जैकब आइडेस्कोग, क्यूरिटी के सीटीओ – साक्षात्कार श्रृंखला

जैकब आइडेस्कोग एक पहचान विशेषज्ञ और क्यूरिटी में सीटीओ हैं। अधिकांश समय वह एपीआई और वेब स्पेस में सुरक्षा समाधानों पर काम करते हैं। उन्होंने बड़े उद्यम विनियोगों के साथ-साथ छोटे स्टार्टअप्स के लिए भी ओओथ और ओपनआईडी कनेक्ट समाधानों को डिज़ाइन और लागू करने का काम किया है।

क्यूरिटी एक आधुनिक पहचान और पहुंच प्रबंधन (आईएएम) प्लेटफ़ॉर्म है, जो क्यूरिटी पहचान सर्वर के आसपास बनाया गया है, जो एक मानक-आधारित समाधान है जो अनुप्रयोगों, एपीआई और डिजिटल सेवाओं के लिए प्रमाणीकरण और प्राधिकरण को सुरक्षित करने के लिए डिज़ाइन किया गया है। यह ओओथ 2.0 और ओपनआईडी कनेक्ट जैसे प्रोटोकॉल का समर्थन करता है ताकि लॉगिन प्रवाह को केंद्रीकृत किया जा सके, महीने की पहुंच नीतियों को लागू किया जा सके और मानव उपयोगकर्ताओं और मशीन क्लाइंट दोनों के लिए सुरक्षित टोकन जारी किए जा सकें। प्लेटफ़ॉर्म को लचीलापन और स्केलेबिलिटी के लिए डिज़ाइन किया गया है, जिससे संगठनों को क्लाउड, हाइब्रिड या ऑन-प्रिमाइसेस वातावरण में तैनात करने, मौजूदा प्रणालियों के साथ एकीकृत करने और सुरक्षित, निर्बाध उपयोगकर्ता अनुभव प्रदान करने की अनुमति मिलती है बिना कस्टम-निर्मित सुरक्षा बुनियादी ढांचे पर निर्भर हुए।

आपके करियर का अधिकांश भाग पहचान और एपीआई सुरक्षा प्रणालियों के निर्माण में बिता है, क्यूरिटी की सह-स्थापना से लेकर सीटीओ के रूप में इसका नेतृत्व करना और अब एआई के उदय के साथ। यह यात्रा आपके दृष्टिकोण को कैसे आकार देती है कि एआई एजेंटों को मानव उपयोगकर्ताओं के समान पहले दर्जे की डिजिटल पहचान के रूप में माना जाना चाहिए, न कि केवल एक और सॉफ़्टवेयर के रूप में?

प्रौद्योगिकी के हर क्षेत्र में जिसमें मैंने काम किया है, एक समस्या बार-बार सामने आती है। चाहे वह क्लाउड कंप्यूटिंग हो या अब एआई, यदि सॉफ़्टवेयर किसी व्यक्ति या अन्य प्रणाली की ओर से कार्य कर रहा है, तो आपके पास एक पहचान समस्या है।

एजेंटिक एआई के बड़े पैमाने पर अपनाने के साथ, यह समस्या और भी जटिल हो जाती है। उनका व्यवहार अब कड़ाई से लिपिबद्ध नहीं है और वे एक स्तर की स्वायत्तता के साथ कार्य करते हैं जिसका उद्यमों ने पहले कभी अनुभव नहीं किया है। एआई एजेंट निर्णय लेते हैं, एपीआई को कॉल करते हैं और प्रणालियों के बीच कार्यों को श्रृंखला में करते हैं – अक्सर मानव पर्यवेक्षण के बिना। यह व्यवहार पारंपरिक सॉफ़्टवेयर से मौलिक रूप से अलग पहचान और पहुंच चुनौतियां प्रस्तुत करता है।

एआई एजेंटों को पहले दर्जे की डिजिटल पहचान के रूप में मानना ​​ही इसे ठीक से संबोधित करने का एकमात्र तरीका है। यदि संगठन उन्हें केवल एक और प्रक्रिया या सेवा खाते के रूप में मानते हैं, तो वे जल्दी से दृश्यता और नियंत्रण खो देते हैं – और यह एक सुरक्षा संकट का नुस्खा है।

कई उद्यम एजेंटिक एआई के बारे में उत्साहित हैं लेकिन अभी भी प्रयोग में फंसे हुए हैं। वास्तविक तैनाती में आपको जो सबसे आम पहचान और शासन अंतराल दिखाई दे रहे हैं, वे संगठनों को एजेंटों को सुरक्षित रूप से स्केल करने से रोकते हैं?

