Token Security Kurucu Ortağı ve CTO'su Ido Shlomo tarafından yazıldı.
Yapay zeka asistanları artık toplantı notlarını özetlemiyor, e-posta yazmıyor ve soruları yanıtlamıyor. Bildirim açma, günlükleri analiz etme, hesapları yönetme ve hatta olayları otomatik olarak düzeltme gibi eylemlerde bulunuyorlar.
Size yalnızca bundan sonra ne yapacağınızı söylemekle kalmayıp bunu sizin için yapan ajan yapay zeka çağına hoş geldiniz. Bu aracılar inanılmaz derecede güçlüdür ancak aynı zamanda tamamen yeni bir tür güvenlik riskini de beraberinde getiriyorlar.
Başlangıçta şirketlerde yapay zekanın benimsenmesi zararsız görünüyordu. ChatGPT ve Copilot gibi araçlar insanlara temel yazma ve kodlama konusunda yardımcı oldu ancak bağımsız hareket etmedi. Bu hızla değişiyor.
Ekipler, güvenlik incelemeleri veya onayı olmadan, hedefleri yorumlayabilen, adımları planlayabilen, API'leri çağırabilen ve diğer aracıları çağırabilen otonom yapay zeka sistemlerini devreye alıyor. Bir AI pazarlama asistanı artık kampanya performans verilerini analiz edebilir ve hedeflemeyi ve bütçeyi aktif olarak optimize edebilir. Bir DevOps aracısı, olayları tarayabilir ve bir insanı beklemeden düzeltmeye başlayabilir.
Sonuç? İnsanların izleyebileceğinden daha hızlı karar veren ve eyleme geçen, giderek büyüyen bir aracı sınıfı.
Kuruluşlar, hizmet hesapları ve API anahtarları gibi İnsan Dışı Kimlikleri (NHI'ler) yönetmeye başlasa da, ajansal yapay zeka aynı kalıba uymuyor.
Tahmin edilebilir bir dizi eylemi takip eden bir iş akışının aksine, bir yapay zeka aracısı bundan sonra ne yapılacağına karar verir. Birden fazla adımı birbirine bağlama, farklı sistemlere erişme ve yol boyunca planını ayarlama yeteneğine sahiptir. Ajanları hem güçlü hem de tehlikeli kılan şey bu esnekliktir. Temsilciler sınırların ötesinde hareket edebildiklerinden, onlara bir veritabanına, CRM'ye ve Slack'e erişim vermek gibi basit bir eylem, onları şirketteki en güçlü kullanıcılar arasına sokabilir.
Çok etmenli ekosistemler yeni karmaşıklık düzeyleri getiriyor. Bir temsilci başka aracıları aramaya veya hatta oluşturmaya başladığında, bir eylemi onu başlatan insana kadar takip etme yeteneği bulanıklaşmaya başlar.
Yapay zeka ajanları artık yalnızca talimatları takip etmekle kalmıyor, harekete geçiyor.
Token Security'nin, kuruluşların eylemlerin, amacın ve sorumluluğun uyumlu olması gereken Agentic AI çağı için erişim kontrolünü yeniden tanımlamasına nasıl yardımcı olduğunu öğrenin.
Tedbirli şirketler bile gölge yapay zekanın çevrelerine sızdığını keşfediyor. Bir ürün yöneticisi yeni bir yapay zeka araştırma aracına kaydolur. Bir ekip, bir toplantı botunu dahili sürücülere bağlar. Bir mühendis, müşteri kayıtlarını sorgulayabilecek yerel bir yapay zeka asistanını çalıştırıyor.
Her biri teknik olarak bir hizmettir ve bu nedenle her birinin yönetişime ihtiyacı vardır. Ancak bu araçların çoğu kuruma resmi bir inceleme, güvenlik taraması veya kimlik kaydı olmadan giriyor.
Geleneksel görünürlük araçları bunları net bir şekilde göremiyor. CASB araçları yeni bir SaaS alanını işaretleyebilir ancak bulut işlevleri veya VM'ler üzerinde sessizce çalışan birkaç yüz AI aracısını yakalayamaz.
Kötü niyetli değil; sadece hızlı. Ve hız her zaman gözetimin düşmanı olmuştur.
Peki, göremediğiniz ve makine hızında çalışan bir şeyin güvenliğini nasıl sağlarsınız? Güvenlik ekiplerinin kimlik stratejilerini yeni yöntemlerle uyarlamaları gerekiyor:
Çoğu şirketin, artık ihtiyaç duyulmadığında AI temsilcilerini kullanımdan kaldıracak temiz bir süreci yok. Mart ayında deneme olarak başlayan geliştirici prototipi, artık şirkette olmayan birinin oluşturduğu kimlik bilgilerini kullanarak Ekim ayında hala çalışıyor. Başka bir temsilci, artık müşteri verilerine erişene kadar istem ve araç değişiklikleri yoluyla sessizce gelişti. Bu ajanlar kötü niyetli olmasalar da görünmez, ısrarcı ve güçlüdürler.
Bu nedenle giderek daha fazla kuruluş, her aktif aracıyı, amacını, sahibini, izinlerini ve ömrünü listeleyen yapay zeka aracı envanterleri oluşturuyor. Yapay zeka aracılarını ve kimliklerini yönetilebilir kılmak için gereken temel budur.
Amaç, kuruluşunuz verimlilik ve rekabet avantajı elde etmek için yapay zekaya bakarken aracıların çalışmasını engellemek değildir. Etkili gözetim ve yönetime sahip olduklarından emin olmak içindir.
Kuruluşlar, yeni işe alınan bir yöneticiye her şeye erişim izni vermediği gibi, AI temsilcilerine de belirli sorumluluklar vermeleri, çalışmalarını gözden geçirmeleri ve kararlarını kontrol etmeleri gerekir.
Anahtar, ekiplerin kapsamı otomatik olarak sınırlandıran, davranışı günlüğe kaydeden ve hileli işlemleri zarar vermeden önce kapatan sistemler oluşturmasına olanak tanıyan yönetişimdir. Çünkü bu temsilciler yalnızca raporları özetlemiyor veya bildirimleri önceliklendirmiyor. Olayları kapatıyorlar, işlemleri onaylıyorlar ve müşterilerle doğrudan etkileşime giriyorlar.
Bu gerçekleştiğinde, "gölge yapay zeka" bir merak konusu olmaktan çıkıp bir krize dönüşecek.
Ajansal yapay zeka geleceğin bir sorunu değil. Zaten yığınınızda var. Kimlikleri hâlâ insan ya da insan olmayan olarak yönetiyorsanız üçüncü bir kategoriye yer açmanın zamanı geldi: özerk aktörler. Kimliğe, izinlere ve sorumluluğa ihtiyaçları var.
Aynı zamanda kontrole ve yönetişime de ihtiyaç duyarlar ve aracılara, kimlik bilgilerine sahip komut dosyaları yerine, süper güçlere sahip iş arkadaşları gibi ne kadar erken davranırsak, kuruluş o kadar güvenli olacaktır.
14'ten fazla siber güvenlik sektörü liderinden daha fazla en iyi uygulama için Token Security'nin Yapay Zeka Güvenlik Kılavuzuna bakın.
Token Security tarafından desteklenmiş ve yazılmıştır.
Kaynak: Bleeping Computer