هوش مصنوعی عامل‌محور، امنیت هویت و پایگاه‌های داده را به چالش می‌کشد

گسترش هوش مصنوعی عامل‌محور، پرسش تازه‌ای را پیش روی تیم‌های امنیت سازمانی گذاشته است: وقتی نرم‌افزارهای هوشمند می‌توانند به نمایندگی از کارکنان به داده‌ها دسترسی پیدا کنند و در فرایندها اقدام انجام دهند، چگونه باید هویت و مجوزهای آن‌ها را کنترل کرد؟ به گفته یکی از مدیران Oracle، پاسخ به این پرسش از شناخت دارایی‌های حساس و محل توسعه سامانه‌های هوش مصنوعی آغاز می‌شود. این موضوع می‌تواند برای سازمان‌هایی اهمیت داشته باشد که می‌خواهند از عامل‌های هوش مصنوعی استفاده کنند، اما نمی‌خواهند کنترل داده‌هایشان را از دست بدهند.

Johnnie Konstantas، معاون گروه مهندسی ابری Oracle، در گفت‌وگویی با SiliconANGLE درباره تغییر رویکرد امنیت سازمانی در دوره گسترش هوش مصنوعی صحبت کرد. گزارش این گفت‌وگو در ۲۸ سپتامبر ۲۰۲۶ منتشر شده و بخشی از پوشش رویداد Oracle با عنوان «AI Cyberattacks Are Escalating: How to Secure Your Data Now» بوده است. Konstantas گفت مشتریان به‌دنبال خودکارکردن کارهایی هستند که امکان خودکارسازی آن‌ها وجود دارد؛ اما برای این کار، ابتدا باید بدانند داده‌های حساس کجا قرار دارند و هوش مصنوعی در کدام بخش‌های سازمان ساخته می‌شود.

عامل‌ها مرزهای سنتی هویت را پیچیده می‌کنند

هوش مصنوعی عامل‌محور به سامانه‌هایی گفته می‌شود که می‌توانند برای پیش‌برد یک هدف، مجموعه‌ای از کارها را انجام دهند و در برخی موارد از عامل‌های فرعی کمک بگیرند. این ویژگی، عامل را از ابزاری که فقط به یک پرسش پاسخ می‌دهد متمایز می‌کند: عامل ممکن است در یک گردش‌کار، به اطلاعات دسترسی پیدا کند یا اقدامی را اجرا کند.

به گفته Konstantas، عامل‌ها و عامل‌های فرعی می‌توانند به‌عنوان واسطه‌ای برای یک فرد عمل کنند و مجوزهای آن فرد را در اختیار داشته باشند. در چنین وضعیتی، سازمان باید روشن کند چه کسی یا چه چیزی مجاز به دسترسی است و حدود آن دسترسی کجاست. مجوزی که برای یک کاربر تعریف شده، ممکن است هنگام استفاده از عامل هوش مصنوعی به شکل دیگری در یک فرایند خودکار به کار گرفته شود.

این بحث به مفهوم «هویت» در امنیت سایبری مربوط می‌شود. هویت در اینجا فقط به معنای نام کاربری و رمز عبور نیست؛ بلکه مشخص می‌کند یک کاربر یا سامانه چه دسترسی‌هایی دارد و چه اقداماتی می‌تواند انجام دهد. وقتی عامل‌های نرم‌افزاری نیز در فرایندها نقش می‌گیرند، سازمان‌ها باید آن‌ها را هم در چارچوب کنترل هویت و مجوزها ببینند.

Konstantas بر یکپارچگی و فراگیری کنترل‌های هویتی تأکید کرد؛ یعنی مدیریت هویت نباید تنها به بخشی از سامانه‌ها محدود بماند. با این حال، گزارش SiliconANGLE جزئیات فنی درباره روش اجرای این کنترل‌ها، سازوکار بررسی مجوزها یا چگونگی محدودکردن اختیار عامل‌ها ارائه نمی‌کند. بنابراین، گفته‌های او بیش از آن‌که شرح یک راهکار اجرایی مشخص باشد، بر اولویت امنیتی تازه‌ای برای سازمان‌ها انگشت می‌گذارد.

