Üçüncü taraf ajanlar kurumsal kimlik güvenliği açıklarını ortaya çıkarıyor

Ajanlar karar noktası olmadan geliyorlar

Son yıllarda AI güvenliği birinci taraf sorununu çözüyordu. Şirket kendisi modeli seçiyor, bir gateway arkasında barındırıyor ve işe yükledikleri üzerinde kontrol sağlıyordu. Ajanlar böyle gelmiyorlar. Kuruluşun zaten çalıştığı yazılım ortamında doğuyorlar ve karar noktası olmadan geliyorlar.

2026 State of Agent Security Report için incelenen şirketlerde yaklaşık 1 280 üçüncü taraf ürün artık AI içeriyor. Bunların yaklaşık 282 tanesi Single Sign-On arkasında duruyor. Geri kalan binlercesi varsayılan olarak kimlik altyapısı için görünmez; bunu birinin gizlemesi değil, kimlik yığınının içinden geçen kimlik doğrulama dışındaki her şeyi yönetememesi ve ajanların büyük çoğunluğunun bunu hiç yapmaması yüzünden oluşan bir güvenlik açığı yaratıyor.

Ağustos 2026'da çıkan Salesforce'in Slack Code bu değişimi yansıtıyor. Kullanıcı kodlama ajanını herhangi bir sohbette işaretleyebilir ve ajan genel bağlamı okur, kod yazar, pull request çözer, Slack'in izinlerini ve yönetim kontrollerini miras alır. Güvenlik ekibi için bu, GitHub'a ve üretim altyapısına erişimi olan ve yönetimi bir sohbet aracısının kanal üyeliğine bağlı otonom bir aktör demektir.

Üç lansman vektörü, tek amaç

Güvenlik liderleri ajanları tipik olarak iki kategoriye ayırır: satın alınan ve derlenmiş. Üçüncü bir kategori daha var ve en büyüğü o. Miras kalan ajanlar, mevcut platformlar içinde ürün güncellemeleriyle gelir. Yapılandırılmış ajanlar, kuruluşun kendi istemleri ve mantığıdır; başkasının çalışma zamanı, modeli ve bağlayıcıları üzerinde çalışır. Derlenmiş ajanlar, kuruluşun baştan sona sahip olduğu altyapı üzerine kurulmuş açık çerçevelerdir.

İlk iki kategori dağıtımların mutlak çoğunluğunu oluşturuyor ve her biri ana uygulama ajan platformuna dönüştüğü için üstel olarak büyüyor. Üçüncüsü en küçük ve en yavaş büyüme hızına sahip olan ve depolara tarama yapmak ve derlemeleri doğrulamak için tek o. Kökeni ne olursa olsun, ajanlar kurumsal uygulamaların katmanına girer, veri depolarını okur, bilet sistemlerine yazar ve Salesforce, Slack ve Drive gibi araçlarda jeton saklar.

Her ajan için dört soru

Her ajanın iki parçası vardır: maket olan model ve modeli aktöre dönüştüren çerçeve. Riskin neredeyse hiçbir parçası modelde yaşamaz. Modelde ve onun çevresindeki ekosistemde yaşar. Risk dört alan kapsar. Kimlik, ajanın bir yerde kayıtlı olup olmadığını ve kendisini belli bir kişi olarak tanıtıp tanıtmadığını sorar. İzinler, ne yapabileceğini ve gerekenden fazla OAuth erişim kapsamları ve rollerini miras alıp almadığını sorar. Bağlantı, doğrudan ve dolaylı olarak neye eriştiğini, patlama yarıçapı sorusunu sorar; bu, genellikle ajanın kendi yapılandırma ekranından bile cevaplanamayan bir soru. Etkinlik, açıklamadaki davranışla değil, gerçekte ne yaptığını sorar.

Satıcılar ve düzenleyiciler tepki veriyor

JPMorgan Chase'in global CISO'su Patrick Opet, 2025'te yazılım endüstrisine üçüncü taraf tedarik zincirinin sistemik risk haline geldiğini söyledi ve bankanın güvenliği aşılmış tedarikçileri izole etmek zorunda kaldığı olaylar örnek olarak gösterdi. Daha sonra aynı denetimi ajanlara da genişletti ve ajanın kimlik alması gerektiğini, ancak varsayılan olarak hiçbir ayrıcalığa sahip olmaması gerektiğini, IT'nin bu sınırın dışına çıkmadan önce kimin adına hareket ettiğini doğrulaması gerektiğini vurguladı.

Düzenleyiciler de aynı varsayımı paylaşıyor. 2026 boyunca aşamalı olarak yürürlüğe giren EU AI Act yükümlülükleri, kuruluşların AI sistemlerini envantere eklemelerini, sahiplerini belirtmelerini ve gözetimi kanıtlamalarını gerektiriyor. Kendi ajanlarını listelemeyen bir kuruluş bu gereksinimleri yerine getiremez. Reco Graph gibi platformlar artık tüm insan ve insansız kimlikleri, uygulamayı, izni ve ajan eylemlerini tek canlı görünümde birleştiriyor; bu, analiz biriminin yapılandırmadan değil, erişimden sorumlu olmasını sağlıyor.

Kaynaklar: The Hacker News