Yapay Zeka Ajanları En Az Ayrıcalık İlkesini Zorluyor

Kimlik ve erişim yönetiminin temel taşlarından biri olan en az ayrıcalık ilkesi basit bir fikre dayanır: Bir kimliğe yalnızca işini yapması için gereken erişim verilir. Yapay zeka ajanlarının kurumsal iş akışlarına hızla entegre olmasıyla birlikte bu ilkeyi uygulamak giderek güçleşiyor. Ajanların üstlendiği görevler değişkenlik gösterebiliyor, erişimleri birden fazla sisteme yayılabiliyor ve eylemleri çoğu zaman insan müdahalesi olmadan gerçekleşiyor.

Araştırmanın Ortaya Koyduğu Tablo​

JumpCloud'un yaptığı yeni araştırma, sektördeki derin bir tutarsızlığa işaret ediyor. Kuruluşların yalnızca yüzde 12'si yapay zeka ajan izinlerini sıkı biçimde kapsamlı ve gözden geçirilmesi kolay olarak tanımlarken, neredeyse yarısı izinlerin geniş kapsamlı, gözden geçirilmesi güç ya da tutarsız olduğunu belirtiyor. İzinleri sürekli veya otomatik olarak inceleyen kuruluşların oranı ise yalnızca yüzde 14 düzeyinde kalıyor.
Araştırmada dikkat çekici bir çelişki de öne çıkıyor: Ankete katılan BT liderlerinin yüzde 99'u yapay zeka faaliyetlerini denetleme kapasitelerine güvendiklerini söylüyor. Ancak aynı grup içinde yalnızca yüzde 37'si, olası bir yapay zeka denetimine hazırlıklı olduklarını; yani gerekli kayıtlara, günlüklere ve kanıtlara sahip olduklarını ifade ediyor. Bu oran, güven ile gerçek hazırlık arasındaki derin uçurumu gözler önüne seriyor.

Dinamik Görevler Geleneksel Modeli Zorluyor​

İnsan odaklı erişim yönetimi hiçbir zaman tamamen statik olmamıştır. İnsanlar rol değiştirir, projelere dahil olur ve zaman zaman gerekenden uzun süre erişim yetkisi taşır. Buna karşın temel model anlaşılırdır: Kimlik bir kişiye bağlıdır, izinler genellikle bir role göre şekillenir ve erişim belirli aralıklarla gözden geçirilir.
Yapay zeka ajanlarında ise tablo farklıdır. Bir iş akışını tamamlamak için birden fazla uygulama, API, veri kaynağı veya altyapı bileşeni gerekebilir; yeni entegrasyonlar eklendikçe ya da sorumluluklar değiştikçe izinler de dönüşüm geçirir. Kimlik doğrulama da ayrı bir sorun olarak öne çıkıyor. Ajan kullanan kuruluşların yüzde 63'ü, daha güçlü yöntemlerin yanı sıra paylaşılan hizmet hesapları veya uzun ömürlü API anahtarları gibi daha yüksek riskli yaklaşımlara başvuruyor. Bu durum, belirli bir eylemin hangi ajana atfedileceğini güvenilir biçimde saptamayı zorlaştırıyor.

Periyodik İncelemeler Artık Yetmiyor​

Geleneksel erişim yönetişimi büyük ölçüde periyodik incelemelere dayanır. Ancak ajan erişimi, entegrasyonlar bağlandıkça ve iş akışlarına yeni sistemler eklendikçe iki inceleme döngüsü arasında değişebilir. Araştırmaya göre kuruluşların neredeyse yarısı yapay zeka izinlerini aylık ya da üç ayda bir gözden geçiriyor. Daha zayıf veya tepkisel inceleme pratiklerine sahip kuruluşların yüzde 61'inin geniş kapsamlı veya tutarsız izinlere sahip olduğu da bulgular arasında yer alıyor.
Periyodik incelemeler hâlâ değerini korusa da bunlar, sürekli değişen bir erişim modelinin yalnızca anlık bir fotoğrafını sunuyor. Ajanlar için en az ayrıcalık ilkesini sürdürmek, kimlik, izin ve amaç bağlantısının yaşam döngüsü boyunca korunmasını gerektiriyor.

