Cień AI był łatwym problemem: Prawdziwe ryzyko to ukryte agenci w zatwierdzonym oprogramowaniu

Dwa lata temu, cień AI oznaczał, że pracownicy wklejali dane klientów do ChatGPT. Rozwiązanie, w ogólnym zakresie, było zarządzalne: odkryć narzędzia, uznać dobre, zablokować złe, przeszkolić ludzi. Większość organizacji jest gdzieś w połowie wykonywania tego planu, gdzie 61% już spotkało się z cieniem AI w swoich środowiskach i plan w większości działa.

Jednakże, ten opis nie odnosi się już do problemu. Cień AI przesunął się poza problem behawioralny do problemu architektonicznego. Tradycyjna kontrola nie może nadążyć za nowoczesnym krajobrazem, w tym agentami AI wbudowanymi przez dostawców i pracownikami połączonymi z systemami z odziedziczoną tożsamością, co sprawia, że tożsamość jest jedynym prawdziwym punktem kontrolnym.

Dwa cienie, których nie obserwujesz

Interesujące pytanie w 2026 roku nie brzmi: jaki narzędzie AI otworzył pracownik. To, jaki agent AI cichy dostawca wysłał w ramach aktualizacji produktu w zeszłym kwartale i jakie uprawnienia odziedziczył od osoby, która go zainstalowała.

Cień AI kiedyś był kwestią zachowania. Mogliśmy go zobaczyć, nazwać i ustalić politykę. Wersja, która się rozprzestrzenia, jest strukturalna. Przyszedł przez oprogramowanie, które już zatwierdzono, działa pod pożyczonymi poświadczeniami, w procesach, które już zbadano. Cień nie jest już behawioralny, jest architektoniczny. Pracownicy wciąż są na zdjęciu, ale przesunęli się od korzystania z AI do wdrażania jej: łącząc agenci z systemami, do których mają już dostęp, i robią to przez interfejsy zaprojektowane do tego, aby to było proste. Polityki napisane dla pierwszego zachowania nie dotykają drugiego.

To dlatego “zakazaj go” nie było prawdziwą debatą. CISO, którzy wyprzedzili cień AI, sankcjonując narzędzia przedsiębiorstw i pchając pracowników w stronę zarządzanych alternatyw, wygrali tę rundę i odkryli, że następna była już w toku i miała dwa wektory, a nie jeden. Pierwszy to, co zatwierdzeni dostawcy wysyłają do produktów już w produkcji: wbudowane modele, tryby agenckie, nowe integracje, które przybyły w notatce o wydaniu, której nikt nie przeczytał. Drugi to, co pracownicy sami łączą: LLM połączony z CRM przez automatyzację bez kodu, niestandardowy GPT, który otrzymał klucz API do magazynu danych, połączenie MCP z asystenta biurkowego do systemu produkcyjnego. Obie prowadzą do tego samego wyniku, w tym agenci działający pod zatwierdzonymi poświadczeniami, wobec zatwierdzonych systemów, w procesach, które nigdy nie przeszły przez żadną kontrolę, aby je wykryć. Zakup może zobaczyć pierwszy wektor i całkowicie przegapić drugi.

Warto być szczerym w sprawie tego, jak nierównomiernie pierwsza runda była wygrana. Dziewięć na dziesięć organizacji planuje zwiększyć budżet IT związany z AI, a wiele z nich planuje szersze rozszerzenie na operacje IT w ciągu najbliższych 6-24 miesięcy. Wydatki płyną w stronę inteligentnych możliwości. Kontrole doganiają o cal. To niedopasowanie jest problemem, a nie efektem ubocznym.

Obwód zawsze był ludzki

Model myślowy, który działał dla pierwszej fali, nie działa dla tej. Cień AI jako zachowanie pracownika zakładał, że człowiek podejmował decyzję, na którą zespół bezpieczeństwa mógł wpłynąć. Cień AI jako architektura dostawcy usuwa tę decyzję. Model, który napisał e-mail, agent, który zaplanował spotkanie, asystent, który podsumował dokument i przesłał go dalej. Żaden z nich nie wymagał, aby pracownik zrobił cokolwiek poza kontynuowaniem korzystania z oprogramowania, które im powiedziano, aby używać.

Prawdziwa odpowiedź brzmi, że obwód, który większość programów bezpieczeństwa wciąż broni, był obwodem ludzkiej akcji. Pracownicy otwierający narzędzia, pracownicy udzielający dostępu, pracownicy podejmujący decyzje, na które zespół bezpieczeństwa mógł wpłynąć. Ten obwód znika w dwóch kierunkach jednocześnie. Od góry, dostawcy wysyłają agenci do zatwierdzonych produktów szybciej, niż jakikolwiek proces przeglądu może nadążyć. Od dołu, pracownicy wychodzą z roli użytkownika i wchodzą w rolę integratora, łącząc agenci z systemami przez interfejsy, które zostały zaprojektowane do samodzielnego obsługi i nigdy nie zostały przygotowane do kontroli.

