قادة الفكر
ما وراء الإنسان: تأمين الذكاء الاصطناعي العامل والهويات غير البشرية في عالم يعتمد على الاختراقات
إذا كنت قد كنت بالقرب من مركز عمليات الأمن للمؤسسة في过去 18 شهرًا ، فقد رأيت ذلك. التنبيهات التي لا ترتبط بشخص. بيانات الاعتماد التي تنتمي إلى “شيء” ، وليس “شخص”. التأتمات التي تتحرك بسرعة أكبر من سجل إجراءات الاستجابة للطوارئ الخاص بك.
ومؤخرًا ، لم يكن الأمر مجرد ضجيج ، بل هو السبب الجذري لأكبر العناوين في صناعتنا. من حادثة فيكتوريا سيكрет التي أضرت بالمبيعات وأدت إلى دعوى جماعية ، إلى التنازلات السحابية متعددة المستأجرين التي كشفت عن بيانات حساسة عبر العملاء ، يزداد عدد الاختراقات التي تنشأ من هويات لا نراها أو لا نتبعها أو ن理解ها بشكل كاف.
ازدادت حادثة أوبر و كلاود فلير إلى حدوث اختراقات في حسابات الآلة – النوع الذي لا يتلقى محاكاة_phishing ولكن يمكنه فتح البنية التحتية الحيوية.
ماذا نعني بـ “الذكاء الاصطناعي العامل”
يعود الذكاء الاصطناعي العامل إلى وكلاء الذكاء الاصطناعي الذين يمكنهم اتخاذ الأهداف والتنفيذ المستقل لمهام متعددة الخطوات ، غالبًا عبر أنظمة متعددة ، دون إشراف بشري.
-
يمكنهم الاتصال بواجهات برمجة التطبيقات ، وتحديث قواعد البيانات ، أو تشغيل سير عمل.
-
يعمل بسرعة الآلة – ثوان ، وليس دقائق.
-
المخاطر: حقن البرمجة ، بيانات التدريب المسمومة ، بيانات الاعتماد المسروقة.
المقياس الذي نتعامل معه
تعد هويات الآلة بالفعل أكثر من هويات البشر في معظم المؤسسات ، وفي بعض الحالات بنسبة 20: 1 أو أكثر. ومن المتوقع أن يتضاعف هذا النسبة تقريبًا بحلول عام 2026. توجد هذه الهويات غير البشرية في حمولات السحابة الخاصة بك ، وخطوط أنابيب CI/CD ، وتكاملات واجهة برمجة التطبيقات ، والآن تقود التأتمات القائمة على LLM.
التحدي: تم بناء معظم أنظمة إدارة الهوية لتدارة الأشخاص ، وليس الآلات.
-
الحسابات التي لا تملك مالكًا واضحًا.
-
بيانات الاعتماد الثابتة التي لا تنتهي صلاحيتها أبدًا.
-
الامتيازات التي تتجاوز ما هو ضروري.
ليس هذا أمرًا افتراضيًا. تم إرجاع الاختراقات في أوبر و كلاود فلير إلى حسابات الآلة المخترقة – النوع الذي لا يتلقى محاكاة_phishing ولكن يمكنه فتح البنية التحتية الحيوية.
الذكاء الاصطناعي العامل: مضاعف خطر
من ناحية ، يعد الذكاء الاصطناعي العامل مغيرًا تشغيليًا. ومن ناحية أخرى ، إذا تم اختراق الوصول إليه ، فستتمكن التأتمات من تشغيلها لصالح الخصم.
نظرًا إلى:
-
يمكن للوكيل الذكاء الاصطناعي الذي لديه صلاحيات القراءة والكتابة لتطبيقات SaaS أن يautomate سرقة البيانات دون أن يثير الكشف عن الشذوذ المعتمد على الإنسان.
-
إذا كان نفس الوكيل يمكن أن يغير أدوار إدارة الهوية أو ينشر موارد السحابة ، فستتمكن من تعزيز الامتيازات تلقائيًا.
-
هجمات حقن البرمجة وتسميم النموذج يعني أن المهاجمين يمكنهم إعادة توجيه وكلاء الذكاء الاصطناعي دون سرقة بيانات الاعتماد الخاصة بهم.
لقد رأينا مدى خطورة حساب الخدمة غير المدارة. والآن ، اشرح لهذا الحساب القدرة على اتخاذ القرارات ، ويتضاعف الرهان.
دراسات الحالة: تحقيقات الاختراق في عصر الذكاء الاصطناعي + الهوية غير البشرية
فيكتوريا سيكрет (مايو 2025)
خلال عطلة نهاية الأسبوع التذكارية ، أزالت فيكتوريا سيكрет موقعها على الإنترنت في الولايات المتحدة وخدماتها في بعض المحلات في ما بدا أنه حادث من نوع الرansomware (The Hacker News ، Bitdefender). استمرت الفترة الزمنية للاختراق لعدة أيام وساهمت في انخفاض قدره 20 مليون دولار في إيرادات الربع الثاني. وتزعم دعوى جماعية لاحقة أن البائع التجزئي فشل في تشفير البيانات الحساسة ، وتخطى تدقيقا أمنيا حاسما ، واهمل تدريبا أمنيا للموظفين (Top Class Actions) ، كل ذلك من الثغرات التي غالبًا ما تظهر في هويات غير بشرية (NHIs) مع امتيازات الوصول.