شناخت داده‌های حساس، نقطه شروع است

به گفته مدیر Oracle، سازمان‌ها برای مدیریت ریسک هوش مصنوعی باید بدانند داده‌های حساسشان کجا نگهداری می‌شود و ساخت یا استفاده از هوش مصنوعی در کدام بخش‌ها جریان دارد. این شناخت به سازمان کمک می‌کند تصویر روشن‌تری از محل برخورد فناوری جدید با اطلاعات مهم خود به دست آورد؛ به‌خصوص زمانی که عامل‌ها برای انجام وظایف به داده‌های سازمانی متصل می‌شوند.

Konstantas گفت موجودی‌برداری از محل توسعه هوش مصنوعی، به‌ویژه هوش مصنوعی عامل‌محور، اهمیت زیادی دارد. منظور از این موجودی‌برداری، شناسایی دارایی‌ها و فعالیت‌های مرتبط است؛ از جمله اینکه داده حساس کجاست و کدام واحدها در حال ساخت یا به‌کارگیری سامانه‌های هوش مصنوعی هستند. او این شناخت را یکی از گام‌های لازم برای تصمیم‌گیری درباره نحوه کنترل و حفاظت از داده‌ها دانست.

این رویکرد همچنین با تغییری گسترده‌تر در عملیات امنیتی پیوند دارد. در آغاز گزارش SiliconANGLE آمده است که تیم‌های امنیتی به‌سمت استفاده از خودکارسازی برای تبدیل نشانه‌ها و هشدارها به اقدام حرکت می‌کنند، اما در عین حال باید زمینه مناسب و کنترل انسانی را حفظ کنند. چالش اصلی، یافتن تعادلی میان استفاده از توان خودکار عامل‌ها و قضاوت و نظارت انسانی است؛ نه واگذاری بی‌قیدوشرط تصمیم‌ها به سامانه‌های هوشمند.

از این منظر، شناسایی داده‌ها و محل فعالیت هوش مصنوعی فقط یک کار فهرست‌برداری اداری نیست. چنین شناختی، طبق توضیحات Konstantas، به سازمان کمک می‌کند ابتدا مسئله خود را تعریف کند و سپس درباره راهکار امنیتی تصمیم بگیرد. او گفت گفت‌وگو با مشتریان را با این پرسش آغاز می‌کند که آن‌ها می‌خواهند به چه نتیجه‌ای برسند و داده حساسشان کجاست، نه با معرفی فوری محصول Oracle.

Oracle از قابلیت‌های مرتبط با عامل‌ها می‌گوید

Konstantas گفت Oracle راهکارهای هوش مصنوعی عامل‌محور را در سبد امنیتی خود ادغام کرده است. او همچنین به قابلیت‌هایی اشاره کرد که به گفته او در نسخه تازه پایگاه داده هوش مصنوعی این شرکت معرفی شده‌اند و برای نیازهای مرتبط با هوش مصنوعی عامل‌محور طراحی شده‌اند. در گزارش، نام نسخه، مشخصات این قابلیت‌ها و چگونگی کارکرد آن‌ها شرح داده نشده است.

اشاره به پایگاه داده در این بحث مهم است، زیرا دسترسی عامل‌ها به اطلاعات سازمانی می‌تواند بخشی از گردش‌کار آن‌ها باشد. با این حال، گزارش تنها اظهارات مدیر Oracle را بازتاب می‌دهد و شواهد مستقلی درباره عملکرد این قابلیت‌ها یا مقایسه آن‌ها با محصولات دیگر عرضه نمی‌کند. بنابراین نمی‌توان از متن گزارش درباره میزان اثرگذاری یا دامنه فنی راهکارها نتیجه‌گیری دقیق‌تری کرد.

