جاكوب إيدسكوج، الرئيس التنفيذي للتقنيات في Curity – سلسلة المقابلات

جاكوب إيدسكوج هو خبير في مجال الهوية وأمن المعلومات والرئيس التنفيذي للتقنيات في Curity. يقضي معظم وقته في العمل على حلول أمنية في مجال واجهات برمجة التطبيقات والويب. وقد عمل على تصميم وتنفيذ حلول OAuth وOpenID Connect للشركات الكبيرة والشركات الناشئة.

Curity هي منصة moderne لادارة الهوية والوصول (IAM) مبنية حول خادم الهوية Curity، وهو حل قياسي مصمم لأمن المصادقة والتفويض للتطبيقات وواجهات برمجة التطبيقات والخدمات الرقمية على نطاق واسع. تدعم البروتوكولات مثل OAuth 2.0 وOpenID Connect لتكامل تدفقات الدخول، وتنفيذ سياسات الوصول الدقيقة، وإصدار رموز أمنية للعملاء البشريين والآليين، بما في ذلك واجهات برمجة التطبيقات والخدمات. تم تصميم المنصة للتنوع والتماسك، مما يسمح للشركات بالتوسع عبر السحابة والبيئات الهجينة أو على الموقع، وتكامل مع الأنظمة الحالية، وتقديم تجارب مستخدم آمنة ومتماسكة دون الاعتماد على البنية التحتية الأمنية المخصصة.

لقد قمت بإنفاق معظم مسيرتك المهنية في بناء أنظمة الهوية وأمن واجهات برمجة التطبيقات، من تأسيس Curity إلى قيادتها كمسؤول تقني أول خلال صعود السحابة والذكاء الاصطناعي الآن. كيف شكلت هذه الرحلة رؤيتك بأن الوكلاء الذكاء الاصطناعي يجب أن يعاملوا كهويات رقمية من الدرجة الأولى وليس مجرد برنامج آخر؟

خلال كل مجال تقني عملت فيه، يظهر مشكلة واحدة باستمرار. سواء كانت الحوسبة السحابية أو الآن الذكاء الاصطناعي، إذا كان البرنامج يعمل نيابة عن شخص أو نظام آخر، لديك مشكلة في الهوية.

مع اعتماد الوكلاء الذكاء الاصطناعي على نطاق واسع، يتم تكثيف هذه القضية. سلوكهم لم يعد مقيدًا ببرمجية محددة، ويعملون بدرجة من الاستقلالية التي لم تسبق للشركات أن رأتها من قبل. يقوم الوكلاء الذكاء الاصطناعي باتخاذ القرارات، ويدعون واجهات برمجة التطبيقات، وترتيب الإجراءات عبر الأنظمة – غالبًا دون إشراف بشري مباشر. يخلق هذا السلوك تحديات في الهوية والوصول التي تختلف بشكل جوهري عن البرمجيات التقليدية.

يعامل الوكلاء الذكاء الاصطناعي كلهويات رقمية من الدرجة الأولى هو الطريقة الوحيدة لمواجهة هذه القضية بشكل适当. إذا تعاملت المنظمات معهم كعملية أو حساب خدمة آخر، تفقد الرؤية والسيطرة بسرعة – وهذا وصفة للآثار السلبية الأمنية.

كثير من الشركات مشرقة حول الوكلاء الذكاء الاصطناعي لكنها لا تزال عالقة في التجارب. من ما تراه في التطبيقات الفعلية، ما هي الفجوات الشائعة في الهوية والحوكمة التي تمنع المنظمات من توسيع نطاق الوكلاء بأمان؟

معظم التجارب تحدث في بيئات معزولة ت忽ن ما يحدث على نطاق واسع. خلال التجارب الأولية، غالبًا ما يمنح الفريق الوكلاء مفتاح واجهة برمجة التطبيقات المشتركة أو أذونات السحابة الشاملة فقط لبدء الأمور.

هذا النهج ينهار في اللحظة التي يتم فيها نشر الوكلاء بعد التجارب. هذا لأن فرق الأمن لا يمكنها رؤية ما البيانات التي يصل إليها الوكيل، أو إجراءاته، أو ما إذا كان يمكنه أو قد تجاوز نطاقه المحدد؛ سواء عن طريق الخطأ أو العمد. هذه النقاط العمياء تجعل من الصعب حوكمة الوكلاء بأمان، وهذا هو السبب في أن العديد من المنظمات تعاني من صعوبة في الانتقال إلى ما بعد التجارب.

