كيف تكسر وكلاء الذكاء الاصطناعي أنظمة التحكم في الوصول التقليدية

أزمة إدارة الهوية التي لم يرها أحد قادمة

نشهد تباينًا جوهريًا بين كيفية تصميم أنظمة الهوية وكيفية عمل وكلاء الذكاء الاصطناعي فعليًا. فرضت إدارة الهوية والوصول التقليدية (IAM) حقيقة أساسية واحدة: البشر دائمًا مشاركون. يقوم المستخدم بتسجيل الدخول، ويواجه تحدي المصادقة متعددة العوامل، ويفكر فيما يفعله، ثم يتصرف.

دمر وكلاء الذكاء الاصطناعي هذا الافتراض بين عشية وضحاها.

عندما يعالج روبوت خدمة العملاء 10,000 طلب في الدقيقة في الساعة 3 صباحًا، لا يمكنه التوقف لانتظار موافقة إنسان على إشعار دفع MFA. عندما ينفذ سير عمل مستقل مهامًا مفوضة ضد واجهات برمجة التطبيقات، يحتاج إلى إدارة بيانات اعتماد تتم بدون أن ينقر أحد على شيء. تصبح البنية التحتية الحالية — مطالبات كلمة المرور، تحديات MFA، سير عمل التحقق البشري — عنق زجاجة يوقف كل شيء.

هذه ليست مشكلة تجربة مستخدم بسيطة. إنها أزمة معمارية.

أين تتفكك الأنظمة التقليدية

الحلول الحالية للمصادقة بين الآلات لا تحل أيضًا هذه المشكلة. بُنيت للتواصل البسيط بين خدمة وخدمة، وليس لدورات حياة الوكيل المعقدة مع متطلبات أذونات ديناميكية وسلاسل تفويض متطورة.

المشكلة الأساسية: تمنح إدارة الهوية والوصول التقليدية الأذونات على مستوى المستخدم. عندما تفوض مساعدًا ذكاء اصطناعيًا لإدارة بريدك الإلكتروني، فإن الأنظمة الحالية إما تمنحه وصولًا كاملًا إلى كل شيء يمكنك القيام به — أو تفشل تمامًا لأنها لا تدعم تقييد النطاق الدقيق.

خذ سيناريو البنك: يمكن للبشر التفكير في التعليمات. يعرفون بشكل غريزي أن طلب “تحويل 100,000 دولار إلى حساب غير معروف” مشبوه على الأرجح، حتى لو كان مسموحًا تقنيًا. يفتقر نظام الذكاء الاصطناعي إلى هذا الحكم. يحتاج إلى حواجز واضحة: يمكن لهذا الوكيل دفع لموردين معتمدين فقط، بحد أقصى 5,000 دولار لكل معاملة، وتاريخ انتهاء صلاحية في 31 ديسمبر 2025.

لهذا السبب نحتاج إلى أقل امتيازات ممكنة عند الافتراض للوكلاء المفوضين — وهو مفهوم لم تكن إدارة الهوية والوصول التقليدية مضطرة لتنفيذه لأنه كان يعتمد على طبقة التفكير البشري.

نموذجان مختلفان تمامًا للوكيل يتطلبان نهجين مختلفين للهوية

وكلاء شبه مستقلين: مشكلة التفويض

عندما يفوض إنسان مهمة لوكيل ذكاء اصطناعي (مثل: مساعد تنفيذي يدير التقويم وتقارير النفقات)، يحتاج النظام إلى تنفيذ مصادقة ذات هويتين:

الهوية الأساسية: الإنسان الذي وافق على الوكيل الهوية الثانوية: نسخة الوكيل المقيدة ذات القيود الصريحة

بالشروط OAuth 2.1 / OIDC، يعني هذا تبادل رمز يولد رموز وصول مقيدة: