Quando il badge appartiene al software, le regole delle risorse umane smettono di funzionare

Per anni, la gestione del ciclo di vita delle identità ha presupposto uno schema familiare: una persona entra, cambia ruolo e alla fine se ne va. Questo modello funziona quando i record HR definiscono chi ottiene l'accesso e quando dovrebbe terminare. Si rompe quando il soggetto principale è un agente AI. In quel mondo, non c'è un manager che approvi una promozione, non c'è un fascicolo del personale su cui ancorare il provisioning e non c'è un colloquio di uscita che faccia scattare la revoca.

Dati rapidi

• La gestione del ciclo di vita delle identità è stata costruita attorno agli eventi di impiego delle persone.
• Gli agenti AI non si adattano naturalmente ai flussi di lavoro joiner-mover-leaver.
• Gli strumenti IGA tradizionali possono non rilevare modelli di accesso che non corrispondono alle persone.
• NIST sta esaminando identità, autorizzazione, delega, auditing e non ripudio degli agenti AI.
• I soggetti non umani necessitano di logiche separate di ownership, ambito e revoca.

Introduzione

Il vero problema di sicurezza non è che gli agenti AI siano misteriosi. È che le aziende stanno cercando di governarli con meccanismi di identità progettati per gli esseri umani. Questo disallineamento crea punti ciechi. Un sistema costruito per tracciare i record di assunzione può essere molto bravo a integrare un lavoratore, e tuttavia essere scarso nel monitorare un agente creato per un singolo compito, delegato tramite una credenziale e lasciato in esecuzione dopo che il compito è cambiato.

Come si piega il modello

Gli strumenti di identity governance and administration sono più efficaci quando possono confrontare gli account con una chiara fonte di verità. I programmi di identità umana spesso si affidano alle risorse umane come fonte. Gli agenti AI complicano il quadro perché possono essere creati dal codice, vincolati a un workflow o delegati tramite un altro servizio. Nell'architettura di identità più ampia, le workload identity sono comunemente usate per il software piuttosto che per le persone, ma gli agenti sollevano una domanda in più: chi possiede l'azione quando il software agisce da solo?

Ecco perché l'attuale conversazione tecnica è importante. NIST sta studiando in modo esplicito come dovrebbero funzionare l'identità e l'autorizzazione degli agenti AI, inclusi identificazione, delega, auditing e non ripudio. Non si tratta di termini astratti di policy. Determinano se un team di sicurezza può rispondere a domande fondamentali a posteriori: quale soggetto ha agito, con quale autorità e se tale autorità dovesse ancora esistere.

Perché i difensori dovrebbero preoccuparsene

Il pericolo non riguarda solo l'accesso orfano. Riguarda anche l'accesso troppo ampio che dura più a lungo del compito che lo ha giustificato. Se un agente può raggiungere API sensibili, attivare workflow o modificare record, una delega obsoleta può diventare un percorso di attacco duraturo. Lo stesso stack di identità che impedisce la proliferazione degli account umani può non rilevare attributi specifici degli agenti, come l'ambito del compito, i limiti temporali o l'autorizzazione concatenata. È questo il punto cieco strutturale di cui tratta davvero il dibattito.

La natura troncata dell'articolo lascia incompleti gli esempi e le raccomandazioni, ma la lezione di governance è già chiara: i soggetti non umani hanno bisogno dei propri controlli del ciclo di vita. Trattarli come utenti ordinari può confondere la proprietà, indebolire la verificabilità degli audit e rallentare la revoca quando le condizioni cambiano.

Conclusione

Gli agenti AI stanno costringendo i team di identità a riconsiderare una vecchia assunzione: che ogni soggetto assomigli a una persona. La prossima fase della sicurezza delle identità non consisterà nell'aggiungere più logica HR al software. Consisterà nel costruire record di identità, catene di delega e regole di revoca che corrispondano al modo in cui le macchine operano realmente. Nell'era degli agenti autonomi, il badge può anche non essere di plastica, ma l'accesso ha comunque bisogno di un inizio chiaro, di un ambito ristretto e di un arresto netto.

TECHCROOK

Chiave di sicurezza hardware: Una chiave di sicurezza hardware aggiunge un secondo fattore fisico per gli account di amministrazione e gestione delle identità. È un modo semplice per rafforzare le persone che approvano decisioni di accesso, delega e revoca nei sistemi sensibili.

Scheda Techcrook: Chiave di sicurezza hardware

WIKICROOK

• Gestione del ciclo di vita delle identità: I processi usati per creare, modificare e ritirare le identità digitali nel tempo.
• IGA: Strumenti di Identity Governance and Administration che controllano accessi, autorizzazioni e conformità.
• Identità non umana: Un'identità usata da software, servizi o agenti invece che da una persona.
• Delega: L'atto di concedere a un soggetto l'autorità di agire per conto di un altro.
• Non ripudio: Evidenza che aiuta a dimostrare quale soggetto ha compiuto un'azione e con quale autorità.