- Споделяне
Ново проучване от Software Analyst Cyber Research (SACR) и Stanford Graduate School of Business прави нещата ясни: внедряването на ИИ агенти е изпреварило архитектурите за сигурност, проектирани да го ограничават, особено в корпоративните програми за ИИ.
Инерцията е реална. С над 3 милиона агента, работещи в световен мащаб, и корпорации, създаващи хиляди всяка седмица, предизвикателството пред сигурността се премести от това дали да се внедряват агенти към това как да бъдат защитени по време на изпълнение (runtime) — моментът, в който даден агент реши да действа, извика инструмент и влезе в контакт с корпоративни данни.
Мащабът прави ръчния надзор невъзможен. Корпорациите вече управляват приблизително 144 нечовешки самоличности за всеки човешки потребител, а когато се включат сенчестите агенти (shadow agents) и временните екземпляри, активните самоличности могат да достигнат хиляди на екип в различните ИИ системи и услуги.
И все пак системите за идентичност, които ги управляват, никога не са били проектирани за това. Както заключват изследователите: „Традиционните системи за управление на идентичността и достъпа бяха проектирани за два основни субекта: хора и детерминистични машинни самоличности. ИИ агентите не се вписват чисто в нито един от двата модела“.
Работейки с хиляди организации, внедряващи ИИ агенти, установихме, да направите това правилно се свежда до три въпроса:
- Къде се намират моите ИИ агенти?
- Към какво могат да се свързват?
- Какво могат да правят?
Това са ключовите въпроси, на които рамката на Okta за сигурна агентна корпорация ви позволява да отговорите. Организациите, които са инвестирали в отговора и на трите въпроса, ще бъдат значително по-добре позиционирани да откриват, да реагират и да съдържат неизбежните в такъв мащаб инциденти.
1. Къде се намират моите ИИ агенти?
Трябва ви способност да откривате агенти независимо къде са били създадени или внедрени — в SaaS платформи, браузъри, крайни устройства и зараждащи се агентни ИИ екосистеми.
- Организациите откриват хиляди неизвестни досега агенти при първоначалните сканирания
- Най-бързо растящата категория — базирани на браузър и локални агенти за разработчици (Claude Code, Cursor, Windsurf) — е най-малко видима в корпоративните работни процеси за ИИ
- Видимостта е фрагментирана между SaaS платформи, крайни устройства и възникващи ИИ екосистеми от агенти
Това не е празнина в инструментите за сигурност. Това е архитектурна празнина.
Защо това е важно:
Агентите не се внедряват като традиционния софтуер. Те се създават навсякъде, от всекиго и по всяко време. Видимостта не е еднократен проблем с инвентаризацията; тя е проблем с непрекъснатото откриване.
Какво правят водещите екипи по различен начин:
- Обединяват сигнали от слоевете на браузъра, крайните устройства, SaaS, мрежата, шлюзовете (gateway) и MCP
- Регистрират агентите като първокласни самоличности още при създаването им — а не след това
- Непрекъснато оценяват състоянието на сигурността (posture) на агента, а не само неговото съществуване
Повечето организации нямат инвентаризация на агентите.
Водещите екипи разполагат с непрекъснато откриване на агенти.
2. Към какво могат да се свързват?
След като даден агент съществува, неговият риск не се определя от това какво е той — определя се от всичко, до което има достъп.
Агентите не изолират работата си. Те се свързват със SaaS приложения, API, бази данни, MCP сървъри и други агенти, често едновременно и със скоростта на машината в различните ИИ системи.
- Връзките, а не самоличностите, определят истинския радиус на поражение (blast radius)
- MCP (Model Context Protocol) бързо се превръща в слой за изпълнение на агентите, и според проучването на SACR екосистемата в момента е незряла: идентификационните данни в чист текст са често срещани, внедряването на OAuth остава ограничено, а атаките с отравяне на инструменти (tool poisoning) са изключително ефективни
- На много организации им липсва дори основен инвентар на това кои MCP сървъри и инструменти се използват
Тези рискове за сигурността не са частни случаи. Това е базовото състояние.
Компрометираният агент не спира работата си грациозно. Той се придвижва странично през системите, верижно придобива достъп през SaaS приложения, API и хранилища на данни и действа със машинна скорост. Радиусът на поражение не е теоретичен; той е незабавен.
Какво правят водещите екипи по различен начин:
- Прилагат достъп с най-малки привилегии по всеки път за връзка (MCP, SaaS, API)
- Заменят статичните идентификационни данни с ограничен по обхват, краткотраен и свързан с потребителя достъп
- Защитават взаимодействията между агенти също толкова стриктно, колкото и потребителския достъп, със строга проверка на самоличността
- Записват всяка връзка в централизирани системи за наблюдение и откриване
Повечето организации управляват достъпа.
Водещите екипи контролират пътищата за връзка.
3. Какво могат да правят?
Това е мястото, където моделът се срива за повечето организации.
