U hebt personeel aangenomen dat niemand beheert
Elke AI-agent die u inzet is een werknemer met een sleutel tot uw systemen. Hij meldt zich aan, leest gegevens, roept andere diensten aan en handelt zonder dat iemand toekijkt. Het verschil is dat niemand in het bedrijf hem als een personeelslid behandelt, dus past ook niemand de controles toe die ze op een werknemer zouden toepassen.
De cijfers zijn inmiddels moeilijk te negeren. KPMG meldt dat niet-menselijke identiteiten, de serviceaccounts, API-sleutels, automatiseringsgegevens en AI-agents die binnen het bedrijf draaien, in grote organisaties tot 80 op 1 talrijker zijn dan menselijke gebruikers. Brancheonderzoek constateert dat 47 procent van deze identiteiten ouder is dan een jaar zonder rotatie van inloggegevens, en dat de overgrote meerderheid veel meer toegang heeft dan ooit nodig is.
De toeleveringsketen van agents is nu een aanvalsoppervlak
Moderne agents werken niet alleen. Ze halen vaardigheden, plugins en connectoren binnen uit gedeelde marktplaatsen, elk een pakket met toegang tot uw gegevens en uw systemen. Dat gemak is ook een toegangspoort. Wanneer u een vaardigheid installeert, erft u alles wat de maker erin heeft geplaatst.
Dit is niet langer theoretisch. In een veelgebruikte marktplaats voor agentvaardigheden vonden beveiligingsonderzoekers dat ongeveer een op de vijf gepubliceerde vaardigheden was bewapend, en dat ruim een derde minstens een beveiligingsfout bevatte, van prompt-injectie tot blootgestelde geheimen. Autonome agents zijn al verantwoordelijk voor ongeveer een op de acht gemelde AI-beveiligingsincidenten, en de meeste bedrijven zeggen dat ze het afgelopen jaar minstens een agentincident hebben gehad.
Beheer de agents zoals u mensen beheert
Het antwoord is niet om de adoptie te vertragen, en het is geen nieuw detectieproduct dat achteraf wordt aangebouwd. Het is om niet-menselijke identiteiten met dezelfde discipline te behandelen die u al op medewerkers toepast: een volledige inventaris van welke agents bestaan, welke inloggegevens ze hebben en wat ze mogen aanraken.
Dat betekent standaard minimale rechten, geplande rotatie van inloggegevens, monitoring van wat elke agent daadwerkelijk doet, en een echt offboardingproces zodat een ingetrokken agent zijn toegang verliest op de dag dat hij niet meer wordt gebruikt. Bedrijven die dit goed aanpakken behouden de snelheid van agents zonder een onbeheerd aanvalsoppervlak te erven. Wie dat niet doet, zal merken dat hun grootste personeelsbestand het bestand was dat ze nooit hebben onboard.
Lees hierna: Uw versleuteling verloopt ooit · AI-ondoorzichtigheid telt nu in uw nadeel