هوش مصنوعی در حال تبدیل شدن به بزرگ‌ترین چالش امنیت هویت سازمان‌ها است

شاید چالش اصلی هوش مصنوعی در حال حاضر، دیگر خودِ هوش مصنوعی نیست؛ بلکه «اعتماد» به هویت‌هایی است که این فناوری ایجاد می‌کند.

به گزارش افتانا ، تازه‌ترین گزارش شرکت Delinea درباره وضعیت امنیت هویت در سال ۲۰۲۶ نشان می‌دهد که با گسترش استفاده از عامل‌های هوش مصنوعی (AI Agents)، معادلات امنیت سایبری وارد مرحله تازه‌ای شده است. برخلاف گذشته که تمرکز اصلی بر حفاظت از کاربران انسانی بود، اکنون هویت‌های غیرانسانی، عامل‌های هوشمند و حساب‌های ماشینی به مهم‌ترین دغدغه تیم‌های امنیت اطلاعات تبدیل شده‌اند؛ تغییری که اگر با سازوکارهای مناسب مدیریت نشود، می‌تواند مسیر تازه‌ای برای نفوذ مهاجمان ایجاد کند. این گزارش که بر اساس نظرسنجی از مدیران و متخصصان امنیت سایبری تهیه شده، تصویری از سازمان‌هایی ارائه می‌دهد که با سرعت در حال پیاده‌سازی هوش مصنوعی هستند، اما همزمان کنترل خود بر هویت‌ها، سطح دسترسی‌ها و سازوکارهای نظارتی را به تدریج از دست می‌دهند.

سرعت کسب‌وکار؛ رقیب امنیت یکی از مهم‌ترین یافته‌های گزارش آن است که فشار برای توسعه پروژه‌های مبتنی بر هوش مصنوعی، بسیاری از سازمان‌ها را وادار کرده تا از سختگیری‌های امنیتی خود عقب‌نشینی کنند. بر اساس نتایج این مطالعه، ۹۰ درصد سازمان‌ها اعلام کرده‌اند که مدیران کسب‌وکار از تیم‌های امنیتی می‌خواهند محدودیت‌های دسترسی را کاهش دهند تا پروژه‌های مبتنی بر هوش مصنوعی با سرعت بیشتری اجرا شوند. در حدود یک‌پنجم سازمان‌ها نیز این فشار «بسیار زیاد» توصیف شده است.

به اعتقاد پژوهشگران، این همان الگوی آشنایی است که پیش‌تر در مهاجرت به رایانش ابری، گسترش سرویس‌های SaaS و استفاده از دستگاه‌های شخصی نیز مشاهده شده بود؛ جایی که سرعت تحول دیجیتال، ملاحظات امنیتی را به حاشیه راند.

هوش مصنوعی سایه؛ تهدیدی که از داخل سازمان آغاز می‌شود گزارش Delinea توجه ویژه‌ای به پدیده Shadow AI دارد؛ یعنی استفاده کارکنان از ابزارها و عامل‌های هوش مصنوعی بدون اطلاع یا تأیید واحد فناوری اطلاعات. بررسی‌ها نشان می‌دهد ۵۳ درصد سازمان‌ها به طور منظم با ابزارها یا عامل‌های هوش مصنوعی غیرمجاز مواجه می‌شوند که به سامانه‌ها یا داده‌های سازمان دسترسی پیدا کرده‌اند. با این حال، تنها ۲۸ درصد سازمان‌ها قادرند این فعالیت‌ها را به صورت لحظه‌ای شناسایی کنند.

به گفته کارشناسان، این موضوع از آن جهت نگران‌کننده است که عامل‌های هوش مصنوعی معمولاً با همان مجوزها و دسترسی‌های کاربر اجرا می‌شوند و از دید سامانه‌های امنیتی، تفاوت محسوسی با فعالیت‌های عادی کاربران ندارند. در نتیجه، تشخیص اینکه یک اقدام توسط کارمند انجام شده یا توسط عامل هوش مصنوعی او، به مراتب دشوارتر از گذشته خواهد بود.

هویت‌های غیرانسانی؛ چالش جدید امنیت سایبری گزارش Delinea نشان می‌دهد رشد سریع عامل‌های هوش مصنوعی، تعداد «هویت‌های غیرانسانی» (Non-Human Identities یا NHI) را به شدت افزایش داده است. این هویت‌ها شامل عامل‌های هوش مصنوعی، حساب‌های سرویس، APIها، ربات‌ها، میکروسرویس‌ها و سایر موجودیت‌های نرم‌افزاری هستند که برای انجام وظایف خود به سامانه‌های مختلف متصل می‌شوند.