لقد جادلت بأن الحدود الصارمة ضرورية للوكلاء الذكاء الاصطناعي. ما هو شكل التصميم الجيد للهوية للوكلاء الذكاء الاصطناعي في الممارسة، وأين تخطئ الشركات عادة؟

التصميم الجيد للهوية يبدأ مع مبدأ الصلاحيات الأدنى والأذونات المرتبطة بالنوايا الصريحة. يجب أن يكون لكل وكيل ذكاء اصطناعي هويته الخاصة، وأذونات محددة بوضوح، و علاقات ثقة محددة明確 (قواعد صريحة للنظم التي يُسمح له بالتفاعل معها). في الأساس، يجب أن تكون الوصول مقيدة بالغرض، ومحددة بمرة، وسهلة الإلغاء.

تخطئ الشركات في هذا الأمر من خلال إعادة استخدام حسابات الخدمة الحالية أو افتراض أن الوكلاء الداخليين آمنون بشكل افتراضي. هذا الافتراض لا يثبت صحة في مواجهة التهديدات الحقيقية. يبحث الممثلون الخبيثون بنشاط عن هذه النقاط الضعيفة، ويزيد الوكلاء الذكاء الاصطناعي من نطاق التأثير عندما يكون تصميم الهوية غير دقيق.

لقد عملت Curity لفترة طويلة مع معايير مثل OAuth وOpenID Connect. كيفية أهمية المعايير المفتوحة لجعل الوكلاء الذكاء الاصطناعي متوافقين وأمنيين عبر بيئات الشركات المعقدة؟

المعايير المفتوحة حاسمة. تعمل الشركات بالفعل على نسيج معقد للهوية يمتد عبر منصات السحابة وخدمات السحابية وواجهات برمجة التطبيقات الداخلية. يضيف الوكلاء الذكاء الاصطناعي المزيد من التعقيد.

بدون معايير، يصبح كل وكيل تطبيقًا وتكاملًا دائمًا واستثناءًا أمنيًا دائمًا. مع معايير مثل OAuth وOpenID Connect، يمكن مصادقة الوكلاء وتصريحهم وتحقيقهم مثل أي حمولة أخرى. هذا هو النهج الوحيد الذي يمكن أن يسهل التوسيع الآمن عبر بيئات الشركات الحقيقية.

ما الفرق الرئيسي بين الوكلاء الذكاء الاصطناعي والهويات غير البشرية السابقة من وجهة نظر أمنية؟

الفرق الرئيسي بين الوكلاء الذكاء الاصطناعي الحديثين والهويات غير البشرية التقليدية (NHIs) هو الاستقلالية. حساب خدمة تقليدية يفعل تمامًا ما تقوله له البرمجية، مقيدًا بشكل صارم بمهمته. الوكيل الذكاء الاصطناعي يفسر الإرشادات، ويتكيف بسلوكه، ويتخذ إجراءات لم تكن مبرمجة بشكل صريح أبدًا – ويزيد من الخطر المحتمل إذا لم تكن هناك حواجز مناسبة.

يمكن أن يتحول خطأ صغير في الهوية أو الوصول بسرعة إلى كارثة، لأن الوكيل يمكن أن يتصرف بسرعة وعبر أنظمة متعددة. من وجهة نظر أمنية، هذا يمثل خطرًا كبيرًا.

كيفية أهمية سجلات التدقيق وتسجيل الهوية لمحوكمة الوكلاء الذكاء الاصطناعي، خاصة في الصناعات المنظمة؟

سجلات التدقيق لا ينبغي أن تكون “من الجيد أن يكون لديك”. يجب أن تكون مبنية من البداية. في البيئات المنظمة، يتوقع من المنظمات الإجابة على أسئلة بسيطة ولكن حاسمة: ماذا فعل هذا الوكيل، متى حدث ذلك، ومن الذي أذن به؟

تسجيل الهوية هو الطريقة الموثوقة الوحيدة للحصول على هذا المستوى من المساءلة. كما يلعب دورًا رئيسيًا في استجابة الحوادث. بدون سياق هويات واضح، من الصعب معرفة ما إذا كان مشكلة ناتجة عن وكيل خاطئ، أو هوية مخترقة، أو ببساطة سؤال سيئ.

