ИИ агентът взема назаем вашите идентификационни данни. ИИ колегата никога не ги връща.

От Итамар Апелблат, съосновател и главен изпълнителен директор на Token Security

Вече нямаме лукса да се адаптираме към промените в продължение на няколко години. Фундаменталната промяна в работата, управлявана от ИИ, продължава да се преобразува месец след месец, дотолкова, че само за три години вече преживяхме отделни вълни на свързан с работата ИИ, а следващата вече не е просто на хоризонта, а точно зад ъгъла.

Първо дойдоха чатовете с обхват на сесията, при които рискът беше в това какво казва моделът. След това дойдоха агентите с обхват на задачите, при които рискът е в това какво прави моделът. Най-общо казано, това е мястото, където се намираме в момента, но целите вече са поставени другаде. Наистина персистентните ИИ колеги са почти тук, а с тях идва и разпадането на настоящите модели за достъп.

Както при толкова много неща в тази сфера, можете да видите, че именно натам искат да вървят ИИ компаниите според техния речник. Microsoft говори за агентите като за „дигитални колеги“, а Сам Алтман от OpenAI очерта плана за виртуални сътрудници в това, което изглежда като цял един живот назад, през февруари 2025 г.

Тази визия вече се превръща в реалност и ние трябва да адаптираме нашите модели за сигурност, за да се справим с фундаменталните разлики в начина, по който работят ИИ колегите.

Персистентността променя всичко

Трябва да планирате това по-рано, отколкото по-късно. В продължение на няколко години успявахме да вкараме ИИ в съществуващите модели за достъп, но „истинският“ колега, който работи независимо, изисква различен начин на мислене.

Агентните колеги ще изискват предварително зареждане на достъпа или по-удобен за машините (но същевременно сигурен) начин за предоставянето му, тъй като одобряването на действия за всеки отделен случай работи само ако има на разположение човек, който да ги прегледа. Истинските дигитални колеги не могат да разчитат на редовни одобрения за всичко, а трябва да могат да изискват допълнителен достъп, когато е необходим за техните задачи.

В момента предоставянето на самоличности, специално създадени за ИИ агенти, все още е далеч от това да бъде норма. Стандартът е да се използват OAuth разрешения, прехвърляния в рамките на сесията и сервизни акаунти. Първите две опции обикновено поставят хората като основен субект; третата рядко се създава специално за агенти.

Персистентността води до различен профил на риска за идентификационните данни на дигиталния колега и в още едно отношение. Те се превръщат по същество в постоянни привилегии, както е при хората. Ще трябва да обърнем внимание на техния жизнен цикъл, включително на изключително важната стъпка по прекратяване на достъпа, за да гарантираме сигурността.

И вземете предвид разрастването на достъпа (access creep). Ако един дигитален колега е персистентен, той неизбежно ще натрупа достъп от различни проекти. За хората разрастването на достъпа е най-старият неразрешен проблем в управлението на самоличностите. За машините то неизбежно ще бъде много по-лошо, както поради скоростта, с която ще се натрупва достъпът, така и поради склонността на агентите да използват целия достъп, който им е предоставен. Агентите могат да комбинират няколко разумни разрешения в цялостен обхват, който никой не е имал намерение да им дава.

Отвъд отметката в квадратчето

Вашият SOC 2 доклад казва, че контролите са проработили, но никога не казва какво са пропуснали. Агентите работят с заемни идентификационни данни, без собственик и без бутон за изключване.

Token Security открива всеки агент, присвоява му самоличност и коригира достъпа му до работата, за която е бил предназначен.

Всеки ще трябва да се адаптира

Бизнесът не е единственият, който ще трябва да се адаптира към третата вълна от агентни работни процеси. Засега двете най-широко внедрени платформи за агенти не издават на агентите техни собствени идентификационни данни. Нито Anthropic, нито OpenAI изпълняват OAuth client credentials grant в своите хоствани продукти за чат, докато конекторите на ChatGPT отхвърлят изцяло сервизните акаунти и JWT твърденията.

И двете платформи позволяват на разработчика да предаде на агента статичен bearer токен чрез техните API, но това е далеч от подходяща самоличност.

В резултат на това не само ИИ системите разполагат с пълни постоянни привилегии, които са били оразмерени за хора, но и логовете са компрометирани. Когато ИИ действа съгласно предоставените му от потребителя привилегии, човекът обикновено се записва като извършител в посевния лог (audit trail).

Желанието да се запази човекът в процеса (human in the loop) не засяга само ИИ; то създава и тежест за хората. OAuth предполага, че човек ще прочете екрана за съгласие и ще одобри фиксиран списък с обхвати (scopes). Агентите рядко са доволни от първоначалния си достъп; те откриват инструменти по време на изпълнение и се опитват да ги използват.

Потвърждаването на чувствителни действия на всеки няколко минути е както досадно, така и риск за сигурността, тъй като вниманието на хората е ограничено.

