მესამე მხარის აგენტები საწარმოს იდენტობის უსაფრთხოების ხარვეზებს ამჟღავნებენ

აგენტები გადაწყვეტილების წერტილის გარეშე მოდიან

რამდენიმე წლის განმავლობაში AI-ის უსაფრთხოება პირველი მხარის პრობლემას წყვეტდა. კომპანია თავად ირჩევდა მოდელს, განათავსებდა მას gateway-ის უკან და კონტროლს მიმართავდა იმაზე, რაც ბიზნესს ჰქონდა დანერგილი. აგენტები ასე არ მოდიან. ისინი იმ პროგრამულ უზრუნველყოფაში ჩნდებიან, რომელსაც საწარმო უკვე ამუშავებს, და მოდიან გადაწყვეტილების გარეშე.

2026 წლის State of Agent Security Report-ისთვის შესწავლილ საწარმოებში დაახლოებით 1 280 მესამე მხარის პროდუქტი ახლა AI-ს მოიცავს. მათგან დაახლოებით 282 Single Sign-On-ის უკან დგას. დანარჩენი ათასი ნაგულისხმევად უხილავია იდენტობის ინფრასტრუქტურისთვის, არა იმიტომ, რომ ვინმემ დამალა, არამედ იმიტომ, რომ იდენტობის სტეკს შეუძლია მართოს მხოლოდ ის, რაც მასში ავთენტიფიკაციას გადის, და აგენტების უმეტესობა ამას არასოდეს აკეთებს.

Salesforce-ის Slack Code, რომელიც 2026 წლის აგვისტოში გამოვიდა, ამ ცვლილებას ასახავს. მომხმარებელს შეუძლია კოდირების აგენტი ნებისმიერ საუბარში მონიშნოს, და აგენტი კითხულობს საერთო კონტექსტს, წერს კოდს და ხსნის pull request-ს, მემკვიდრეობით იღებს Slack-ის უფლებებსა და ადმინისტრირების კონტროლებს. უსაფრთხოების გუნდისთვის ეს ნიშნავს ავტონომიურ აქტორს, რომელსაც წვდომა აქვს GitHub-სა და წარმოების ინფრასტრუქტურაზე და რომლის მმართველობაც ჩატის ხელსაწყოს არხის წევრობაა.

სამი გაშვების ვექტორი, ერთი დანიშნულება

უსაფრთხოების ხელმძღვანელები აგენტებს ჩვეულებრივ ორ კატეგორიად ყოფენ: ნაყიდი და აშენებული. არსებობს მესამეც და ის ყველაზე დიდია. მემკვიდრეობით მიღებული აგენტები არსებული პლატფორმების შიგნით მოდიან პროდუქტის განახლებებით. კონფიგურირებული აგენტები საწარმოს საკუთარი პრომპტები და ლოგიკაა, რომლებიც სხვის runtime-ზე, მოდელსა და კონექტორებზე მუშაობენ. აშენებული აგენტები ღია ჩარჩოებია ინფრასტრუქტურაზე, რომელსაც საწარმო თავიდან ბოლომდე ფლობს.

პირველი ორი კატეგორია დანერგვის აბსოლუტურ უმრავლესობას შეადგენს და ექსპონენციალურად იზრდება, რადგან ყველა მთავარი აპლიკაცია აგენტურ პლატფორმად იქცევა. მესამე ყველაზე მცირე და ყველაზე ნელი ზრდის ტემპითაა და ერთადერთია, რომელსაც აქვს repo დასასკანერებლად და build შესამოწმებლად. წარმომავლობის მიუხედავად, აგენტები საწარმოს აპლიკაციების ფენაში ხვდებიან, კითხულობენ მონაცემთა საწყობებს, წერენ ტიკეტების სისტემებში და ინახავენ ტოკენებს ისეთ ხელსაწყოებში, როგორებიცაა Salesforce, Slack და Drive.

ოთხი კითხვა ნებისმიერი აგენტისთვის

ყველა აგენტს ორი ნაწილი აქვს: მოდელი, რომელიც მსჯელობს, და ჩარჩო, რომელიც მოდელს აქტორად აქცევს. რისკის თითქმის არცერთი ნაწილი მოდელში არ ცხოვრობს. ის ცხოვრობს ჩარჩოში და მის გარშემო ეკოსისტემაში. რისკს ოთხი სფერო მოიცავს. იდენტობა იკითხავს, არის თუ არა აგენტი სადმე რეგისტრირებული და აცხადებს თუ არა მას რომელიმე დასახელებული ადამიანი. უფლებები იკითხავს, რისი გაკეთება შეუძლია და მემკვიდრეობით მიიღო თუ არა საჭიროზე მეტი OAuth-ის წვდომის ფარგლები და როლები. კავშირი იკითხავს, რას აღწევს პირდაპირ და გარდამავლად, აფეთქების რადიუსის კითხვა, რომელზეც იშვიათად შეიძლება პასუხის გაცემა თავად აგენტის კონფიგურაციის ეკრანიდან. აქტივობა იკითხავს, რას აკეთებს სინამდვილეში, შეფასებული ქცევით და არა მისი პრომპტის აღწერით.

მყიდველები და რეგულატორები რეაგირებენ

JPMorgan Chase-ის გლობალურმა CISO-მ პატრიკ ოპეტმა 2025 წელს პროგრამული უზრუნველყოფის ინდუსტრიას უთხრა, რომ მესამე მხარის მიწოდების ჯაჭვი სისტემურ რისკად იქცა, მოიყვანა რა შემთხვევები, რომლებიც იმდენად სერიოზული იყო, რომ ბანკს კომპრომეტირებული მომწოდებლების იზოლირება მოუწია. მას შემდეგ იგივე შემოწმება აგენტებზეც გაავრცელა და ამტკიცებს, რომ აგენტმა უნდა მიიღოს იდენტობა, მაგრამ ნაგულისხმევად არავითარი უფლებამოსილება, IT-მ კი უნდა დაადასტუროს, ვის სახელით მოქმედებს, სანამ ამ საზღვრის გარეთ რამეს შეეხება.

რეგულატორებიც იმავე ვარაუდით მოქმედებენ. EU AI Act-ის ვალდებულებები, რომლებიც 2026 წლის განმავლობაში ეტაპობრივად ძალაში შედის, ვარაუდობს, რომ საწარმოს შეუძლია თავისი AI სისტემების ინვენტარიზაცია, მათი მფლობელების დასახელება და ზედამხედველობის დადასტურება. ორგანიზაცია, რომელსაც საკუთარი აგენტების ჩამოთვლა არ შეუძლია, ვერ შეასრულებს მოთხოვნებს. პლატფორმები, როგორიცაა Reco Graph, ახლა აკავშირებენ ყველა ადამიანურ და არაადამიანურ იდენტობას, აპლიკაციას, ნებართვას და აგენტის ქმედებას ერთ ცოცხალ ხედში, რაც ანალიზის ერთეულად კონფიგურაციას კი არა, წვდომას აქცევს.

წყაროები: The Hacker News