۱Password دسترسی عامل‌های هوش مصنوعی را به هر وظیفه محدود می‌کند

۱Password می‌خواهد دسترسی عامل‌های هوش مصنوعی را به همان وظیفه‌ای محدود کند که برای انجامش فراخوانده شده‌اند؛ رویکردی که به گفته نانسی وانگ، مدیر ارشد فناوری AgileBits، شرکت مادر ۱Password، هم هویت عامل را روشن‌تر می‌کند و هم احتمال باقی‌ماندن دسترسی‌های غیرضروری را کاهش می‌دهد. وانگ در گفت‌وگویی در رویداد Oktane شرکت Okta در ۲۸ سپتامبر ۲۰۲۶ توضیح داد که عامل‌های هوش مصنوعی باید نه کاملاً مانند کاربران انسانی و نه صرفاً مانند ماشین‌ها مدیریت شوند، بلکه هویتی ترکیبی دارند که باید برای هر اقدام به‌دقت احراز شود.

این بحث در شرایطی اهمیت دارد که عامل‌های هوش مصنوعی می‌توانند با اطلاعات ورود کار کنند و به نمایندگی از یک فرد اقدام انجام دهند. اگر عامل با حساب همان فرد وارد یک سامانه شود، ممکن است گزارش‌های حسابرسی اقدام را به نام کاربر ثبت کنند، هرچند انجام‌دهنده واقعی نرم‌افزار بوده است. به گفته وانگ، سازمان‌ها برای مدیریت این وضعیت باید بدانند عامل دقیقاً با چه هویتی عمل می‌کند و چه مجوزهایی در اختیار دارد.

عامل هوش مصنوعی؛ هویتی میان انسان و ماشین

سامانه‌های مدیریت هویت معمولاً میان کاربران انسانی و ماشین‌ها تمایز می‌گذارند. اما عامل‌های هوش مصنوعی می‌توانند از طرف کاربر وظیفه انجام دهند، به حساب‌ها دسترسی پیدا کنند و از اعتبارنامه‌ها استفاده کنند؛ در نتیجه، قرار دادن آن‌ها در یکی از این دو دسته به‌تنهایی کافی نیست. وانگ در گفت‌وگو با کریستا کیس و ربکا نایت از theCUBE Research این وضعیت را هویتی ترکیبی توصیف کرد: عامل از یک سو نرم‌افزار است و از سوی دیگر ممکن است در چارچوب اختیارات یک انسان فعالیت کند.

این تمایز فقط مسئله‌ای نظری نیست. ثبت دقیق هویت اجراکننده برای آن مهم است که تیم‌های امنیتی بتوانند تشخیص دهند چه کسی یا چه چیزی یک اقدام را انجام داده است. اگر عامل در گزارش‌های سامانه به شکل کاربر انسانی دیده شود، بررسی اینکه چه عملی انجام شده و مسئولیت آن با چه کسی بوده، دشوارتر می‌شود. وانگ تأکید کرد که شناخت هویتی که عامل با آن عمل می‌کند، به‌دلیل همین هم‌پوشانی اهمیت بیشتری پیدا کرده است.

در چنین چارچوبی، احراز هویت تنها به پرسش «این کاربر کیست؟» محدود نمی‌شود؛ باید روشن باشد یک عامل به نمایندگی از چه کسی و برای چه کاری وارد عمل شده است. متن گفت‌وگو جزئیات فنی سازوکارهای ثبت این اطلاعات را شرح نمی‌دهد، اما وانگ بر نیاز به انتقال هویت تأییدشده و زمینه مجوزدهی عامل میان سامانه‌ها تأکید کرد.

مجوز موقت به‌جای دسترسی دائمی

اصل محوری رویکرد ۱Password، ندادن دسترسی دائمی یا گسترده به انسان‌ها، ماشین‌ها و عامل‌هاست. این شرکت دسترسی را هنگام نیاز و بر اساس دلیل درخواست آن اعطا می‌کند؛ رویکردی که به «دسترسی به‌موقع» معروف است. در این مدل، مجوز قرار نیست بدون محدودیت زمانی یا ارتباط با یک کار مشخص در اختیار عامل بماند.

۱Password این ایده را، طبق گفته وانگ، در قالب محصولی برای مدیریت دسترسی ممتاز به یک وظیفه مشخص تبدیل کرده است. دسترسی ممتاز به مجوزهایی گفته می‌شود که امکان انجام کارهای حساس‌تر یا دسترسی به منابع مهم‌تر را فراهم می‌کنند. محدودکردن چنین مجوزهایی به یک کار، در مقایسه با اعطای دسترسی باز و ماندگار، دامنه فعالیت عامل را به هدف تعریف‌شده نزدیک‌تر می‌کند.

وانگ برای توضیح سازوکار پیشنهادی، عامل را به کارآموزی تشبیه کرد که پیش از رفتن به پروژه بعدی باید نشان دهد وظیفه قبلی را درست انجام داده است. به گفته او، عامل نیز باید پیش از دریافت اجازه برای مرحله بعد، ثابت کند کار قبلی را با مجوز مناسب و به‌شکل درست به پایان رسانده است. بنابراین، اعطای دسترسی در این رویکرد تنها به آغاز یک فرایند وابسته نیست؛ ادامه کار عامل نیز به ارزیابی مرحله پیشین گره می‌خورد.

این منطق می‌تواند به سازمان‌ها کمک کند دسترسی عامل را با نیاز همان وظیفه هماهنگ کنند، نه اینکه مجوزی عمومی برای فعالیت‌های آینده در اختیارش بگذارند. البته در گزارش، جزئیاتی درباره چگونگی سنجش موفقیت کار یا سازوکار فنی تأیید آن ارائه نشده است. آنچه وانگ شرح داد، اصل کلی کنترل مرحله‌به‌مرحله و وابسته‌کردن مجوز بعدی به نتیجه مرحله قبلی است.

