کہ آیا دوسرے ایجنٹ مقررہ حدود میں کام کر رہے ہیں، گورننس کی ایک ضروری پرت کے طور پر۔.
شناخت کے مسئلے کو حل کیے بغیر AI ایجنٹوں کو تعینات کرنے والی کمپنیاں ان بنیادوں پر آٹومیشن بنا رہی ہیں جو اس کی حمایت کے لیے تیار نہیں کی گئی ہیں۔ اگلی بڑی کارپوریٹ سیکیورٹی کی خلاف ورزی ممکنہ طور پر کسی نفیس بیرونی حملہ آور کی طرف سے نہیں ہوگی، بلکہ ضرورت سے زیادہ اجازتوں کے ساتھ ایک AI ایجنٹ کی طرف سے ہوگی جسے کسی کو ترتیب دینا، ڈیٹا تک رسائی حاصل کرنا جس کی کسی نے اجازت نہیں دی، ایک ایسے سسٹم پر جس کے بارے میں کوئی نہیں جانتا تھا کہ منسلک ہے۔.