Хората, които изграждат колеги, са ясни за това от какво се нуждаят

Тара Сешан, която ръководи продукта за ChatGPT Work и Codex в OpenAI, описа какво всъщност прави един агент полезен в Lenny's Podcast през август 2026 г.

Интелигентността на модела е само част от това. Останалото се свежда до това, което тя описа като „съществена тактическа“ работа: достъп до данни, облачна инфраструктура и надеждност.

Нейната аналогия беше следната: наемате колега и след това го заключвате в стая без достъп до Google Docs, Slack или фирмената база данни. Този колега няма да бъде ефективен. Изолираният облачен агент, твърди тя, е безполезен по същата причина.

Тя е права за изискването. Пътят към полезния колега минава през същите системи, до които се докосва и служителят човек.

Сешан също така описа как нейният агент създава под-агенти за паралелизиране на работата, както и близкото бъдеще, в което нейните агенти и агентите на нейните колеги сътрудничат по споделени задачи. И двете са разумни посоки, които предполагат модел на самоличност, който не съществува.

Когато агентът на един човек предаде работа на агента на друг човек, идентификационните данни, които я изпълняват, принадлежат на този човек, който случайно е стартирал веригата.

Google изгради правилния модел през 2024 г. Той така и не бе пуснат.

На конференцията I/O през май 2024 г. Google демонстрира Workspace агент на име Chip. Chip имаше собствен Workspace акаунт, определена роля, конфигурирани разрешения и заявен набор от цели. Той се присъединяваше към чат стаи и отговаряше въз основа на историята, която виждаше.

Вицепрезидентът на Workspace Апарна Папу каза по онова време, че Google има още много работа, преди „агентните“ изживявания, като виртуалните съотборници, да могат да достигнат до крайния продукт. Chip си остана демо.

Това, което Google (и всички негови конкуренти) пуснаха вместо това, са агенти, при които колегата наследява правомощията на човека.

Какво да направите по въпроса

Доставчиците на платформи започнаха да се адаптират. Microsoft пусна Entra Agent ID с първокласни самоличности за агенти и посочен човешки спонсор. Okta добави самоличности на агенти към Universal Directory с кратковременни, ограничени по обхват токени и път за отмяна. SailPoint и CyberArk имат сходни предложения. Недостатъкът е, че всеки от тях защитава агентите в рамките на собствената си среда.

Ако искате да не зависите от конкретна платформа, контролът на идентичността е единственият де факто контролен пункт, в който можете да прилагате политики, тъй като идентичността управлява достъпа до всяко действие. Ето пет неща, които трябва да направите:

  • Намерете сенчестите сътрудници. Регистрацията улавя само тези агенти, които някой е сетил да регистрира. Откривайте ги чрез техния трафик за удостоверяване автентичността.
  • Дайте на всеки персистентен агент собствена идентичност. Ако той се удостоверява като човек, нито един последващ контрол не може да разграничи двамата и нито едно разследване не може правилно да припише дадено действие.
  • Запишете човек като собственик. Изоставените агенти с активни идентификационни данни са най-честият източник на постоянни привилегии, свързани с агенти.
  • Ограничете обхвата на достъпа до агента, а не до лицето, което го е стартирало. Агент, който чете Jira, не трябва да притежава токен, който също така записва във вашия облачен доставчик, само защото инженерът, който го е стартирал, случайно е имал и двете права.
  • Решете предварително кога той прекратява съществуването си. Дигиталните сътрудници не са базирани на проекти, така че не са обвързани с тях, но това не означава, че трябва да ги дефинирате като безсмъртни. Да кажем, че екип, от който те са „част“, бъде разформирован или служителят, отговорен за даден агент, бъде уволнен. Запишете тези условия, когато създавате агента, заедно с период на бездействие, след който той изтича сам.

Какво изисква от вас третата вълна

За първата вълна, където рискът се управляваше от изходните данни на модела, имахме филтриране на подкани, защитни парапети и класификация на изходните данни. За втората вълна, с риск, базиран на действия, и процес с участие на човек (human-in-the-loop), фокусът беше върху контрола на достъпа и одобренията. Третата вълна премахва човека и оставя достъпа активен.

Натискът предстои да се увеличи. Акаунтът на Seshan съдържа агенти, които генерират подучастници и си сътрудничат между екипите. Сътрудникът на един човек скоро може да предаде работа на сътрудника на друг човек. Тези предавания са управляеми само ако сътрудникът притежава собствена идентичност. С други думи, дайте му бадж, преди да му дадете работа.

За нас в Token ние вече идентифицираме AI агентите и MCP сървърите, работещи във вашата среда, включително тези, които никой не е регистрирал, въз основа на техните OAuth разрешения, API ключове и трафик за вход. Ние даваме на всеки агент собствена идентичност и човек за собственик, ограничаваме и ротираме неговите идентификационни данни и го пенсионираме, когато собственикът напусне или когато агентът остане неизползван.

Token Security покрива вашите облачни и SaaS системи като цяло, а не само тези на един доставчик.