اختراق جوجل سيلز فورس (يونيو 2025)
في يونيو ، حصل المهاجمون المرتبطون بمجموعة الشنق (ITPro). بمجرد دخولهم ، سرقوا بيانات الاتصال التابعة للعملاء من الشركات الصغيرة والمتوسطة الحجم. بينما بدأ هذا بالهندسة الاجتماعية الموجهة للإنسان ، كان نقطة الانعطاف تطبيقًا متصلاً – نوعًا من هوية الآلة – سمح للمتسللين بالتحرك جانبيًا دون أن يثير تحليلات سلوك المستخدم.
تعطيلات التجزئة والعلامات التجارية الفاخرة (M&S ، كارتير ، ذا نورث فيس)
موجة من الهجمات على تجار التجزئة الكبار ، بما في ذلك ذا نورث فيس وكارتير ، كشفت عن أسماء العملاء والبريد الإلكتروني وبيانات حسابية محددة (Sangfor ، WSJ). كان ماركس أند سبنسر قد تعرض لضربة قاسية ، حيث أدى هجوم رانسوموير وهجوم سلسلة التوريد إلى تعطيل خدمات Click-and-Collect لمدة أكثر من 15 أسبوعًا ويُقدر أن التكلفة قد بلغت 300 مليون جنيه إسترليني. في كل حالة ، أصبحت التكاملات الخارجية ووصلات واجهة برمجة التطبيقات ، غالبًا ما تدعمها هويات غير بشرية (NHIs) ، منشطات خفية للمهاجمين.
ما هي الهوية غير البشرية (NHI)؟
تعد الهويات غير البشرية بيانات الاعتماد وال حسابات المستخدمة من قبل الآلات ، وليس الأشخاص. أمثلة:
-
حسابات الخدمة لقواعد البيانات أو التطبيقات.
-
مفاتيح واجهة برمجة التطبيقات لتكامل السحابة إلى السحابة.
-
بيانات اعتماد الروبوتات لنصوص التأتمات.
المخاطر: امتيازات زائدة ، ومراقبة ناقصة ، وغالبًا ما تظل نشطة لفترة طويلة بعد الاستخدام.
لماذا الحوكمة متأخرة
حتى برامج إدارة الهوية الناضجة تواجه عقبات هنا:
-
فجوات الاكتشاف – لا يمكن للعديد من المنظمات إنتاج قائمة شاملة من الهويات غير البشرية.
-
إهمال دورة الحياة – غالبًا ما تظل الهويات غير البشرية لسنوات ، دون مراجعة منتظمة.
-
فراغات المسؤولية – بدون مالك بشري ، يمر إصلاح الهوية عبر الشقوق.
-
امتيازات متزايدة – تتراكم الأذونات مع تغيير الأدوار ، ولكن إلغاء الصلاحيات يأتي متأخرًا.
هذا ليس مشكلة افتراضية. تم إرجاع الاختراقات في أوبر و كلاود فلير إلى حدوث اختراقات في حسابات الآلة – النوع الذي لا يتلقى محاكاة_phishing ولكن يمكنه فتح البنية التحتية الحيوية.
دليل بلايبوك للبائعين لتأمين الهويات غير البشرية ووكلاء الذكاء الاصطناعي
-
اكتشاف شاملة – رسم خريطة لجميع الهويات غير البشرية ووكلاء الذكاء الاصطناعي ، بما في ذلك الامتيازات ، والمالكون ، والتكاملات.
-
تعيين المالك البشري – جعل شخص ما مسؤولاً عن دورة حياة كل هوية غير بشرية.
-
فرض الامتياز الأدنى – مطابقة الأذونات للاستخدام الفعلي ؛ إزالة الفائض.
-
تأتمات صحة بيانات الاعتماد – تدوير المفاتيح ، استخدام الرموز المؤقتة ، انتهاء صلاحية الحسابات غير النشطة تلقائيًا.
-
مراقبة مستمرة – اكتشاف الشذوذ مثل مكالمات واجهة برمجة التطبيقات غير المتوقعة أو تعزيز الامتيازات.
-
تكامل حوكمة الذكاء الاصطناعي – معاملة وكلاء الذكاء الاصطناعي مثل مسؤولي الامتياز العالي: تسجيل النشاط ، فرض السياسة ، تمكين الوصول في الوقت المناسب.
(تتوافق هذه الخطوات مع إطار العمل الأمني للسيبرانية NIST ، مراقبة إدارة الحسابات CIS ، وأفضل الممارسات الناشئة IVIP من Gartner.)
لماذا يجب أن يحدث هذا الآن
ليس هذا مجرد مطاردة لاتجاه الذكاء الاصطناعي. إنه حول الاعتراف بأن محيط الهوية قد تحول من الأشخاص إلى العمليات. يعرف المهاجمون هذا. إذا استمرنا في معاملة هويات الآلة كأمر ثانوي ، فإننا نمنح الخصوم نقطة عمياء يحتاجونها للعمل دون الكشف.
الفرق الذي سيبقى في المقدمة هو الذي يجعل حوكمة الهوية غير البشرية ووكيل الذكاء الاصطناعي عنصرًا من عناصر أمان الهوية من الدرجة الأولى ، مع وجود رؤية وملكية و kỷ律 دورة الحياة قبل أن يضطر الاختراق القادم إلى إجبار القضية.
