قادة الفكر
ما وراء الإنسان: تأمين الذكاء الاصطناعي والهويات غير البشرية في عالم مدفوع بالخرق
أضف Unite.AI إلى مصادرك المفضلة على Google
إذا كنت قد كنت في أي مكان بالقرب من مركز عمليات الأمن في المؤسسة خلال الأشهر الثمانية عشر الماضية ، فقد رأيت ذلك. التنبيهات التي لا تتوافق مع شخص. بيانات الاعتماد التي تنتمي إلى “شيء” ، وليس “شخص”. التأتمت التي تتحرك بسرعة أكبر من书 العودة السريعة يمكنها الحفاظ عليها.
ومؤخرًا ، لم يكن الأمر فقط ضوضاء ، بل هو السبب الجذري لأكبر العناوين في صناعتنا. من حادثة فيكتوريا سيكريت الإلكترونية التي أوقفت موقعها على الإنترنت في الولايات المتحدة و一些 خدمات التجزئة ، والتي أدت إلى إجراء قانوني جماعي ، إلى انتهاكات متعددة في السحابة التي كشفت عن بيانات حساسة عبر العملاء ، يصدر عدد متزايد من الخرق الآن من هويات لا يمكننا رؤيتها أو تتبعها أو فهمها بشكل جيد.
ازدادت حادثة الذكاء الاصطناعي ، والنظم المستقلة التي يمكنها العمل عبر التطبيقات وواجهات برمجة التطبيقات والبنية التحتية ، وتلاطمت مع انفجار الهويات غير البشرية (NHI) ، بما في ذلك حسابات الخدمة وботات ومفاتيح وصول الآلة. معًا ، أنشأوا سطحًا جديدًا للهجوم يتوسع بسرعة أكبر من معظم المنظمات يمكنها تأمينه.
ما نقصده ب “الذكاء الاصطناعي العامل”
يشير الذكاء الاصطناعي العامل إلى وكلاء الذكاء الاصطناعي الذين يمكنهم اتخاذ الأهداف والتنفيذ المستقل للمهام متعددة الخطوات ، غالبًا عبر أنظمة متعددة ، دون إشراف بشري.
-
يمكن أن يدعو واجهات برمجة التطبيقات أو تحديث قواعد البيانات أو تشغيل سير العمل.
-
يعمل بسرعة الآلة – ثوان ، وليس دقائق.
-
المخاطر: حقن البرمجة ، بيانات التدريب الملوثة ، بيانات الاعتماد المسروقة.
المقياس الذي نتعامل معه
الهويات الآلية تفوق بالفعل عدد البشر في معظم المؤسسات ، وفي بعض الحالات بنسبة 20: 1 أو أكثر. بحلول عام 2026 ، من المتوقع أن يزداد هذا النسبة تقريبًا. هذه الهويات غير البشرية موجودة في عملاء السحابة وخطوط أنابيب CI/CD وتكاملات واجهة برمجة التطبيقات ، والآن تقودها آليات التأتمت القائمة على LLM.
التحدي: معظم أنظمة إدارة الهوية تم بناؤها لإدارة الأشخاص ، وليس الآلات.
-
الحسابات التي لا تملك مالكًا واضحًا.
-
بيانات الاعتماد الثابتة التي لا تنتهي أبدًا.
-
الصلاحيات التي تتجاوز ما هو ضروري.
ليس هذا افتراضيًا. تمت إثبات انتهاكات في أوبر وكلوفلاير إلى حسابات الآلة المخترقة – النوع الذي لا يتلقى محاكاة الاختراق أبدًا ولكن يمكنه فتح البنية التحتية الحيوية.
الذكاء الاصطناعي العامل: مضاعف القوة للخطر
من ناحية ، الذكاء الاصطناعي العامل هو مغير لعبة تشغيلي. من ناحية أخرى ، إذا تمت اختراق الوصول إليه ، فستتمكن التأتمت من تشغيلها لصالح العدو.
نظرًا إلى:
-
وكيل ذكاء اصطناعي مع حقوق قراءة / كتابة للتطبيقات السحابية يمكنه تautomate سرقة البيانات دون إثارة الكشف عن الشذوذ البشري.
-
إذا كان الوكيل نفسه يمكنه تعديل أدوار إدارة الهوية أو نشر موارد السحابة ، فستتمتع بترقية الصلاحيات تلقائيًا.
-
هجمات حقن البرمجة وسموم النموذج تعني أن المهاجمين يمكنهم إعادة توجيه وكيل الذكاء الاصطناعي دون سرقة بيانات الاعتماد.
لقد رأينا مدى خطورة حساب الخدمة غير المدارة. الآن ، امنح هذا الحساب القدرة على اتخاذ القرارات ، ويتضاعف الرهان.
دراسات الحالة: تحقيقات خرق في عصر الذكاء الاصطناعي + NHI
فيكتوريا سيكريت (مايو 2025)
خلال عطلة نهاية الأسبوع التذكارية ، أوقفت فيكتوريا سيكريت موقعها على الإنترنت في الولايات المتحدة وخدمات التجزئة في ما بدا أنه حادث من نوع الفدية (رويترز ، وايرد). استمرت الفترة الزمنية للاختراق لعدة أيام وساهمت في انخفاض قيمته المقدرة بنحو 20 مليون دولار في إيرادات الربع الثاني. يزعم قانون جماعي لاحق أن التاجر فشل في تشفير البيانات الحساسة ، وتجاوز التحقيقات الأمنية الحاسمة ، واهمل تدريب أمن الموظفين (توب كلاس أكشنز) ، كل ذلك من الثغرات التي تعكس عادة الضعف في الهويات غير البشرية غير المدارة ذات الوصول المتميز.