ما هي المخاطر الحقيقية التي ترى أنها ت出现 عند نشر المنظمات وكلاء ذكاء اصطناعي مفوضين بشكل مفرط أو غير محسومين في الإنتاج؟

خطر شائع هو التجميع الصامت للبيانات. يمكن لوكيل مفوض بشكل مفرط سحب معلومات حساسة من أنظمة متعددة (سجلات العملاء، والوثائق الداخلية، وسجلات النظام) والكشف عن تلك البيانات من خلال الإرشادات أو الملخصات أو التكاملات الخارجية.

خطر آخر هو وكلاء ذكاء اصطناعي لديهم صلاحيات إدارية يجريون تغييرات كبيرة بسرعة الآلة، مما يسبب ضررًا أكبر مما يمكن أن يفعله الإنسان في فترة زمنية قصيرة. يمكن أن يشمل ذلك تعديل الموارد السحابية، أو تعطيل التحكمات الأمنية، أو تشغيل عمليات تلقائية دون إشراف.

قد تكون هذه الحوادث خبيثة، ولكنها لا تحتاج إلى ذلك. يمكن لوكيل مفوض بشكل مفرط أو غير محسوم أن يعمل ببساطة على افتراضات قديمة أو خاطئة، مما يزيد من الأخطاء عبر أنظمة متعددة قبل أن يلاحظ أي شخص.

لكن من وجهة نظر المهاجم، هوية وكيل مخترقة هي قيمة جدًا. تتيح الحركة الجانبية عبر واجهات برمجة التطبيقات والخدمات، غالبًا مع مستوى الوصول الذي لن يمنح أي مستخدم بشري أبدًا. بدون ضوابط هويات قوية ومراقبة، غالبًا ما تكتشف المنظمات هذه الفشل بعد حدوث الأضرار الحقيقية.

للمنظمات التي تتحرك من التجارب إلى التطبيقات الفعلية للوكلاء الذكاء الاصطناعي، ما هي قرارات الهوية والوصول التي يجب اتخاذها في وقت مبكر لتجنب إعادة التصميم المكلفة في وقت لاحق؟

ينبغي للمنظمات أن تقرر في وقت مبكر كيفية إصدار الهويات للوكلاء، وكيفية الموافقة على الأذونات، وكيفية استعراض الوصول بمرور الوقت، وتحديد حدود الهوية من البداية.

جلب ضوابط الهوية بشكل متأخر يعتبر مشكلة في معظم الأحيان. غالبًا ما يتم دمج الوكلاء بشكل عميق في سير العمل باستخدام أذونات مشتركة أو أدوار واسعة، لذلك تقييد الوصول بعد ذلك يؤدي إلى كسر افتراضات التي تعتمد عليها النظام. هذا يؤدي في النهاية إلى فشل سير العمل وتخريب الثقة في التكنولوجيا. من الأفضل والأقل تكلفة تصميم هويات وحدود وصول مناسبة من البداية.

أين يصبح التكامل مع الهوية عادةً عقبة عند نشر الوكلاء الذكاء الاصطناعي، وما هي أفضل الممارسات التي تساعد في تقليل الاحتكاك؟

يمكن أن يصبح إدارة الهوية عقبة، ولكن فقط عندما يتم التعامل معها كأمر ثانوي. يركز الفريق على بناء قدرات وكيل مثيرة للإعجاب أولاً، ثم يدركون لاحقًا أنهم يحتاجون إلى دمجها مع أنظمة إدارة الهوية وبوابات واجهة برمجة التطبيقات ومنصات التسجيل لجعلها آمنة حقًا.

النهج الأفضل هو البدء بفهم واضح وتنفيذ مناسب لمنصات الهوية ثم تصميم الوكلاء ليتناسبوا معها. ينبغي للمنظمات إعادة استخدام المعايير والبنية التحتية الحالية بدلاً من تجاوزها؛ قص هذه الزاوية سوف يسبب مشاكل في المستقبل. عندما يتم بناء الهوية من البداية، فإنه يسرع من النشر بدلاً من إبطائه.

لمن يريدون أن يتبنوا الوكلاء الذكاء الاصطناعي ولكنهم قلقون من الحوكمة والمخاطر، ما النصيحة التي تقدمها لهم أثناء تخطيط خارطتهم؟

ابطئوا قليلاً لتأسيس الأسس بشكل صحيح. يجب معاملة الوكلاء الذكاء الاصطناعي كلهويات ويجب تطبيق نفس الحوكمة المتوقعة من البشر، والتأكد من الرؤية من البداية. إذا فعلت المنظمة ذلك، فإن توسيع نطاق الوكلاء الذكاء الاصطناعي يصبح تمارين أمنية وليس قفزة عمياء ومخاطرة.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يمكنهم زيارة Curity.