مشکل آنجاست که برخلاف نرم‌افزارهای سنتی، عامل‌های هوش مصنوعی می‌توانند بر اساس شرایط تصمیم بگیرند، درخواست دسترسی‌های جدید بدهند و حتی سطح دسترسی خود را افزایش دهند. به همین دلیل، ۸۰ درصد سازمان‌های مورد بررسی اعلام کرده‌اند که همیشه نمی‌توانند توضیح دهند چرا یک هویت غیرانسانی اقدام دارای سطح دسترسی ویژه انجام داده است.

دسترسی دائمی؛ میانبر پرهزینه یکی دیگر از یافته‌های مهم این گزارش، استفاده گسترده از دسترسی‌های دائمی برای عامل‌های هوش مصنوعی است. اگرچه ۷۳ درصد پاسخ‌دهندگان معتقدند اعطای دسترسی دائمی به عامل‌های هوش مصنوعی ریسک امنیتی را افزایش می‌دهد، اما ۷۴ درصد گفته‌اند بدون این دسترسی‌ها، حفظ پایداری خدمات و اجرای پروژه‌های هوش مصنوعی دشوار خواهد بود. همچنین ۶۸ درصد اذعان کرده‌اند که تیم‌های امنیتی تحت فشار عملیاتی، ناچار به پذیرش این وضعیت می‌شوند.

به بیان دیگر، بسیاری از سازمان‌ها از خطر آگاه هستند، اما برای جلوگیری از اختلال در فرآیندهای کسب‌وکار، ریسک را می‌پذیرند.

مهاجمان نیز از هوش مصنوعی استفاده می‌کنند در بخش دیگری از گزارش آمده است که مهاجمان سایبری نیز به سرعت در حال بهره‌گیری از هوش مصنوعی هستند. بر اساس تحلیل Delinea، حملات جدید بیش از گذشته بر سرقت اعتبارنامه‌ها، سوءاستفاده از سامانه‌های مدیریت هویت، حساب‌های دارای دسترسی ویژه و زیرساخت‌های احراز هویت متمرکز شده‌اند. در این گزارش تأکید شده که امروزه بسیاری از نفوذها نه از طریق بهره‌برداری از آسیب‌پذیری‌های نرم‌افزاری، بلکه با استفاده از اعتبارنامه‌های معتبر، توکن‌های دسترسی، مجوزهای OAuth و مسیرهای اتوماسیون انجام می‌شود. به همین دلیل، ۹۲ درصد سازمان‌های مورد بررسی معتقدند هوش مصنوعی در سال‌های آینده تهدیدات مرتبط با هویت دیجیتال را تشدید خواهد کرد.

امنیت هویت باید با سرعت ماشین حرکت کند کارشناسان Delinea معتقدند ابزارهای سنتی مدیریت هویت دیگر پاسخگوی محیط‌های مبتنی بر هوش مصنوعی نیستند. آنها پیشنهاد می‌کنند سازمان‌ها به جای اتکا به مجوزهای دائمی، به سمت مدل‌های Just-in-Time Access، Zero Standing Privilege (ZSP) و پیاده‌سازی اصول Zero Trust حرکت کنند؛ رویکردی که در آن دسترسی‌ها تنها در زمان نیاز و برای مدت محدود اعطا می‌شود و هیچ هویتی—چه انسانی و چه ماشینی—به صورت پیش‌فرض مورد اعتماد قرار نمی‌گیرد.

در کنار این موضوع، گزارش بر ایجاد دید کامل نسبت به تمامی هویت‌های انسانی و غیرانسانی، کنترل مستمر سطح دسترسی‌ها، محدودسازی اختیارات عامل‌های هوش مصنوعی و فراهم کردن محیط‌های آزمایشی ایزوله برای توسعه و آزمون این عامل‌ها تأکید می‌کند.

جمع‌بندی پیام اصلی گزارش Delinea این است که چالش اصلی هوش مصنوعی دیگر خودِ هوش مصنوعی نیست؛ بلکه «اعتماد» به هویت‌هایی است که این فناوری ایجاد می‌کند. در گذشته، تیم‌های امنیتی عمدتاً نگران کاربران انسانی بودند، اما اکنون هزاران عامل هوشمند، حساب ماشینی و سرویس خودکار در حال دسترسی به سامانه‌های حیاتی هستند؛ موجودیت‌هایی که ممکن است هیچ مالک مشخصی نداشته باشند، دائماً در حال تغییر باشند و تصمیم‌هایی بگیرند که حتی توسعه‌دهندگان آنها نیز از قبل پیش‌بینی نکرده‌اند.

در چنین شرایطی، امنیت هویت از یک قابلیت فنی به یکی از مهم‌ترین مؤلفه‌های حکمرانی هوش مصنوعی تبدیل شده است. سازمان‌هایی که نتوانند دید دقیقی نسبت به هویت‌های انسانی و غیرانسانی خود ایجاد کنند، در عمل کنترل یکی از مهم‌ترین سطوح حمله در عصر هوش مصنوعی را از دست خواهند داد.

فایل PDF نسخه کامل این گزارش در بالای همین مطلب قابل دریافت است.