اطلاعات محرمانه نباید وارد مدل شود

بخش دیگری از رویکرد ۱Password به نحوه استفاده عامل‌ها از اطلاعات محرمانه مربوط است. این شرکت می‌گوید Credential Broker اطلاعات لازم را فقط در زمان نیاز آزاد می‌کند، بدون آنکه آن‌ها را در اختیار خود عامل یا مدل زیربنایی قرار دهد. در اینجا، اطلاعات محرمانه می‌تواند برای احراز هویت یا دسترسی به یک سرویس لازم باشد؛ اما بر اساس توضیح ارائه‌شده، عامل نباید آن را به‌صورت مستقیم در اختیار داشته باشد.

این جداسازی میان عامل و اطلاعات محرمانه، پاسخی به یکی از مسائل امنیتی استفاده از عامل‌هاست: نرم‌افزار برای انجام کار ممکن است به اعتبارنامه نیاز پیدا کند، اما دسترسی مستقیم به آن می‌تواند کنترل اطلاعات را دشوارتر کند. Credential Broker در توصیف ۱Password نقش واسطه را دارد و اطلاعات را تنها وقتی لازم است در دسترس فرایند قرار می‌دهد. گزارش، جزئیات پیاده‌سازی یا انواع اطلاعاتی را که این ابزار پشتیبانی می‌کند مشخص نکرده است؛ بنابراین نمی‌توان از آن فراتر از همین توضیح درباره دامنه قابلیت‌های محصول نتیجه‌گیری کرد.

وانگ همچنین پیش‌بینی کرد که برنامه‌ها به‌تدریج به «thin client» تبدیل شوند و بخش عمده کد در محیط‌های ایزوله از راه دور اجرا شود. Thin client به برنامه‌ای گفته می‌شود که بخش زیادی از پردازش را به زیرساختی دیگر می‌سپارد و در دستگاه کاربر نقش سبک‌تری دارد. وانگ بر همین اساس گفت دسترسی امن باید در فضای ابری انجام شود. این دیدگاه، برداشت او از مسیری است که برنامه‌ها ممکن است در آینده طی کنند و در گفت‌وگو به‌عنوان یک پیش‌بینی مطرح شد، نه گزارشی از تغییر کامل برنامه‌های کنونی.

استانداردهای مشترک و پیامدهای سازمانی

۱Password و Okta، به گفته وانگ، از استانداردهای مشترک هویت پشتیبانی می‌کنند تا هویت تأییدشده عامل و زمینه مجوزهایش بتواند میان سامانه‌های این دو شرکت منتقل شود. هدف چنین همکاری‌ای، حفظ اطلاعات هویتی و مجوزدهی در هنگام عبور عامل از ابزارها و سامانه‌های مختلف است. اگر این زمینه در هر سامانه جداگانه تعریف شود یا هنگام جابه‌جایی از بین برود، تشخیص اینکه عامل با چه اختیار و در چه چارچوبی کار می‌کند دشوارتر خواهد شد.

استاندارد مشترک به‌تنهایی تضمین نمی‌کند که همه شرکت‌ها یا سامانه‌ها از یک روش واحد استفاده کنند؛ گزارش نیز جزئیات استاندارد مورد حمایت را مشخص نمی‌کند. بااین‌حال، تأکید بر انتقال هویت و مجوز نشان می‌دهد که مسئله مدیریت عامل‌ها فقط به یک محصول محدود نیست. عامل ممکن است در چند سامانه فعالیت کند و هر کدام باید بتوانند هویت و حدود اختیار آن را بفهمند.

در مجموع، پیام ۱Password این است که سازمان‌ها نباید عامل هوش مصنوعی را صرفاً ادامه حساب کاربری انسانی بدانند یا به آن دسترسی دائمی بدهند. رویکرد پیشنهادی شرکت بر سه محور استوار است: مشخص‌کردن هویت عامل، محدودکردن مجوز به وظیفه و جلوگیری از قرارگرفتن اطلاعات محرمانه در خود مدل. این توصیه‌ها در گفت‌وگوی وانگ در رویداد Oktane مطرح شدند و گزارش جزئیات بیشتری درباره میزان پذیرش این روش‌ها یا عملکرد محصول ارائه نمی‌کند.

این خبر برای چه کسانی اهمیت دارد

این رویکرد برای تیم‌های امنیت اطلاعات، مدیران هویت و دسترسی و سازمان‌هایی اهمیت دارد که از عامل‌های هوش مصنوعی برای انجام کار به نمایندگی از کارکنان استفاده می‌کنند. برای این گروه‌ها، پرسش اصلی فقط توانایی عامل در انجام وظیفه نیست؛ باید مشخص باشد عامل با چه هویتی عمل کرده، چه مجوزی داشته و اطلاعات محرمانه چگونه در اختیار فرایند قرار گرفته است.

همچنین شرکت‌های ارائه‌دهنده ابزارهای مدیریت هویت و امنیت می‌توانند از این بحث برای ارزیابی نیاز به سازگاری میان سامانه‌ها استفاده کنند. حمایت ۱Password و Okta از استانداردهای مشترک، به اهمیت انتقال هویت و مجوز در محیط‌هایی اشاره دارد که عامل‌ها میان چند سرویس جابه‌جا می‌شوند. برای مدیران سازمانی نیز مدل دسترسی موقت و وظیفه‌محور، گزینه‌ای برای پرهیز از اعطای مجوزهای گسترده و ماندگار به نرم‌افزارهایی است که به نمایندگی از کاربران اقدام می‌کنند.