Да се знае къде са агентите и към какво могат да се свържат не е достатъчно — защото агентите не се държат като традиционните системи. Както отбелязва Лорънс Пингри, изтъкнат аналитик в SACR, „един агент може да остане в рамките на разрешените му граници за достъп и въпреки това да извърши нещо неочаквано, вредно или несъответстващо на първоначалното му предназначение.“
Те са недетерминистични, адаптивни и способни да действат по начини, които не са били изрично предварително дефинирани.
- Агентите се държат недетерминистично, като се адаптират въз основа на подкани (prompts), контекст, инструменти и ИИ възможности
- Едно и също действие може да бъде безопасно в един контекст и опасно в друг
- Решенията за сигурност все още се вземат при предоставянето на достъпа, а не по време на изпълнението
Това е основният провал — и той изисква агентна сигурност (agentic security).
Традиционната сигурност пита: „Упълномощено ли е това лице да изпълни този код?“ Защитата на идентичността по време на изпълнение за агенти задава по-труден въпрос: „Трябва ли този код да се изпълни, дори ако този агент е упълномощен?“
Преходът от контрол на достъпа към оценка на намеренията и поведенчески анализ е това, което прави само самостоятелното детерминистично управление недостатъчно.
Какво правят водещите екипи по различен начин:
- Налагат авторизация в реално време съобразена с контекста по време на изпълнение
- Оценяват намерението, последователността и поведенческите модели, а не само разрешенията
- Въвеждат одобрения с участие на човек (human-in-the-loop) за чувствителни действия
- Непрекъснато следят за поведенчески отклонения и аномалии
- Внедряват аварийни прекъсвачи (kill switches) и динамична ескалация за незабавно спиране на рискови действия
Повечето организации налагат разрешения.
Водещите екипи контролират поведението в реално време.
Какво трябва да направят CISO заглавните ръководители по сигурността сега
Изследването на SACR предлага ясни насоки за лидерите по сигурност, които оценяват своя подход към сигурността на автономните AI агенти (agentic AI):
- Започнете с детерминистично управление — но не спирайте дотук. Контролът на достъпа, базиран на политики, е основата, но той не е достатъчен. Изграждайте капацитет към поведенческа видимост и динамично прилагане.
- Инвестирайте в проследимост (observability) преди недетерминистичното управление. Качеството на вашите решения за сигурност зависи от качеството на вашите данни. Не можете да вземате добри решения за оторизация по време на изпълнение (runtime), без да разбирате какво всъщност правят агентите.
- Вземете изрично решение относно недетерминистичното управление. Оторизацията, базирана на намерения (intent-based), и динамичният контрол не са последващи стъпки по подразбиране — те изискват архитектурни инвестиции. Решете сега дали ще изграждате капацитет в тази посока, или приемате риска от статични контроли.
- Оценете архетипите на вашите агенти, преди да изберете доставчик. Собствено разработените агенти, вградените в SaaS агенти и локалните агенти за разработчици имат фундаментално различни изисквания за сигурност. Разберете вашия микс, преди да се обвържете с платформа.
- Третирайте сигурността на MCP като отделно изискване. MCP се превръща в слой за изпълнение за агенти, а не просто в стандарт за интеграция, но и в активна повърхност за контрол върху поведението на агентите. Ако вашият доставчик няма план за защита на MCP трафика, имате пропуск.
Как Okta подхожда към сигурността на автономните агенти
Изследването на SACR признава, че Okta започва от фундаментално различна позиция в сравнение с останалите доставчици в тази сфера: като доставчик на идентичност, на когото вече се доверяват 19 000 организации, сигурността на агентите се превръща в разширение на съществуващата инфраструктура за корпоративен AI, а не в нов отделен продукт.
Подходът на Okta се съпоставя директно с трите въпроса:
- Къде са моите агенти? Identity Security Posture Management (ISPM), вече общодостъпен, комбиниран с плъгина Secure Access Monitor (в ранен достъп), който улавя OAuth разрешения в браузъра, активност на Claude Code и извиквания на MCP сървър.
- Към какво могат да се свързват? Identity Assertion Grant (ID-JAG) — отворен стандарт, разработен съвместно от Okta — обвързва правата на агента със специфичните съществуващи права за достъп на потребителя, с тристепенна оторизация, обхващаща контекста на потребителя, OAuth обхвати (scopes) и детайлни политики чрез fga.dev.
- Какво могат да правят? Работни процеси за одобрение с участие на човек (human-in-the-loop), базирани на CIBA, глобално оттегляне на токени, пълни одитни логове и предстоящи възможности за твърдо спиране (hard-stop) за всеки отделен агент.
Както се посочва в заключението на доклада, най-силната отличителна черта на Okta е консолидацията — единна равнина на управление (control plane), която премахва разрастването на инструменти при различните типове идентичности и покрива пълния спектър от корпоративни агенти с достъп до API до MCP клиенти на работни станции за разработчици.
Организациите, които разбират това рано, не просто внедряват агенти. Те изграждат системите за:
- Откриването им
- Контролирането на техния обхват
- И намесата в тяхното поведение
Защото при голям мащаб въпросът не е дали агентите имат достъп. Въпросът е дали можете да виждате какво правят — и да ги спрете, когато е от значение.