رویکردی که Konstantas توصیف کرد، بر آغاز کار از نیاز مشتری و حساسیت داده‌ها تکیه دارد. این نکته در فضایی مطرح می‌شود که ابزارهای هوش مصنوعی در سازمان‌ها هم می‌توانند کارها را خودکار کنند و هم ممکن است دسترسی به اطلاعات را در قالب تازه‌ای ممکن سازند. برای مدیران امنیت، مسئله فقط انتخاب یک ابزار نیست؛ باید روشن باشد عامل به چه داده‌ای نیاز دارد، به نمایندگی از چه کسی عمل می‌کند و در کدام مرحله از فرایند اختیار اقدام دارد.

امنیت عامل‌ها در کنار نظارت انسانی

گزارش به افزایش توجه صنعت امنیت سایبری به عامل‌های هوش مصنوعی و نقش رو‌به‌رشد آن‌ها در عملیات سازمانی اشاره می‌کند. این توجه، به گفته Konstantas، تمرکز بیشتری بر هویت ایجاد کرده است. از آنجا که عامل ممکن است در یک گردش‌کار دسترسی داشته باشد یا اقدامی انجام دهد، سازمان‌ها باید بتوانند میان فعالیت عامل و مجوزی که برای آن در نظر گرفته شده ارتباط برقرار کنند.

در عین حال، صحبت از خودکارسازی به معنای حذف کامل نیروی انسانی از عملیات امنیتی نیست. متن گزارش بر نیاز به ترکیبی مناسب از توانایی‌های انسانی و تصمیم‌گیری خودکار تأکید دارد. این تمایز برای سازمان‌ها مهم است: خودکارسازی می‌تواند بخشی از فرایند را پیش ببرد، اما تعیین مرز اختیار و حفظ زمینه لازم برای تصمیم‌گیری همچنان از مسائل اصلی باقی می‌ماند.

گفت‌وگو در رویدادی برگزار شد که پوشش رسانه‌ای آن با حمایت مالی همراه بود. SiliconANGLE اعلام کرده است که theCUBE شریک رسانه‌ای پولی رویداد Oracle بوده و حامیان در کنترل تحریریه محتوای theCUBE یا SiliconANGLE نقشی نداشته‌اند. این توضیح درباره زمینه انتشار گزارش است و در ارزیابی ادعاهای مطرح‌شده درباره محصولات Oracle نیز باید در نظر گرفته شود.

این خبر برای چه کسانی اهمیت دارد

این موضوع برای مدیران امنیت اطلاعات، مسئولان پایگاه داده، تیم‌های زیرساخت ابری و سازمان‌هایی که در حال آزمایش یا استقرار عامل‌های هوش مصنوعی هستند اهمیت دارد. پیام اصلی، بر اساس گفته‌های مدیر Oracle، این است که پیش از گسترش استفاده از عامل‌ها باید محل داده‌های حساس و محل ساخت سامانه‌های هوش مصنوعی مشخص شود و هویت و سطح دسترسی عامل‌ها در برنامه امنیتی سازمان جای بگیرد.

برای خریداران فناوری نیز مهم است میان ادعای کلی درباره پشتیبانی از هوش مصنوعی عامل‌محور و اطلاعات فنی قابل ارزیابی تفاوت بگذارند. گزارش از ادغام قابلیت‌هایی در سبد امنیتی و پایگاه داده Oracle خبر می‌دهد، اما جزئیات کافی برای سنجش فنی آن‌ها ارائه نمی‌کند. در نتیجه، خبر بیش از آن‌که معرفی یک محصول مشخص باشد، بازتاب‌دهنده اولویت تازه‌ای در امنیت سازمانی است: کنترل هویت و دسترسی در زمانی که نرم‌افزارهای هوشمند نقش فعال‌تری در کار با داده‌ها پیدا می‌کنند.