В това видео на Help Net Security Рой Катмор, съосновател и главен изпълнителен директор на Orchid, обяснява защо изкуственият интелект (AI агенти) притежава идентификационни данни, които никой не преглежда. Организациите създават агенти в AI студиа, свързват ги с корпоративни инструменти и им предоставят профили за извършване на полезна работа. Агентът е одобрен, студиото е одобрено, но самоличностите зад тях остават извън стандартния процес за преглед и одитиране.
Катмор разглежда пример с агент за въвеждане в длъжност (onboarding agent), който има достъп до отдел „Човешки ресурси“, доставчик на самоличност (identity provider), тикетинг система, пейрол (управление на заплати) и вътрешни приложения. Зад всяка връзка стои OAuth токен, API ключ, сервизен профил или зает човешки профил. С течение на времето правата за достъп се натрупват и профилът получава правомощия, които надхвърлят първоначалните задачи на агента.
Той се застъпва за подхода всеки AI агент да се третира като отделно приложение и да се инвентаризират пет ключови елемента: собственик и цел, достъпни инструменти, използвани идентификационни данни, действителни правомощия и поведение по време на работа (runtime behavior). По този начин екипите по сигурност могат да сравняват одобрените намерения с наблюдаваното поведение и да прилагат прецизни контроли за сигурност, включително целево аварийно спиране (kill switch).
Изтеглете: Ръководство за разработка на агентурен софтуер (The Agentic Software Development Guide)