IBM Menghadirkan Kontrol Identitas dan Kredensial dengan Tata Kelola untuk Agen AI

Pada 27 Oktober 2026, IBM mengumumkan kemampuan baru untuk menemukan, mengidentifikasi, mengendalikan, dan mengevaluasi identitas serta kredensial agen AI perusahaan di TechXchange 2026 di Atlanta. Pengumuman tersebut mencakup ketersediaan umum IBM Agent Identity dan HashiCorp Vault 2.2.

Perusahaan itu mengatakan kemampuan ini dirancang untuk pengembang serta tim TI dan keamanan yang menjalankan agen di berbagai sistem bisnis dengan kewenangan dan akuntabilitas yang jelas. Kemampuan tersebut menggabungkan penemuan agen, identitas terverifikasi, kontrol akses, dan evaluasi kinerja. “Para pemenang di bidang AI perusahaan mengubah cara bisnis mereka beroperasi, bukan sekadar menambahkan lebih banyak AI,” kata Dinesh Nirmal, Wakil Presiden Senior IBM Software, dalam pengumuman IBM. Nirmal mengatakan bahwa agen yang menangani pekerjaan nyata memerlukan model operasi AI yang menghubungkan mereka dengan data, aplikasi, dan infrastruktur perusahaan.

Dalam siaran pers pada 28 April 2026, Gartner memperkirakan bahwa pada 2028, rata-rata perusahaan Fortune 500 global akan menggunakan lebih dari 150.000 agen, naik dari kurang dari 15 pada 2025, dan hanya 13% organisasi yang meyakini bahwa mereka telah menerapkan tata kelola agen AI yang tepat. IBM mengaitkan peluncuran ini dengan kesenjangan tata kelola dalam penerapan teknologi di perusahaan saat ini. IBM menyebut kredensial yang terus berlaku, kepemilikan yang tidak jelas, dan kontrol yang tidak saling terhubung sebagai kendala yang hendak diatasi oleh kemampuan baru ini.

Agent Identity dan HashiCorp Vault

Agent Identity, yang dijelaskan dalam pengumuman IBM yang diterbitkan pada 26 Oktober 2026, mendaftarkan agen dalam inventaris terpusat dan mencatat kepemilikan, metadata, klasifikasi risiko, koneksi alat yang disetujui, serta status siklus hidup. IBM mengatakan sistem ini mempertahankan delegasi atas nama pengguna di berbagai penyedia identitas dan pertukaran token, sehingga suatu tindakan dapat ditelusuri ke orang yang memulainya, status persetujuan, atau sistem hulu. Sistem ini juga menerbitkan token berbasis OAuth yang berumur pendek dan dibatasi untuk tugas tertentu, dengan otorisasi yang mempertimbangkan persetujuan untuk tindakan sensitif. Kontrol tetap aktif saat agen berjalan, mencakup otorisasi kontekstual, penegakan kebijakan, evaluasi risiko saat runtime, dan pengendalian kredensial. Jejak audit terstruktur menghubungkan identitas manusia, identitas agen yang didelegasikan, penerbitan kredensial, keputusan kebijakan, dan tindakan lanjutan untuk pelaporan kepatuhan serta investigasi insiden.

Dalam arsitektur ini, IBM Verify menyediakan kontrol terpusat untuk identitas, otorisasi, tata kelola, pertukaran token, dan audit. Sementara itu, HashiCorp Vault mengelola kredensial tepat saat dibutuhkan dan khusus untuk sistem tujuan yang tidak dapat menggunakan token delegasi secara langsung. Menurut IBM, jika digunakan bersama Vault, Agent Identity menetapkan catatan otoritatif untuk setiap agen, yang mencakup pemilik, status siklus hidup, dan kewenangan yang diberikan. Sistem ini membagikan konteks tersebut kepada kontrol kredensial Vault untuk menerapkan akses dengan hak seminimal mungkin dan memungkinkan pencabutan secara langsung saat agen mencoba melakukan tindakan tanpa izin.

IBM mengatakan Vault telah mengamankan identitas nonmanusia bagi sejumlah organisasi, termasuk ABN AMRO, Adobe, athenahealth, BBVA, BlackRock, Canva, Duke Energy, Expedia, London Stock Exchange, Starbucks, Swiss Federal Railways, dan Target. Vault 2.2 memberi agen akun aman sendiri, memperbarui kredensial mereka secara otomatis, dan menyertakan enkripsi pascakuantum. Menurut uraian HashiCorp tentang pembaruan ini, rilis tersebut menambahkan dukungan vTPM untuk mesin virtual Linux, sehingga beban kerja dapat melakukan autentikasi dengan bukti kriptografis yang terikat pada TPM virtual terdaftar, alih-alih menggunakan rahasia bootstrap yang didistribusikan. Rilis ini juga mencakup modernisasi PKI, pengelolaan otomatis sertifikat publik, dan Vault di IBM Power.

Dua fitur lain yang masih dalam tahap pratinjau melengkapi rangkaian Vault. Secure Hub, yang tersedia dalam pratinjau publik, menyediakan visibilitas, pelaporan, dan tata kelola terpusat di berbagai lingkungan Vault yang terdistribusi, termasuk informasi tentang kondisi operasional, rahasia, dan sertifikat. Vault Arc, yang juga tersedia dalam pratinjau publik, memperkenalkan model sumber daya dan IAM baru dengan otorisasi terbatas cakupan dan berumur singkat, serta tata kelola identitas agen dan nonmanusia. HashiCorp Boundary 1.1 kini tersedia dengan server Model Context Protocol dalam pratinjau publik. Server ini memungkinkan administrator mengelola klaster Boundary menggunakan bahasa alami dan memungkinkan agen yang kompatibel dengan MCP mengakses target SSH dan RDP tanpa kode klien khusus. Rilis ini juga menambahkan token aplikasi dengan masa berlaku dan cakupan yang dapat disesuaikan, serta penemuan otomatis mesin virtual di beberapa akun AWS dari satu konfigurasi plugin.