अधिकांश प्रयोग अलग-थलग रेतीले तटों में होते हैं जो बड़े पैमाने पर क्या होता है उसे नजरअंदाज कर देते हैं। शुरुआती पायलटों के दौरान, टीमें अक्सर एजेंटों को व्यापक एपीआई कुंजी, साझा क्रेडेंशियल या क्लाउड अनुमतियों को देती हैं ताकि चीजों को जमीन पर उतारा जा सके।

यह दृष्टिकोण पायलटों से परे तैनाती के क्षण में टूट जाता है। इसका कारण यह है कि सुरक्षा टीमें यह नहीं देख सकती हैं कि एजेंट ने किस डेटा तक पहुंच प्राप्त की है, इसकी क्रियाएं, या यह कि क्या यह अपने इरादे से अधिक हो सकता है या हो सकता है; दुर्भाग्य से या दुर्भावनापूर्ण रूप से। ये अंधे धब्बे एजेंटों को सुरक्षित रूप से शासित करना असंभव बनाते हैं, जो कई संगठनों को पायलटों से परे जाने के लिए संघर्ष करते हैं।

आपने सख्त गार्डरेल के लिए तर्क दिया है जो एजेंटिक एआई के लिए आवश्यक हैं। एआई एजेंटों के लिए “अच्छा” पहचान डिज़ाइन व्यवहार में कैसा दिखता है, और कंपनियां आमतौर पर इसे गलत कैसे करती हैं?

अच्छा पहचान डिज़ाइन न्यूनतम विशेषाधिकार और इरादे से जुड़े अनुमतियों के सिद्धांत से शुरू होता है। प्रत्येक एआई एजेंट की अपनी पहचान होनी चाहिए, सीमित अनुमतियां और स्पष्ट रूप से परिभाषित विश्वास संबंध (नियम जो यह निर्दिष्ट करते हैं कि यह किन प्रणालियों के साथ बातचीत करने की अनुमति देता है) होनी चाहिए। मूल रूप से, पहुंच उद्देश्य से बंधी होनी चाहिए, समय से सीमित होनी चाहिए और रद्द करना आसान होना चाहिए।

कंपनियां जहां इसे गलत करती हैं वह है मौजूदा सेवा खातों का पुन: उपयोग करना या यह मान लेना कि आंतरिक एजेंट डिफ़ॉल्ट रूप से सुरक्षित हैं। यह धारणा वास्तविक दुनिया के खतरों के खिलाफ खड़ी नहीं रहती है। दुर्भावनापूर्ण अभिनेता विशेष रूप से इन कमजोर बिंदुओं की तलाश में रहते हैं, और एआई एजेंट पहचान डिज़ाइन को ढीला होने पर संभावित विस्फोटक वृद्धि को बढ़ाते हैं।

क्यूरिटी ने ओओथ और ओपनआईडी कनेक्ट जैसे मानकों के साथ लंबे समय से काम किया है। जटिल उद्यम वातावरण में एजेंटिक एआई को इंटरऑपरेबल और सुरक्षित बनाने के लिए खुले पहचान मानक कितने महत्वपूर्ण हैं?

खुले मानक बिल्कुल महत्वपूर्ण हैं। उद्यम पहले से ही जटिल पहचान के कपड़े चला रहे हैं जो क्लाउड प्लेटफ़ॉर्म, सास सेवाओं और आंतरिक एपीआई को शामिल करते हैं। एजेंटिक एआई केवल अधिक जटिलता जोड़ता है।

मानकों के बिना, प्रत्येक एजेंट अपनी एकीकरण और एक स्थायी सुरक्षा अपवाद बन जाता है। ओओथ और ओपनआईडी कनेक्ट जैसे मानकों के साथ, एजेंटों को अन्य कार्यभार की तरह प्रमाणित, अधिकृत और लेखा परीक्षित किया जा सकता है। यह वास्तविक उद्यम वातावरण में सुरक्षित स्केलिंग को सुविधाजनक बनाने का एकमात्र दृष्टिकोण है।

गैर-मानव पहचानें अधिक सामान्य होती जा रही हैं, सेवा खातों से लेकर मशीन पहचानों तक। एआई एजेंट पिछली गैर-मानव पहचानों से मौलिक रूप से क्या अलग हैं सुरक्षा के दृष्टिकोण से?

