دههها پس از آنکه فیلم علمیتخیلی بلید رانر (Blade Runner) حضور رپلیکانتها (Replicants) را در میان انسانها به تصویر کشید، امروز تیمهای امنیت سایبری با نمونهای واقعی از یک نیروی کار دیجیتال روبهرو هستند. هویتهای غیرانسانی شامل عاملهای هوش مصنوعی (AI Agents)، حسابهای سرویس، اپلیکیشنهای OAuth، هویتهای بارکاری (Workload Identities) و سایر هویتهای ماشینی هستند که اکنون در بسیاری از محیطهای سازمانی از تعداد کاربران انسانی فراتر رفتهاند. رشد سریع این هویتهای دیجیتال، هویتهای غیرانسانی را به یکی از چالشهای مهم امنیت هویت تبدیل کرده است؛ زیرا بسیاری از سازمانها هنوز نمیدانند چه کسی مالک این هویتهاست، چرا همچنان فعال هستند و چه سطحی از دسترسی به دادهها و سامانههای حساس دارند.
چالش مدیریت هویتهای غیرانسانی در مدلهای سنتی امنیت
امنیت هویت بر اساس عملکرد و چرخه عمر کاربران انسانی طراحی شده است. کاربران وارد سازمان میشوند، نقشهای خود را تغییر میدهند، ممکن است برای مدتی از محیط کاری خارج شوند و در نهایت سازمان را ترک کنند. این رویدادهای چرخه عمر هویت پایه اصلی حاکمیت هویت (Identity Governance) را شکل دادهاند. با این حال، هویتهای ماشینی معمولاً از چنین الگوی مشخصی پیروی نمیکنند.
بر اساس گزارش گروه مدیریت هویتهای غیرانسانی، در بسیاری از محیطهای سازمانی تعداد هویتهای ماشینی تا 50 برابر بیشتر از کاربران انسانی است. برخی از این هویتها تنها برای چند دقیقه فعال هستند، اما برخی دیگر سالها پس از آنکه برنامه، سرویس یا فرآیند خودکاری ایجادکننده آنها دیگر مورد استفاده قرار نمیگیرد، همچنان به فعالیت خود ادامه میدهند.
با وجود افزایش چشمگیر این هویتها، بسیاری از سازمانها هنوز نمیتوانند به پرسشهای ساده اما حیاتی پاسخ دهند؛ اینکه هر هویت متعلق به چه کسی است، چرا همچنان فعال مانده و چه سطحی از دسترسی به منابع و دادههای حساس دارد.
رشد اعتماد سریعتر از حاکمیت امنیتی
یک عامل تهدید با نام UNC6395 در سال 2025، موفق شد یک توکن OAuth مرتبط با یکپارچهسازی چت Drift در پلتفرم Salesloft را به دست آورد و از آن برای دسترسی به محیطهای سیلزفورس (Salesforce) متعلق به صدها سازمان استفاده کند. مشکل این توکن ناشی از وجود یک آسیبپذیری نرمافزاری نبود؛ بلکه مهاجمان از یک دسترسی معتبر استفاده کردند که پیشتر مورد اعتماد سیستم قرار گرفته بود.
مهاجمان پس از دستیابی به این توکن توانستند به اعتبارنامههای AWS، توکنهای Snowflake و سایر اطلاعات دیجیتال که بهصورت ناامن ذخیره شده بودند، دسترسی پیدا کنند. در این حمله، یک هویت ماشینی مورد اعتماد به نقطه شروعی برای دستیابی به چندین هویت و اعتبارنامه دیگر تبدیل شد.
عاملهای هوش مصنوعی منشأ این مشکل نیستند، اما دامنه آن را با سرعت بیشتری گسترش میدهند. سازمانها اکنون از این عاملها در فرآیندهای مختلف استفاده میکنند؛ عاملهایی که میتوانند هویتهای جدید بسازند، مجوزهای دسترسیهای موجود را دریافت کنند، با سامانههای مختلف در تعامل باشند و تعداد اعتبارنامههای مورد اعتماد در محیط سازمانی را افزایش دهند.
اگر تیمهای امنیتی از وجود این هویتها اطلاع نداشته باشند یا ندانند هرکدام چه سطحی از دسترسی به منابع سازمانی دارند، سطح حمله (Attack Surface) بهصورت تدریجی و بدون جلب توجه گسترش پیدا میکند. این شرایط، مدیریت هویتهای غیرانسانی را به یکی از چالشهای مهم امنیتی در زیرساختهای مدرن تبدیل کرده است.
محدودیت مدلهای سنتی مدیریت هویت برای هویتهای غیرانسانی
بررسی رخدادهای امنیتی در سالهای اخیر نشان میدهد که هویت یکی از محورهای اصلی بسیاری از حملات بوده است؛ از اعتبارنامههای سرقتشده و دسترسیهای باقیمانده گرفته تا مجوزهایی که پس از خروج کاربر یا پایان استفاده از سامانه ایجادکننده آنها، همچنان بدون نظارت فعال باقی ماندهاند.
هوش مصنوعی چالش تازهای در مدیریت هویت ایجاد نکرده است؛ بلکه ضعفهایی را نمایان کرده که پیش از این نیز در فرآیندهای مدیریت هویت وجود داشتند.