مهاجمة جوجل سيلز فورس (يونيو 2025)
في يونيو ، حصل المهاجمون المرتبطون بمجموعة الشيني هانترز (UNC6040) على الوصول إلى مثيل شركة جوجل للبيع بالتجزئة عبر تقنيات الفيشينغ الصوتي (إيت برو). بمجرد دخولهم ، سرقوا بيانات الاتصال التي تنتمي إلى عملاء الأعمال الصغيرة والمتوسطة. بينما بدأ هذا بالهندسة الاجتماعية المستهدفة للإنسان ، كان نقطة الانطلاق تطبيقًا متصلاً – نوعًا من هوية الآلة – سمح للمتسللين بالتحرك جانبيًا دون إثارة تحليل السلوك المستند إلى المستخدم.
الluxury & Retail Brand Outages (M&S, Cartier, The North Face)
موجة من الهجمات على تجار التجزئة الكبار ، بما في ذلك The North Face وCartier ، كشفت عن أسماء العملاء والبريد الإلكتروني والبيانات المتعلقة بالحساب (سانغفور ، WSJ). كان ماركس أند سبنسر قد ضرب بشدة ، وتم إرجاع هجوم الفدية وسلسلة التوريد إلى مجموعة “العنكبوت المتناثر” ، وخلع خدمات جمع وتسليم لمدة أكثر من 15 أسبوعًا ، ويتوقع أن تكلف التاجر ما يصل إلى 300 مليون جنيه إسترليني. في كل حالة ، أصبحت التكاملات الثالثة ووصلات واجهة برمجة التطبيقات ، غالبًا ما تدعمها هويات غير بشرية ، من المسهلين الصامتين للمهاجمين.
ما هي الهوية غير البشرية (NHI)؟
الهويات غير البشرية هي بيانات الاعتماد والحسابات المستخدمة من قبل الآلات ، وليس الأشخاص. الأمثلة:
-
حسابات الخدمة لقواعد البيانات أو التطبيقات.
-
مفاتيح واجهة برمجة التطبيقات للتكامل السحابي.
-
بيانات اعتماد البوتات لسكريبتات التأتمت.
المخاطر: مفوض أكثر من اللازم ، ومراقبة أقل ، وغالبًا ما يتم تركها نشطة لفترة طويلة بعد الاستخدام.
لماذا الحوكمة متأخرة
حتى برامج إدارة الهوية الناضجة تتعثر هنا:
-
فجوات الاكتشاف – لا يستطيع العديد من المنظمات إنتاج مخزون كامل للهوية غير البشرية.
-
إهمال دورة الحياة – غالبًا ما تستمر الهويات غير البشرية لسنوات ، دون مراجعة منتظمة.
-
فراغات المساءلة – بدون مالك بشري ، يتم إسقاط تنظيفه.
-
الامتيازات التي تتراكم مع تغيير الأدوار ، ولكن السحب يؤخر.
هذا هو نفس المشكل الذي كنا نخوضه مع الحسابات البشرية لعدة عقود – الآن ، يمكن لكل هوية غير بشرية تشغيلها 24/7 ، بمقياس ، دون إثارة “مخاطر بشرية”.
كتاب مسند للهويات غير البشرية والوكالات الاصطناعية
-
اكتشاف شامل – خريطة كل هوية غير بشرية ووكيل اصطناعي ، بما في ذلك الصلاحيات والمالكون والتكاملات.
-
تعيين أصحاب بشريين – جعل شخص ما مسؤولاً عن دورة حياة كل هوية غير بشرية.
-
فرض صلاحية أقل – مطابقة الأذونات للاستخدام الفعلي ؛ إزالة الفائض.
-
تأتمت صحة بيانات الاعتماد – تدوير المفاتيح ، استخدام الرموز القصيرة الأجل ، انتهاء صلاحية الحسابات غير النشطة تلقائيًا.
-
مراقبة مستمرة – اكتشاف الشذوذ مثل مكالمات واجهة برمجة التطبيقات غير المتوقعة أو ترقية الصلاحيات.
-
تكامل حوكمة الذكاء الاصطناعي – معاملة وكلاء الذكاء الاصطناعي مثل مسؤولي الإدارة المتميزين: تسجيل النشاط ، وفرض السياسة ، وتفعيل الوصول في الوقت المناسب.
(تتماشى هذه الخطوات مع إطار العمل الإلكتروني للنIST ، مراقبة CIS 5 ، وأفضل الممارسات الناشئة Gartner IVIP.)
لماذا يجب أن يحدث هذا الآن
هذا ليس مجرد مطاردة اتجاه الذكاء الاصطناعي. إنه عن الاعتراف بأن محيط الهوية انتقل من الأشخاص إلى العمليات. يعرف المهاجمون ذلك. إذا استمرنا في معاملة هويات الآلة كفكرة ثانوية ، فإننا نمنح الأعداء النقطة العمياء التي يحتاجونها للعمل دون أن يكتشفوا.
الفرق الذي سوف يبقى في المقدمة هو الذي يجعل حوكمة الهوية غير البشرية ووكيلها عنصرًا من الدرجة الأولى من أمن الهوية ، مع الرؤية والملكية وضبط دورة الحياة في مكانه قبل أن يفرض خرق القضية.