आधुनिक एआई एजेंटों और पुराने गैर-मानव पहचान (एनएचआई) के बीच मुख्य अंतर स्वायत्तता है। एक पारंपरिक सेवा खाता सख्ती से अपने कोड द्वारा बताई गई बात करता है, अपने कार्य से बंधा हुआ है। एक एआई एजेंट निर्देशों की व्याख्या करता है, अपने व्यवहार को अनुकूलित करता है और ऐसे कार्य करता है जो कभी भी स्पष्ट रूप से लिपिबद्ध नहीं किए गए थे – सभी संभावित खतरे को बढ़ाते हैं यदि उपयुक्त गार्डरेल नहीं हैं।

एक छोटी सी पहचान या पहुंच त्रुटि जल्दी से एक आपदा में बदल सकती है, क्योंकि एक एजेंट कई प्रणालियों में तेजी से कार्य कर सकता है। सुरक्षा के दृष्टिकोण से, यह एक प्रमुख जोखिम प्रस्तुत करता है।

नियंत्रित उद्योगों में विशेष रूप से एजेंटिक एआई को शासित करने के लिए ऑडिट ट्रेल और पहचान-आधारित लॉगिंग कितनी महत्वपूर्ण हैं?

ऑडिट ट्रेल्स को “नाइस टू हैव” नहीं होना चाहिए। उन्हें शुरू से ही निर्मित किया जाना चाहिए। नियंत्रित वातावरण में, संगठनों को सरल लेकिन महत्वपूर्ण प्रश्नों का उत्तर देने की अपेक्षा की जाती है: इस एजेंट ने क्या एक्सेस किया, यह कब हुआ, और किसने इसकी अनुमति दी?

पहचान-आधारित लॉगिंग ही विश्वसनीय तरीका है जिससे उस स्तर की जवाबदेही मिल सकती है। यह घटना प्रतिक्रिया में भी एक प्रमुख भूमिका निभाता है। स्पष्ट पहचान संदर्भ के बिना, यह लगभग असंभव है कि पता लगाया जा सके कि क्या समस्या एक दुर्भाग्यपूर्ण एजेंट, समझौता की गई पहचान, या बस एक खराब प्रॉम्प्ट से आई थी।

आप वास्तविक दुनिया में कौन से जोखिम देखते हैं जब संगठन उत्पादन में अधिक विशेषाधिकार प्राप्त या खराब निगरानी वाले एआई एजेंटों को तैनात करते हैं?

एक सामान्य जोखिम मौन डेटा संग्रह है। एक अधिक विशेषाधिकार प्राप्त एजेंट कई प्रणालियों (ग्राहक रिकॉर्ड, आंतरिक दस्तावेज, लॉग) से संवेदनशील जानकारी प्राप्त कर सकता है और फिर प्रॉम्प्ट, सारांश या बाहरी एकीकरण के माध्यम से उस डेटा को उजागर कर सकता है।

एक और जोखिम यह है कि प्रशासनिक पहुंच वाले एजेंट मशीन की गति से बड़े बदलाव कर सकते हैं, जो एक छोटी अवधि में एक मानव द्वारा की जा सकने वाली तुलना में बहुत अधिक नुकसान पहुंचा सकते हैं। इसमें क्लाउड संसाधनों को संशोधित करना, सुरक्षा नियंत्रणों को अक्षम करना या पर्यवेक्षण के बिना स्वचालित कार्यों को ट्रिगर करना शामिल हो सकता है।

इन घटनाएं दुर्भावनापूर्ण हो सकती हैं, लेकिन उन्हें आवश्यक नहीं है। एक अधिक विशेषाधिकार प्राप्त या खराब निगरानी वाला एजेंट बस पुराने या गलत धारणाओं पर काम कर सकता है, कई प्रणालियों में गलतियों को बढ़ाते हुए किसी को भी पता चलता है कि क्या हो रहा है।