Penemuan, Pengendalian, dan Evaluasi di Watsonx Orchestrate

Pengumuman watsonx Orchestrate dari IBM memperkenalkan AI Gateway, yang berfungsi sebagai lapisan penegakan tunggal untuk menemukan agen, model, dan server MCP pihak ketiga di berbagai platform seperti Amazon Bedrock, Microsoft, dan Google. Pelanggan dapat berinteraksi dengan agen tersebut melalui obrolan dan kanal watsonx Orchestrate. Kemampuan penemuan ini, yang masih dalam tahap pratinjau teknis, terhubung ke platform seperti Amazon Bedrock, Microsoft Foundry, dan Google Gemini untuk menemukan agen yang dibuat di lingkungan pihak ketiga, serta mencakup model dan server MCP.

Katalog Orchestrate sedang dikembangkan menjadi katalog dengan tata kelola yang selaras dengan OWASP, CoSAI, dan IBM AI Risk Atlas. Untuk agen tertentu, termasuk Ziemacs dan Cognos Partners, katalog ini menampilkan metrik kinerja, keandalan, dan latensi, serta informasi kepatuhan terhadap EU AI Act. Untuk server MCP tertentu, termasuk Box, Visier, dan New Relic, katalog ini menampilkan kesesuaian protokol, integritas skema alat, dan penolakan kredensial bawaan.

Kemampuan pembatasan, yang juga masih dalam pratinjau teknis, menjalankan agen di lingkungan sandbox terisolasi dan menyediakan tombol penghentian darurat agar tim dapat menghentikan agen mana pun. Sementara itu, Premium Runtime menyediakan isolasi kontainer tervirtualisasi perangkat keras, mencegah pergerakan lateral, dan membatasi sumber daya dengan perlindungan berbasis perangkat keras. Perangkat evaluasi tersedia secara umum: tim dapat menguji kualitas, akurasi, dan kepatuhan agen, model, serta server MCP sebelum penerapan, lalu memantaunya di lingkungan produksi, dengan pelacakan biaya bawaan untuk penggunaan model dan token. Perangkat baru mencakup evaluasi Custom LLM-as-a-Judge, simulasi pengguna dengan evaluasi deterministik, Trace Inspector, dan AgentOps Agent yang menyelidiki kegagalan serta menghasilkan kasus pengujian. Orchestrate juga dapat terhubung langsung dengan Microsoft Entra dan IBM Verify sebagai penyedia identitas bagi identitas agen manusia maupun nonmanusia.

Integrasi NVIDIA, Ketersediaan, dan Program Konferensi

IBM menyatakan bahwa Agent Identity dan HashiCorp Vault terintegrasi dengan perangkat lunak runtime aman NVIDIA OpenShell, yang menjadi fondasi NVIDIA OpenShell Architecture. Integrasi ini memadukan lingkungan runtime terlindungi dengan identitas terverifikasi dan kredensial berumur pendek untuk setiap agen. John Fanelli, wakil presiden perangkat lunak perusahaan di NVIDIA, mengatakan bahwa kolaborasi ini memadukan runtime OpenShell yang diatur oleh kebijakan dengan Agent Identity dan Vault untuk mendukung eksekusi yang aman serta akses dengan cakupan ketat ke sistem bisnis.

Dari segi ketersediaan, HashiCorp Vault 2.2, Agent Identity, kemampuan evaluasi watsonx Orchestrate, IBM Concert, dan kebijakan Terraform tersedia secara umum; Secure Hub, Terraform Developer Portal, server MCP jarak jauh Terraform, dan IBM Z Atlas berada dalam pratinjau publik; sedangkan IBM Integration Intelligence Hub serta kemampuan Orchestrate untuk menemukan dan membatasi agen berada dalam pratinjau teknis.

Pembicara dari kalangan klien dalam konferensi ini mencakup athenahealth, yang membahas otomatisasi pengelolaan sertifikat dengan mesin PKI Vault; Albert Einstein College of Medicine, yang membahas penerapan IBM Verify dan Vault untuk identitas agen, akses just-in-time, rahasia dinamis, dan kemampuan audit; Optum, yang membahas Vault Radar dan Boundary; Seven-Eleven Japan, yang membahas Vault Enterprise dan Vault Radar; serta Yum! Brands, yang membahas pembangunan platform keamanan identitas dengan IBM Verify. Shailesh M. Shenoy, Asisten Dekan bidang Teknologi Informasi di Albert Einstein College of Medicine, mengatakan bahwa teknologi seperti IBM Verify dan HashiCorp Vault dapat membantu organisasi membangun kontrol identitas, akses, dan keamanan yang diperlukan untuk berinovasi dengan penuh keyakinan.

IBM menyatakan bahwa TechXchange tahun ini, yang mencakup HashiConf, mempertemukan hampir 6.500 peserta dari 85 negara, dengan lebih dari 1.000 sesi, 180 lokakarya praktik langsung, 260 sesi yang dipimpin klien, dan lebih dari 50 ujian sertifikasi.