Otonom yapay zeka aracılarının yükselişi, kurumsal güvenliğin temellerini zorluyor. Bu sistemler yalnızca statik iş akışlarını veya kodları takip etmez. Bağımsız kararlar alırlar, sistemler arasında eylemler gerçekleştirirler ve çoğu durumda bunu insan gözetimi olmadan yaparlar.
Bu değişim, CISO'lar için, geleneksel insan odaklı kimlik modellerinin, kontrollerinin ve izleme çerçevelerinin yönetecek donanıma sahip olmadığı yeni ve acil bir insan dışı kimlikler (NHI'ler) kategorisi getiriyor.
Gölge Temsilciler: Çalışanların aksine, AI temsilcileri nadiren resmi işe alım veya işten çıkarma süreçlerinden geçer. Bu, ajanların yayılmasına ve gölge yapay zeka dağıtımlarına yol açıyor. Birçok aracı, kullanım durumu sona erdikten sonra bile kimlik bilgilerini, aktif belirteçleri veya kritik sistem ve uygulamalara olan bağlantıları elinde tutmaya devam eder. Bu aracılar, sahip oldukları aşırı izinler nedeniyle saldırganlar için çekici hale geliyor ve yönetimde giderek büyüyen bir kör nokta haline geliyor.
Ayrıcalık Artışı: Aracılar genellikle aşırı ayrıcalıklı izinlerle çalışır. Bu onlara gerekenden daha geniş erişim ve bazı durumlarda ayrıcalıklarını tam yönetici izinlerine zincirleme yeteneği sağlar. Saldırganlar, aracıları ele geçirerek veya meşru API'ler aracılığıyla yetkisiz eylemleri başlatmaları için onlara talimatlar vererek bu açıklardan yararlanabilir ve günlüklerde "güvenilir" görünen ihlaller oluşturabilir.
Veri Sızıntısı: Yapay zeka aracıları, hassas verileri uygun ölçekte toplayabilir ve iletebilir. API belirtecine veya SaaS entegrasyonuna sahip bir AI aracısı, tehlikeye atılırsa veya kapsamı yetersizse, uyarıları tetiklemeden dahili verileri kullanıcılarına (müşteriler, çalışanlar veya diğer aracılar) veya üçüncü taraf uç noktalara sızdırabilir. Tescilli veri kümelerini ve fikri mülkiyeti çıkarmak için ince istem manipülasyonları veya aracılar arası mesaj zincirleme kullanılabilir ve birçok güvenlik aracı hala bunları anormallik olarak işaretlemede başarısız olur. Bu sadece büyük bir güvenlik riski değil, aynı zamanda kuruluş için potansiyel bir uyumluluk hatasıdır.
Otonom yapay zeka aracılarının en önemli 10 güvenlik riskine genel bakışımızda bu ve diğer güvenlik açıklarının daha geniş risk ortamına nasıl uyduğunu keşfedin.
Yapay zeka ajanları yalnızca talimatları takip etmiyor, aynı zamanda harekete geçiyor.
Token Security'nin, eylemlerin, niyetin ve sorumluluğun uyumlu olması gereken Agentic AI çağı için kuruluşların erişim kontrolünü yeniden tanımlamasına nasıl yardımcı olduğunu görün.
Eski güvenlik araçları, insan amacını ve etkileşimlerini varsayar. Biyometri kullanarak kullanıcıları doğruluyor, oturumları izliyor ve beklenen modellerden sapmaları arıyorlar.
Ancak ajansal yapay zeka alışılmadık şekillerde çalışıyor. Alt aracılar oluşturur, anında yeni API çağrıları başlatır ve gelişen hedeflere dayalı kendi kendine gerekçeler sunar. Davranışı, temel insan veya statik komut dosyası etkinliğiyle eşleşmez ve bu nedenle genellikle algılama araçlarının kafasını karıştırır.
Daha da kötüsü, birçok yapay zeka aracısı, açıkça insan mülkiyeti olmadan faaliyet gösteriyor. Çok aracılı iş akışlarında, eylemler araçlar arasında yayıldıkça başlatıcı kimlik hızla kaybolur.
Sonuç, hiçbir merkezi kontrol veya izlenebilirlik olmaksızın genişleyen bir faaliyet ağıdır. Denetim günlükleri "bunu kim yaptı?" sorusunun cevabını veremez. "Kim" özerk, geçici bir fail süreci olduğunda.
Güvenlik liderleri için ileriye yönelik tek geçerli yol, yapay zeka aracılarına yönelik kimlik öncelikli güvenliktir.
Bu, her aracının benzersiz, yönetilen bir kimliğe sahip olması, izinlerinin eldeki göreve sıkı bir şekilde dahil edilmesi ve yaşam döngüsünün uygun şekilde yönetilmesi gerektiği anlamına gelir.
Kimlik merkezde olmadığında diğer tüm kontroller başarısız olur. Bir temsilcinin kime ait olduğunu ve ne yapması gerektiğini bilmiyorsanız, en az ayrıcalığı uygulayamaz, anormallikleri tespit edemez veya sorumluluk atayamazsınız.
Ajan yapay zekanın kontrolden çıkmasını önlemek için CISO'lar derhal harekete geçmelidir:
Ajansal yapay zekanın en büyük riski belirli bir istismar değildir. Bu güvenlik yanılsaması. Bu aracılar genellikle güvenilir uygulamaların içinde tanıdık kimlik bilgilerini kullanarak çalışır ve ilk bakışta zararsız görünen görevleri gerçekleştirir.
Ancak görünürlük, kapsam veya sahiplik olmadan, yanal hareket, veri hırsızlığı veya sistem manipülasyonu için giriş noktaları haline gelmeleri muhtemeldir.
Yapay zeka daha fazla kurumsal iş akışına dahil edildikçe, yönetilmeyen aracıların yayılması da hızlanacak.
Kimlik, görünürlük ve erişim yönetişimini yapay zekanın benimsenmesinin merkezine yerleştirerek harekete geçen güvenlik liderleri, kontrolden ödün vermeden aracı yapay zekanın avantajlarından yararlanacak şekilde konumlandırılacak.
Bunun pratikte nasıl başarıldığını görmek için Token Security'den bir demo rezervasyonu yapın.
Token Security tarafından desteklenmiş ve yazılmıştır.
Kaynak: Bleeping Computer