İzinlerin İspatlanabilir Olması Gerekiyor​

Bir ajana doğru izinleri vermek tek başına yeterli değil. Söz konusu izinlerin uygun olduğunu ve ajanın bu sınırlar içinde kaldığını sonradan kanıtlamak ayrı bir zorunluluk haline geliyor. Araştırmaya katılan kuruluşların yalnızca yüzde 36'sı, yapay zekanın yalnızca ihtiyaç duyduğu izinlere sahip olduğunu tam anlamıyla kanıtlayabiliyor. Bir yapay zeka ajanının hangi eylemi gerçekleştirdiğini, hangi kimliğin bu faaliyeti yetkilendirdiğini ya da faaliyetin politikayla uyumlu olup olmadığını tam olarak belgeleyebilen kuruluşların oranı ise yarının altında kalıyor.
Ajanların özerklik kazanmasıyla birlikte riskler de artıyor. Ankete katılan kuruluşların yarısından fazlası, sistemleri, izinleri, kayıtları veya iş akışlarını değiştirebilen ajanlar kullanıyor ya da test ediyor. Buna karşın ajan kullanan kuruluşların yüzde 59'u bu ajanları, insan kullanıcılar için geçerli olan kimlik ve erişim yönetimi politikalarıyla tam anlamıyla entegre etmemiş durumda.

Ajansal Kimlik Yönetiminde Yeni Bir Çerçeve​

Ajansal kimlik ve erişim yönetimi, BT'nin halihazırda uyguladığı kimlik disiplinlerini yapay zeka ajanlarını da kapsayacak biçimde genişletiyor. Bu çerçeve dört temel adımdan oluşuyor: Ortamda faaliyet gösteren ajanların tespit edilmesi, her ajanın bir amaç ve sorumlu bir insan sahibiyle birlikte ayrı bir kimlik olarak kaydedilmesi, bu kimliğin çalışması için gereken erişimle ilişkilendirilmesi ve ajanın rolü değiştikçe izin ile faaliyetlerin gözden geçirilmesi.
Pratikte bu yaklaşım; her ajana ayrı bir kimlik ve hesap verebilir bir insan sahibi atanmasını, uygun durumlarda kapsamlı veya süreli izinlerin kullanılmasını, kalıcı ayrıcalıklı kimlik bilgilerinden kaçınılmasını ve daha yüksek riskli eylemler için ek denetim mekanizmalarının devreye alınmasını içeriyor. Temel amaç, her ajanı bir eylem öncesinde insan onayına durdurmak değil; kontrollerin ajanın gerçekte yaptıklarını yansıtmasını sağlamak.

Sıkça Sorulan Sorular​

JumpCloud araştırmasına göre kuruluşların kaçta kaçı yapay zeka ajan izinlerini sıkı biçimde kapsamlı buluyor?​

Araştırmaya göre kuruluşların yalnızca yüzde 12'si yapay zeka ajan izinlerini sıkı biçimde kapsamlı ve gözden geçirilmesi kolay olarak tanımlıyor. Neredeyse yarısı ise izinlerin geniş kapsamlı, gözden geçirilmesi güç ya da tutarsız olduğunu belirtiyor.

BT liderlerinin yapay zeka denetimine olan güveni ile gerçek hazırlıkları arasında nasıl bir fark var?​

Ankete katılan BT liderlerinin yüzde 99'u yapay zeka faaliyetlerini denetleme kapasitelerine güvendiklerini söylüyor. Ancak aynı grup içinde yalnızca yüzde 37'si, bir denetim için gerekli kayıtlara, günlüklere ve kanıtlara tam anlamıyla hazır olduğunu ifade ediyor.

Yapay zeka ajanlarında hangi kimlik doğrulama yöntemleri daha yaygın kullanılıyor ve bu ne gibi riskler doğuruyor?​

Ajan kullanan kuruluşların yüzde 63'ü, daha güçlü yöntemlerin yanı sıra paylaşılan hizmet hesapları veya uzun ömürlü API anahtarları gibi daha yüksek riskli yaklaşımlara başvuruyor. Bu durum, belirli bir eylemin hangi ajana atfedileceğini güvenilir biçimde saptamayı zorlaştırıyor.

Yapay zeka ajanlarının kimlik ve erişim yönetimi politikalarına entegrasyonu ne düzeyde?​

Araştırmaya göre ajan kullanan kuruluşların yüzde 59'u, bu ajanları insan kullanıcılar için geçerli olan kimlik ve erişim yönetimi politikalarıyla tam anlamıyla entegre etmemiş durumda.

Ajansal kimlik ve erişim yönetimi çerçevesi hangi temel adımlardan oluşuyor?​

Çerçeve dört adımdan oluşuyor: Ortamdaki ajanların tespit edilmesi, her ajanın ayrı bir kimlik olarak bir amaç ve insan sahibiyle kaydedilmesi, kimliğin gerekli erişimle ilişkilendirilmesi ve ajanın rolü değiştikçe izin ile faaliyetlerin sürekli gözden geçirilmesi.