مدلهای مدیریت هویت کاربران انسانی معمولاً بر این فرض بنا شدهاند که هر حساب کاربری یک مالک مشخص دارد، دسترسیها بهصورت دورهای بررسی میشوند و در نهایت، زمانی که دیگر مورد نیاز نباشند، حذف خواهند شد. اما عاملهای هوش مصنوعی بهطور طبیعی با این چرخه عمر سازگار نیستند. آنها میتوانند بهصورت خودکار ایجاد شوند، دسترسیهای مرتبط با هویتهای دیگر را دریافت کنند، با سامانهها با سرعت ماشین تعامل داشته باشند و حتی در جریان فعالیت خود، هویتهای جدیدی ایجاد کنند.
نتیجه این روند، افزایش تعداد هویتها با سرعتی بیشتر از توانایی بسیاری از فرآیندهای حاکمیت هویت برای مدیریت آنهاست. به همین دلیل، هویتهای غیرانسانی به یکی از چالشهای مهم در رویکردهای سنتی امنیت هویت تبدیل شدهاند.
داشتن دید کافی بهتنهایی مانع حمله نمیشود
بر اساس گزارش امنیت داده و هویت 2026، سازمانهایی که استفاده از هوش مصنوعی باعث افزایش قابلتوجه تعداد هویتها در محیط آنها شده بود، در سال گذشته نرخ نقض داده 43 درصدی را تجربه کردند. این در حالی است که در سازمانهایی که هوش مصنوعی تغییر چشمگیری در تعداد و ساختار هویتهای آنها ایجاد نکرده بود، این نرخ تنها 11 درصد گزارش شد.
بخش جالب ماجرا نرخ نقض امنیتی نبود، بلکه این بود که چه سازمانهایی با وجود برخورداری از کنترلهای امنیتی قویتر، قربانی شدند.
سازمانهایی که تعداد هویتهای آنها با سرعت بیشتری در نتیجه استفاده از هوش مصنوعی افزایش یافته بود، معمولاً از فرآیندهای حاکمیت هویت قویتری نسبت به سایر سازمانها برخوردار بودند. این سازمانها معمولاً توانایی بیشتری در شناسایی و مدیریت هوش مصنوعی Shadow داشتند، هویتهای غیرانسانی را تحت نظارت قرار میدادند و بهطور مداوم از وضعیت دسترسی به دادههای حساس خود آگاه بودند. آنها فرآیندها و کنترلهای امنیتی موردنیاز را پیادهسازی کرده بودند، اما باز هم نتوانستند از وقوع حمله جلوگیری کنند.
تیمهای امنیتی برای مدیریت این چالش باید همیشه پاسخ مشخصی برای چهار پرسش کلیدی داشته باشند:
- چه هویتهایی در محیط سازمان فعال هستند؟
- هر هویت به چه فرد، سامانه یا سرویسی تعلق دارد؟
- هر هویت چه سطحی از دسترسی به منابع سازمانی دارد؟
- چه زمانی باید فعالیت یا دسترسی آن حذف یا متوقف شود؟
بدون پاسخ دقیق به این پرسشها، هر استقرار جدید هوش مصنوعی میتواند بهتدریج تعداد هویتهای مورد اعتماد فعال در محیط سازمان را افزایش دهد و سطح حمله را گستردهتر کند.
چه کسی مسئول هویتهای ایجادشده توسط هوش مصنوعی است؟
وقتی یک عامل هوش مصنوعی در یک رخداد امنیتی نقش دارد، مسئولیت آن هویت بر عهده چه کسی خواهد بود؟ چه کسی مجوزهای دسترسی آن را تأیید کرده است؟ چه کسی دسترسیهای آن را بهصورت دورهای بررسی میکند و چه زمانی باید فعالیت آن متوقف یا حذف شود؟
در مورد حسابهای سرویس معمولاً یک مسیر مشخص برای تعیین مالک و مسئولیت وجود دارد. اما عاملهای هوش مصنوعی که با سرعت ماشین فعالیت میکنند، هویتهای جدید ایجاد میکنند و به سامانههای مختلف متصل میشوند، میتوانند زنجیره ارتباط میان یک هویت و مسئول انسانی آن را بهسرعت پیچیده و مبهم کنند.
دانستن اینکه دادههای حساس کجا قرار دارند، تنها بخشی از راهکار امنیتی است. سازمانها باید دید کاملی نسبت به هویتهای دارای دسترسی به این دادهها داشته باشند، فهرست هویتهای فعال خود را بهروز نگه دارند و مشخص کنند مسئولیت هر هویت بر عهده چه فرد یا تیمی است. این مسئله در مورد هویتهای غیرانسانی اهمیت بیشتری دارد؛ زیرا بسیاری از آنها بدون مالک مشخص ایجاد میشوند و ممکن است برای مدت طولانی بدون مدیریت باقی بمانند.
همیشه مهمترین هویتها از نظر امنیتی همانهایی نیستند که تیمهای امنیتی آنها را بررسی میکنند؛ گاهی بیشترین ریسک از هویتهایی ناشی میشود که دیگر کسی زمان ایجاد یا دلیل وجود آنها را به یاد نمیآورد.
