Агенти третіх сторін виявляють прогалини в безпеці корпоративної ідентичності

Агенти приходять без точки прийняття рішень

Протягом кількох років безпека AI вирішувала проблеми першої сторони. Компанія сама обирала модель, розміщувала її за gateway і контролювала те, що було розгорнуто в бізнесі. Агенти так не приходять. Вони з’являються в програмному забезпеченні, яке підприємство вже обробляє, і приходять без прийняття рішень.

Для звіту State of Agent Security Report 2026 року вивчені підприємства: близько 1 280 продуктів третіх сторін тепер включають AI. З них близько 282 підтримують Single Sign-On. Решта тисячі за замовчуванням невидимі для інфраструктури ідентичності, не тому, що хтось їх приховав, а тому, що стек ідентичності може керувати лише тим, що проходить аутентифікацію, а більшість агентів цього ніколи не робить.

Salesforce Slack Code, який вийшов у серпні 2026 року, відображає цю зміну. Користувач може позначити агента кодування в будь-якій гілці, і агент читає загальний контекст, пише код і закриває pull request, успадковуючи права Slack і засоби адміністративного контролю. Для команди безпеки це означає автономного актора, який має доступ до GitHub і виробничої інфраструктури та яким керує членство в каналі чату.

Три вектори розгортання, одна мета

Керівники безпеки зазвичай поділяють агентів на дві категорії: придбані та збудовані. Існує й третя, і вона найбільша. Успадковані агенти приходять у межах наявних платформ разом із оновленнями продукту. Налаштовані агенти — це власні промпти та логіка підприємства, які працюють на чужому runtime, моделі та конекторах. Збудовані агенти — це відкриті фрейми на інфраструктурі, якою підприємство володіє від початку до кінця.

Перші дві категорії становлять абсолютну більшість розгортань і зростають експоненційно, оскільки кожна головна програма стає агентною платформою. Третя — найменша й повільніша в зростанні, і єдина, для якої є repo для сканування та build для перевірки. Незалежно від походження, агенти потрапляють у шар застосунків підприємства, читають сховища даних, пишуть у системи тікетів і зберігають токени в таких інструментах, як Salesforce, Slack і Drive.

Чотири питання для будь-якого агента

Кожен агент має дві частини: модель, яка міркує, і фрейм, який перетворює модель на актора. Майже жоден ризик не живе в моделі. Він живе у фреймі та екосистемі навколо нього. Ризик охоплює чотири сфери. Ідентичність питає, чи зареєстрований агент десь-небудь і чи називає він себе якимось іменованою людиною. Права питають, що він може робити і чи успадкував він більше дозволів доступу OAuth та ролей, ніж потрібно. Зв’язність питає, до чого він досягає напряму та опосередковано, питання радіусу вибуху, на яке можна відповісти лише з самого екрана конфігурації агента. Активність питає, що він робить насправді, за оціненою поведінкою, а не за описом його промпта.

Продавці та регулятори реагують

Глобальний CISO JPMorgan Chase Патрік Опет у 2025 році сказав індустрії програмного забезпечення, що ланцюжок постачання третіх сторін став системним ризиком, і навів випадки, настільки серйозні, що банку довелося ізолювати скомпрометованих постачальників. Потім він поширив ту саму перевірку на агентів і стверджує, що агент має отримати ідентичність, але за замовчуванням — жодних повноважень, а IT має підтвердити, від чиїмені він діє, перш ніж торкнеться чогось за цим кордоном.

Регулятори діють за тим самим припущенням. Обов’язки EU AI Act, які поступово набирають чинності протягом 2026 року, припускають, що підприємство може інвентаризувати свої системи AI, назвати їхніх власників і підтвердити нагляд. Організація, яка не може перелічити власних агентів, не виконає вимог. Платформи, як Reco Graph, тепер поєднують усі людські та нелюдські ідентичності, застосунки, дозволи та дії агентів в одному живому поданні, що перетворює конфігурацію не на одиницю аналітики, а на доступ.

Джерела: The Hacker News