लेकिन, एक हमलावर के दृष्टिकोण से, एक समझौता की गई एजेंट पहचान बहुत मूल्यवान है। यह एपीआई और सेवाओं के पार लेटरल आंदोलन की अनुमति देता है, अक्सर किसी भी मानव उपयोगकर्ता को कभी भी दी जाने वाली पहुंच के स्तर के साथ। मजबूत पहचान नियंत्रण और निगरानी के बिना, संगठन अक्सर वास्तविक नुकसान होने के बाद ही विफलताओं का पता लगाते हैं।

कंपनियों के लिए जो पायलट से वास्तविक एजेंटिक तैनाती में जा रही हैं, पहचान और पहुंच निर्णय क्या हैं जो उन्हें बाद में महंगी पुनः डिज़ाइन से बचने के लिए जल्दी करना चाहिए?

संगठनों को जल्दी से यह तय करना चाहिए कि एजेंटों को पहचान कैसे जारी की जाती है, अनुमतियां कैसे अनुमोदित की जाती हैं और समय के साथ पहुंच की समीक्षा कैसे की जाती है, पहचान सीमाओं को आगे से परिभाषित करते हैं।

पहचान नियंत्रणों को पीछे की ओर लाना लगभग हमेशा समस्याग्रस्त है। एजेंट अक्सर साझा क्रेडेंशियल या व्यापक भूमिकाओं का उपयोग करके कार्यप्रवाह में गहराई से निहित होते हैं, इसलिए बाद में पहुंच को सख्त करने से प्रणाली पर निर्भर करने वाले धारणाओं को तोड़ देता है। यह अंततः कार्यप्रवाह को विफल कर देता है और प्रौद्योगिकी में विश्वास को कमजोर करता है। यह शुरू से ही उचित पहचान, दायरे और पहुंच सीमाओं को डिज़ाइन करना बहुत सस्ता है, साथ ही साथ सुरक्षित भी।

एजेंटिक एआई को तैनात करते समय पहचान एकीकरण सबसे अधिक बार बोतलनेक कहां बन जाता है, और कौन से सर्वोत्तम अभ्यास घर्षण को कम करने में मदद करते हैं?

पहचान प्रबंधन एक बोतलनेक बन सकता है लेकिन केवल जब इसे एक बाद के विचार के रूप में माना जाता है। टीमें पहले एजेंट क्षमताओं पर ध्यान केंद्रित करती हैं और बाद में महसूस करती हैं कि उन्हें आईएएम प्रणालियों, एपीआई गेटवे और लॉगिंग प्लेटफ़ॉर्म के साथ एकीकृत करने की आवश्यकता है ताकि वे वास्तव में सुरक्षित हों।

सर्वोत्तम दृष्टिकोण यह है कि पहचान प्लेटफ़ॉर्म की स्पष्ट समझ और उचित कार्यान्वयन के साथ शुरू किया जाए और फिर एजेंटों को उनमें फिट होने के लिए डिज़ाइन किया जाए। संगठनों को मौजूदा मानकों और बुनियादी ढांचे का पुन: उपयोग करना चाहिए; इस कोने को काटने से अंततः समस्याएं पैदा होंगी। जब पहचान शुरू से ही निर्मित होती है, तो यह तैनाती को तेज करती है, इसे धीमा नहीं करती है।

सुरक्षा और इंजीनियरिंग नेताओं के लिए जो एजेंटिक एआई को अपनाना चाहते हैं लेकिन शासन और जोखिम के बारे में चिंतित हैं, आप उन्हें अपने रोडमैप की योजना बनाते समय क्या सलाह देंगे?

बस इतना धीमा करें कि नींव सही हो। एआई एजेंटों को पहचान के रूप में माना जाना चाहिए और इसलिए आपको मानवों के लिए जिस शासन की अपेक्षा की जाती है, उसी को लागू करना चाहिए, और शुरू से ही दृश्यता पर जोर देना चाहिए। यदि एक संगठन ऐसा करता है, तो एजेंटिक एआई को स्केल करना सुरक्षा में एक अभ्यास बन जाता है, एक अंधे और जोखिम भरे विश्वास के छलांग में नहीं।

साक्षात्कार के लिए धन्यवाद, पाठक जो अधिक जानना चाहते हैं उन्हें क्यूरिटी पर जाना चाहिए।