في حين أنه قد يبدو أن الذكاء الاصطناعي يعرقل استراتيجيات الأمن السيبراني من خلال تسريع تهديد نقاط ضعف النظام، فإن مسؤولي أمن المعلومات يستخدمون أيضًا الذكاء الاصطناعي لتعزيز وضعهم الأمني. ولكن بدون وجود حواجز حماية، فإن انتشار وكلاء الذكاء الاصطناعي داخل المؤسسات يمكن أن يخلق مشاكل حول إدارة الهوية ويترك عملاء الذكاء الاصطناعي “اليتامى” مع إمكانية الوصول غير المقيد إلى البيانات الخاصة.
يواجه مدراء تكنولوجيا المعلومات تحديًا معقدًا في إدارة الهوية لا يشمل المستخدمين البشريين فحسب، بل يشمل أيضًا وكلاء الذكاء الاصطناعي الذين يقومون بإنشائهم، وفي بعض الأحيان يغادرون عند انتقالهم إلى مؤسسات أخرى.
“الخطر هو أن الناس يبدأون في الانتشار كثيرًا [AI agents] قال أتيكوس تايسن، رئيس قسم تكنولوجيا المعلومات ورئيس قسم تكنولوجيا المعلومات في شركة Intuit:
استعرض تايسن المجالات الأربعة التي يؤثر فيها الذكاء الاصطناعي على أمن المؤسسة. المجالات الثلاثة الأولى مألوفة: يمكن استخدام الذكاء الاصطناعي لتعزيز الهجمات ضد الشركات؛ فهو يخلق أسطح هجوم جديدة عندما تنشرها الشركات، ويمنح المدافعين أدوات جديدة لمواجهة تلك التهديدات. الرابع، حوكمة الذكاء الاصطناعي، حيث يؤدي انتشار عملاء الذكاء الاصطناعي إلى خلق مشاكل مختلفة.
“هذا لا يتعلق بالتحكم في استخدام [AI]ولكن المزيد حول “كيف يمكنك تمكين الاستخدام المناسب لـ MCP وتمكين الأشخاص من إنتاج عوامل يشاركونها مع الآخرين؟”، قال تايسن.
أتيكوس تايسن، رئيس قسم تكنولوجيا المعلومات ورئيس قسم تكنولوجيا المعلومات في شركة Intuit
إن ظهور وكلاء الذكاء الاصطناعي يشكل تحديًا لإدارة الهوية
أحد جوانب حوكمة الذكاء الاصطناعي القوية هو إدارة الهوية لوكلاء الذكاء الاصطناعي داخل المؤسسة.
وقال تايسن إنه على الرغم من أن الموظف قد يكون لديه نوايا حسنة في إطلاق وكيل جديد للذكاء الاصطناعي، إلا أن ضوابط الوصول الفضفاضة يمكن أن تصبح مشكلة بسرعة. وقال: “إذا كان لديهم هم أنفسهم أذونات واسعة النطاق، ثم يمنحون الوكيل أذونات واسعة النطاق، فيمكن للوكيل بعد ذلك القيام بأشياء غير متوقعة بهذه الأذونات. وهذا ليس ممثلًا سيئًا. هذا ممثل جيد لا يعرف كيفية التحكم في ما يبنيه”.
قال والي داليريمبل، كبير مسؤولي تكنولوجيا المعلومات في شركتي الاختبارات الأكاديمية ETS وPSI، إن إحدى أكبر المخاطر الناجمة عن الذكاء الاصطناعي هي إدارة الهوية.
وقال: “كيف ستديرون هويات آلة إلى آلة عندما لم يتم تصميمكم قط لإدارة هويات آلة إلى آلة؟ لم نكن منظمين بهذه الطريقة. الهوية هي المحيط الجديد”.
وأوضح Dalyrymple أن وكلاء الذكاء الاصطناعي يستخدمون الآن الهويات التنظيمية للوصول إلى حسابات الخدمة التي لا يتم تعيينها دائمًا لشخص ما. وقال إنه قد يتم تعيين هوية لفريق داخل قسم تكنولوجيا المعلومات أو قسم الأمن، و”الآن تتفاعل حسابات الخدمة هذه مع العملاء، ويحدث ذلك بسرعة كبيرة خلف الكواليس، وعلى هذا النطاق الكبير”. قد يستخدم وكيل الذكاء الاصطناعي هوية المجموعة لإكمال مهمة أو مشاركة الهويات مع وكلاء آخرين، على سبيل المثال.
