Agentic AI gjør NHI-sprelling til et ugjernbar angrepsflate

Moderne sky-miljøer er bygget på tusenvis av ikke-menneskelige kredensialer som stille har kraftig tilgang og sjelden mottar den granskningen de fortjener. Servicekontoer, API-nøkler, OAuth-token og andre ikke-menneskelige kredensialer autentiserer stille applikasjonsatferd, men er ofte dårlig inventarisert, sjelden rotert og vanskelig å styre. Mandiant’s M‑Trends 2026 rapport, som bygger på over 450 000 timer med incidentrespons, bekrefter hva mange sikkerhetsteam har mistenkt i årevis: disse maskinidentitetene har blitt en primær angrepsvektor i skybrudd. Trusler samler inn langvarige OAuth-token, kompromitterer tredjeparts SaaS-leverandører for å stjele hardkodede nøkler, og bruker deretter disse hemmelighetene for å vippe i miljøer for storstilt datastjeling. Funnet overrasker ikke noen som følger med i dette området, men hva som er alarmerende for disse praktikerne er hva som legges til på toppen av problemet. Organisasjoner som kjemper for å styre servicekontoer de allerede har, deployer samtidig agentic AI-systemer som preger nye ikke-menneskelige identiteter i en hastighet som pre-AI-styringsprosesser aldri var designet til å håndtere. Den kollisjonen, mellom et kjent problem og en ny akselerator, er der eksponeringen bor.

Arismetikken til ikke-menneskelig identitetssprelling

Forholdene er vanskelige å akseptere før du har gått gjennom matematikken. En annen nylig studie som ble publisert tidligere i år fant at ikke-menneskelige identiteter overstiger menneskelige brukere 82 til 1 i bedriftsmiljøer. I deres Identity Security Outlook 2026 rapport, fant ManageEngine at nesten halvparten av organisasjonene de spurte så ratios over 100 til 1, med noen sektorer som nådde 500 til 1. Mellom H1 2024 og H1 2025 alene, så den gjennomsnittlige bedriften en økning på 44% i NHI-volum.

Spredningen av ikke-menneskelige identiteter i bedriftsmiljøer var allerede i gang før agentic AI-systemer ble utbredt. Denne veksten var hovedsakelig drevet av skiftet til skydatamaskiner, tilpasningen av mikrotjenestearkitekturer og den økende integreringen av SaaS-plattformer. Imidlertid legger agentic AI ikke bare til denne eksisterende utfordringen på en lineær måte. Det vil fundamentalt endre tempo og skala på problemet i fremtiden. Hver agent som deployes for å undersøke varsler, orchestrere arbeidsflyter eller få tilgang til dataarkiv, krever sin egen identitetsinfrastruktur. Som et resultat, opplever organisasjonene en rask økning i antall kredensialer, tilgangstoken og tillatelsesskalaer, samt fremveksten av underagenter som har sine egne identitetskjeder. Derfor vil tradisjonelle verktøy sannsynligvis ikke lenger være i stand til å pålitelig spore eller kvantifisere antall aktive ikke-menneskelige identiteter innen en organisasjon på et gitt tidspunkt.

Hvorfor dette er et trusselintelligensproblem

Angrepsflatens arismetikk skifter når agenter er involvert. En angriper som kompromitterer en privilegert menneskelig konto, har fått tilgang til én identitet. En angriper som får tilgang til en feilkonfigurert agentkredensial, eller forgifter dataene en agent grunner over, eller injiserer instruksjoner i en agents inndatapipeline, arver tillatelsene til et autonomt system koblet til dusinvis av nedstrøms-tjenester.

Incidentene er allerede i ferd med å materialisere. I 2025, AppOmni avdekket CVE-2025-12420 i ServiceNow’s Virtual Agent-integrasjon, en svakhet som tillot uautentiserte angripere å forkle seg som enhver bruker ved hjelp av bare en e-postadresse, og omgå MFA og SSO for å kjøre AI-agenter med administrative privilegier. OpenClaw-sårbarhetene som dukket opp tidlig i 2026, som berørte et åpen kilde AI-agent-rammeverk med over 135 000 GitHub-stjerner, viste at en malisøs nettsted kunne kapre en utviklers AI-agent uten å kreve noen plugins eller brukerinteraksjon. Mandiant’s eget casework dokumenterte trusleaktøren UNC6395 som stjal OAuth-token fra en SaaS-leverandørs Salesforce-integrasjon for å få tilgang til kunde-miljøer over 700 organisasjoner.

Eksplosjonsradiusen til en identitetskompromiss er ikke lenger begrenset av hva en person kan få tilgang til. Den er begrenset av hva en agent var autorisert til å gjøre, som i mange produksjons distribusjoner i dag betyr at den ikke er praktisk begrenset i det hele tatt.

Styringsgapet er arkitektonisk

Cloud Security Alliance og Strata Identity undersøkte sikkerhetsledere i slutten av 2025 og fant at bare 18% uttrykte høy tillit til at deres IAM-verktøy kunne håndtere agentidentiteter. Bare 28% kunne spore agenthandlinger tilbake til en menneskelig sponsor over alle miljøer. De øverste bekymringene som driver investeringer forteller historien: følsom dataeksponering (55%), uautoriserte handlinger (52%), kredensialmisbruk (45%) og evnen til å oppdage eller registrere agenter (40%).

Disse tallene beskriver en miljø hvor sikkerhetsteamene vet at agenter kjører, men ikke kan pålitelig svare på hvem som eier dem, hva de er autorisert til å få tilgang til, hva de har fått tilgang til eller hvordan de kan tilbakekalle deres kredensialer renlig. Identitetsrammeverkene som ligger til grunn for de fleste bedriftssikkerhetsprogrammene antar evnen til å tillegge handlinger til en hovedperson. Når en agent genererer en underagent, som kjeder en annen handling, som utløser en tredje system, blir tilleggingen et grafproblem i stedet for en oppslag. De fleste organisasjonene har ikke verktøyene til å traversere denne grafen.

Cisco’s State of AI Security 2026 rapport kvantifiserte forberedelsesgapet fra den andre siden: mens de fleste organisasjonene planla å deployere agentic AI, rapporterte bare 29% at de var forberedt på å sikre disse deployeringene. De resterende 71% mangler forberedelse ikke fordi angrep er hypotetiske, men fordi angrepene ikke ligner det som eksisterende verktøy var designet til å fange.

Hastighetsproblemet

Organisasjoner som vil håndtere dette best, er de som behandler agentidentitet med samme livssyklusdisiplin som de anvender på privilegerte menneskelige kontoer. Spesifikt, definert eierskap, minst-privilegie-omfang, rotasjonsplaner og en troverdig avslutningsbryter. Maskin-hastighetsidentitetsopprettelse kan ikke styres av menneske-hastighetsgodkjenningprosesser. Styringsverktøyene må operere i samme tempo som deployeringsverktøyene. For de fleste organisasjonene, finnes ikke dette verktøyet i produksjon. Hva som mangler, er ikke bevissthet om at ikke-menneskelige identiteter er en risiko. Det er styringsinfrastruktur som kan operere i samme klokkehastighet som systemene som lager disse identitetene. Hver uke som gapet består, øker avstanden mellom hva sikkerhetsteamene kan se og hva som faktisk kjører, med en generasjon agentdeployeringer.