Kurumsal kimlik sistemleri; oturum açan, görevlerini tamamlayan ve oturumu kapatan insanlar için tasarlandı. Yapay zekâ ajanları ve otomatik iş akışları, ilk erişim verildikten sonra bulut ortamlarında, kod depolarında, API'lerde ve iç sistemlerde işlem yaparak bu modeli değiştiriyor.
Bu değişim bir güvenlik sorunu doğuruyor: Kuruluşların yazılım aktörlerinin ne yaptığını, nelere erişebildiğini ve eylemlerinin yetkili olup olmadığını anlaması gerekiyor. Geleneksel kimlik ve erişim yönetimi (IAM) araçları genellikle kimlik bilgilerini oturum açılırken doğruluyor. Ajanlar ise sonrasında karar vermeyi, araçları çağırmayı ve sistemleri değiştirmeyi sürdürebiliyor.
Makale, bağlantılı birkaç riske dikkat çekiyor. Çalınan veya ele geçirilen kimlik bilgileri, saldırganların meşru görünmesini sağlayabiliyor. Gölge yapay zekâ, kısa ömürlü kimlik bilgileri ve makine güdümlü eylemler saldırı yüzeyini genişletiyor. Kuruluşlar ajanlarının envanterine, veri erişimlerine, sahiplerine ve yaptıkları işlemlere ilişkin bilgiden de yoksun olabilir. Uzun ömürlü sırlar, paylaşılan kimlik bilgileri ve geniş yetki devri de otonom araçlarla kullanıldığında ek kaygılar yaratıyor.
Önerilen yaklaşım üç bölümden oluşuyor: Ajanları belirlemek ve sahip atamak; eylemler sırasında güveni bağlama göre değerlendirmek ve riskli davranışları sınırlandırabilmek; kimlik yönetimini yalnızca yönetim konsollarında değil, API'lerde, terminallerde ve orkestrasyon katmanlarında da işler hâle getirmek. Bu denetimler, bir insan sahibine veya politika kararına kadar uzanan hesap verebilirliği korumalı.
TechRadar yazarı Russ Kirby, amacın yapay zekâ kullanımını engellemeden yönetmek olduğunu savunuyor. Makale, TechRadar Pro Perspectives kapsamında yayımlandı. Görüşler Kirby'ye ait ve TechRadar Pro ya da Future plc'nin görüşlerini yansıtmayabilir.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.