“تتمتع الهويات بإمكانية الوصول إلى البيانات – يمكن أن تكون بيانات تحديد الهوية الشخصية أو بيانات الرعاية الصحية أو الموارد البشرية. ما هو الوصول الذي يتمتع به الوكيل، والأهم من ذلك، من يملك هذا الوكيل؟” قال.
وأوضح داليريمبل أن ما يزيد الأمر تعقيدًا هو أن الموظف قد يغادر المؤسسة بعد إنشاء عشرات الوكلاء، مما يترك المنظمة لتعطيل حساب الموظف السابق وحسابات كل وكيل أنشأه ذلك الشخص. وقال إن أدوات إدارة الهوية والوصول التقليدية لا تعرف كيفية إدارة عملاء الذكاء الاصطناعي.
والي داليريمبل، CISO، ETS وPSI
إدارة تمدد الوكيل
عندما يقوم Dalyrymple وفريقه بإجراء تقييمات المخاطر لمشاريع المؤسسة الجديدة، يتضمن جزء من هذه العملية إنشاء خطة لإدارة انتشار الوكلاء.
وقال داليريمبل: “علينا أن نتعامل مع كل عميل على أنه هويته الخاصة”. هذه ليست عملية فردية – حيث يقوم فريقه بالتحقق باستمرار مع فرق المشروع لمعرفة ما إذا كان نطاق المشروع قد تغير ولتقييم مدى تأثير ذلك على إدارة الوكلاء الجدد.
إحدى الطرق التي يدير بها فريق Dalyrymple هويات عملاء الذكاء الاصطناعي هي باستخدام شهادة وكيل منظمة العفو الدولية، وهي طريقة تشفير لإثبات هوية الوكيل ومكافحة الانجراف والتحكم في الاستقلالية وتأمين التعاون بين الوكلاء.
وفقًا لراجافايا أفولا، القائد الهندسي والمهندس المعماري في شركة الأمن Palo Alto Networks، تعد شهادة الذكاء الاصطناعي عملية مهمة للتحقق من إمكانية الوثوق بعملاء الذكاء الاصطناعي في حالتهم الحالية، مع تطورهم بمرور الوقت. وقال إن التصديق يقيم “هوية الوكيل ودوره، والنموذج وإصدار التكوين، وسلامة الذاكرة والسياق، ودرجة الثقة وإشارات السلوك، وصحة البيئة والتبعية”.
حتى وقت قريب، كان التعريف التقليدي لمرونة الأمن السيبراني هو ما إذا كان بإمكان مدراء تكنولوجيا المعلومات اكتشاف الاختراق والتعافي منه بسرعة كافية دون إلحاق ضرر كبير بالمؤسسة، كما قال رافي سوين، مدير تكنولوجيا المعلومات ومدير أمن المعلومات في Smartsheet.
“يجب على المرونة الآن أن تجيب على سؤال ثانٍ، وهو ليس فقط هل يمكننا التعافي، ولكن هل نعرف حتى ما الذي يغادر أو يحدث بالفعل داخل بيئتنا الآن، وتحت أي أذونات ولماذا؟” قال سوين.
رافي سوين، رئيس قسم تكنولوجيا المعلومات ورئيس قسم تكنولوجيا المعلومات في Smartsheet
وقال إن نهج Smartsheet تجاه تحدي وكيل الذكاء الاصطناعي هو Smart Hub، وهو عبارة عن لوحة تحكم مركزية لإدارة أدوات الذكاء الاصطناعي، حيث “يتم تكوين كل وكيل ذكاء اصطناعي في البيئة وامتلاكه ومراقبته … مع إمكانية رؤية كل وكيل في مكان واحد”.
وقال سوين: “نحن نقوم بتعريف هوية الوكيل كمستودع داخل مستودع الشركة، حيث يكون لديك قائمة بكل وكيل موجود، ويتم تحديد كل MCP يعمل داخل الشركة، ولدينا تلك الهيكلية”.
يجب أن تكون المؤسسات قادرة على الإجابة على ثلاثة أسئلة رئيسية حول وكلاء الذكاء الاصطناعي: ما هي الإجراءات التي يتخذونها داخل المؤسسة، وعبر أي أنظمة، وتحت أي ظروف. وقال: “إذا لم تتمكن من الإجابة على ذلك، فأنت غير قادر على الصمود”.
كيف تتعامل مؤسستك مع إدارة هوية وكلاء الذكاء الاصطناعي؟ اسمحوا لنا أن نعرف في [email protected].