Jedyne miejsce, gdzie można jeszcze szukać

Tożsamość jest właściwym punktem kontrolnym, ale ramy muszą się przesunąć. Konwencjonalne sformułowanie mówi “tożsamość jest nowym obwodem”, ponieważ użytkownicy są wszędzie, urządzenia są wszędzie, a oprogramowanie jako usługa jest wszędzie. To było prawdą dekadę temu, teraz jest to podstawa. Wersja, która ma znaczenie w 2026 roku, jest inna: tożsamość jest jedynym miejscem, gdzie można zobaczyć, co AI tak naprawdę robi, ponieważ w momencie, gdy to robi, granica narzędzia została już przekroczona. Agent działa pod pożyczonymi poświadczeniami. Czyje, z jakim zakresem, wobec jakich danych, na czyją autoryzację są jedynymi pytaniami, które dają użyteczny ślad audytowy. Kontrola na poziomie narzędzia nie może odpowiedzieć na te pytania, ponieważ narzędzie nie jest już jednostką analizy.

Niżej niż 90% liderów IT już rozpoznaje, że ujednolicenie ma bezpośredni wpływ na ich zdolność do wdrożenia i skalowania AI w sposób bezpieczny. Trudniejsze pytanie brzmi, co ujednolicenie oznacza na poziomie kontroli. Nie może to być po prostu mniej paneli. Oznacza to pojedynczą tkaninę tożsamości, w której każdy aktor, czy to ludzki, konto usługi, agent, wbudowany model, jest przydzielony, ograniczony, monitorowany i wycofany przez ten sam zestaw mechanizmów. Cokolwiek poniżej tego daje wygląd skonsolidowanej kontroli, podczas gdy w rzeczywistości jest to tylko fragmentaryczne egzekwowanie.

Twoja recenzja dostawcy ma datę ważności

Niestety, recenzja dostawcy jest ważna tylko przez jakiś czas. To ma niekomfortowe implikacje dla struktury programów bezpieczeństwa. Większość komitetów ds. zarządzania AI jest zorganizowana wokół przeglądu narzędzi, z dostawcami, którzy przychodzą i są oceniani, sankcjonowani lub odrzucani, aby dostać się do rejestru. Ten proces zakłada, że zachowanie narzędzia w momencie sankcji jest zachowaniem narzędzia w produkcji. Dla oprogramowania z wbudowanym AI ten założenie jest złamany zanim atrament wysechł. Dostawca wyśle nowy model, nowy tryb agenta, nową integrację, a przegląd zarządzania, który został zatwierdzony sześć miesięcy temu, opisuje teraz produkt, który nie istnieje.

Ze sprzętu na tożsamość

Programy, które się utrzymają, to te, które przenoszą kontrolę ze sprzętu na tożsamość. Każda akcja wobec Twoich danych, przez każdego aktora, jest śledzalna do tożsamości z znanym właścicielem, ograniczonym zestawem uprawnień i określonym czasem życia. Czy to ludzki, czy nie-ludzki, pracownik, czy agent, zatwierdzone narzędzie, czy tryb wbudowany, pytanie jest takie same: kim jest to, co mu wolno robić i jak wiemy, kiedy to powinno przestać być prawdą? Programy, które mogą odpowiedzieć na te pytania, nie muszą wygrywać wyścigu sankcjonowania narzędzi. Programy, które nie mogą, będą grać w catch-up z dostawcami i pracownikami, którzy wysyłają szybciej, niż jakikolwiek proces przeglądu może się poruszać.

Cień AI jako kategoria nie znika. Szczególnie z nową erą agenckiej siły roboczej, 72% organizacji już ma agenci AI w produkcji. Zamiast tego, staje się mniejszą częścią większego problemu. Organizacje, które wydają następny cykl budżetowy na odkrycie narzędzi i politykę sankcjonowania, są tymi, które rozwiązują problem z 2024 roku na harmonogramie 2026. Te, które wydają go na instrumentację warstwy tożsamości dla ludzi, agentów, nieładu między nimi, są rozwiązującym problem, który naprawdę będą mieli.

Pierwsza fala cienia AI nauczyła zespoły bezpieczeństwa, że nie mogą uciec przed ciekawością pracowników. Druga fala nauczy ich, że nie mogą uciec przed prędkością dostawców ani przed pomysłowością pracowników. Obie lekcje wskazują na ten sam wniosek. Jednostka zarządzania nigdy nie była narzędziem. Zawsze była tożsamością działającą przez niego.