رهبران فناوری اطلاعات و امنیت عصر هوش مصنوعی باید به اصول اولیه بازگردند و مراقب هیاهوها باشند

CISOها و CIOها نباید فقط به دنبال جدیدترین تبلیغات در مورد هوش مصنوعی باشند که می‌تواند از جعبه‌های ماسه‌بازی و ایجاد تهدیدات امنیتی فرار کند، بلکه باید روی بازگشت سرمایه آزمایش شده و واقعی امنیت هویت شرط‌بندی کنند.

این کاملا درست است که صحنه امنیت اطلاعات در حال تغییر است زیرا هوش مصنوعی عاملی سرعت عملیات را افزایش می‌دهد و به طور بالقوه سطوح حمله جدید را در معرض دید قرار می‌دهد. اکثر ارائه دهندگان هوش مصنوعی گزارش کرده اند که آخرین نسل مدل های آنها به قدری قدرتمند است که قادر به فرار از جعبه های ماسه ای و هک سازمان ها هستند. صرف نظر از اینکه معتقدید این بازاریابی تبلیغاتی، حقیقت یا نابغه است، مهم این است: رهبران امنیت اطلاعات باید اصول اولیه رشته خود را به شدت بررسی کنند.

بله، CISO ها باید جلوتر از منحنی باشند، اما این نمی تواند به قیمت از دست دادن توپ روی موارد ضروری امنیت و هویت باشد. من این را به این دلیل می گویم که اغلب، حتی در شرکت های پیچیده و در غیر این صورت بالغ، آخرین نقض ها همچنان از فقدان کنترل های ضروری سوء استفاده می کنند، از طریق اعتبار و مجوزهایی که نمایندگان هرگز نباید به آنها دسترسی داشته باشند.

و گاهی اوقات، رهبران فکری و کارشناسان تلاش می‌کنند تا تغییرات سریع فناوری را درک کرده و با آنها ارتباط برقرار کنند، سردرگمی بیشتری ایجاد می‌کنند و توجه را از اصول اولیه منحرف می‌کنند.

"شستن هوش مصنوعی" - عمل اغراق آمیز اهمیت هوش مصنوعی در یک محصول، پروژه یا استراتژی - واقعی است. ما باید برای رفع ابهام از امنیت داده‌ها و جداسازی تبلیغات از واقعیت و اهمیت دادن بیشتر به ویژگی‌ها وقتی در مورد خطرات صحبت می‌کنیم، بیشتر تلاش کنیم.

چالش هویت

غریزه صنعت برای تعریف این مشکل به عنوان یک مشکل "امنیت هوش مصنوعی" قابل درک است، اما قابل عمل نیست. برای CISOهایی که سعی در کاهش ریسک واقعی دارند، چارچوب دقیق‌تر هویت است.

برای مثالی از چیزی که در مورد آن صحبت می کنم، سوار شدن را در نظر بگیرید. هنگامی که افراد به یک سازمان می پیوندند، بر اساس نیازها، مسئولیت ها و نقش هایشان امتیازاتی به آنها اعطا می شود. بخش عمده ای از امنیت اطلاعات معاصر در مورد حفظ در راس مدیریت هویت است، اما این آسان نیست.

در رشد بیش از حد، شرکت ها خیلی سریع استخدام می کنند. اما رهبران فناوری اطلاعات همچنین باید با بسیاری از افراد دیگری که نیاز به دسترسی به سیستم‌ها دارند، آشنا شوند. اینها شامل فریلنسرها، مشاوران، تامین کنندگان، حسابرسان و کارکنان موقت با تجربه کاری است. این شکاف (دسترسی لغو نشده، بیش از حد مجاز، فراموش شده) دقیقا همان چیزی است که عوامل هوش مصنوعی مستقل در نقض Hugging Face در اوایل سال جاری از آن بهره برداری کردند.

حمله بدیع بود. آسیب پذیری اساسی نبود. NHI ها و هویت های انسانی حالت شکست یکسانی دارند: دسترسی داده شده، هرگز بررسی نشده، هرگز لغو نشده است. این چالش هویت است و از هوش مصنوعی به دهه ها قبل می رسد.

یک پازل پیچیده

فناوری اطلاعات امروز پیچیده است. CIOها بین سه تا پنج سال در نقش خود باقی می مانند. CISO ها (و کارکنان امنیتی به طور کلی) تقاضای زیادی دارند و سازمان ها به طور قابل درک برای کمک به برون سپاری ها مراجعه می کنند. برای رشته های مدیریتی اولیه مانند حفظ بهداشت هویت، گم شدن در این ترکیب آسان است، مانند آمدن و رفتن پرسنل.

و همه چیز سخت تر می شود. چه کسی هویت هوش مصنوعی دارد؟ هر شرکتی یک متخصص هویت استخدام نمی کند، بنابراین وقتی هویت غیرانسانی است چه کسی مسئول است؟ CIO؟ در مورد CISO چطور؟ منابع انسانی؟ افسر ارشد ریسک چگونه جا می گیرد؟

قرار گرفتن وظایف بین شکاف ها آسان است. و حتی اگر سوار شدن بی‌نقص باشد، چه کسی در حال اجرای offboarding و تأثیر آن بر هویت است؟ پیامدهای بی پاسخ ماندن آن سوال به خوبی مستند شده است. گزارش بررسی‌های نقض داده‌های 2026 ورایزون نشان می‌دهد که بهره‌برداری از آسیب‌پذیری‌ها برای اولین بار در 19 سال گذشته از اعتبارنامه‌های سرقت شده به عنوان بردار دسترسی اولیه برتر پیشی گرفته است.

اما اعتبارنامه ها همچنان باعث تشدید امتیاز و حرکت جانبی پس از آن شد. یک آسیب پذیری در را باز می کند. هویت مدیریت نشده بدون چالش در ساختمان قدم می زند.

و در عصر هوش مصنوعی، چه کسی مسئول مدیریت NHIهایی است که اغلب دارای مجوزها و مجوزهای فوق العاده بالا برای پرسه زدن هستند؟ رخنه در آغوش گرفتن به این سوال در عمل پاسخ داد: هیچ کس نبود. یک هویت غیرانسانی با امتیاز بیش از حد و نظارت نشده، دسترسی خوشه‌ای را در دو محیط در لحظه به خطر انداختن آن فراهم کرد.

هوش مصنوعی مزاحم بود. آسیب‌پذیری‌ها به‌عنوان نقطه‌ی ورودی افزایش یافته‌اند، دقیقا به این دلیل که عوامل هوش مصنوعی اکنون موتورهای کشف خارق‌العاده‌ای هستند که در عرض چند ساعت می‌توانند آنچه را که مهاجمان انسانی هفته‌ها طول می‌کشد، پیدا کنند. اما هویت وجه مشترک باقی می ماند: اگر حداقل امتیاز مناسب، دسترسی به موقع و حاکمیت NHI وجود داشت، حتی پس از بهره برداری از آسیب پذیری، این نفوذ مهار می شد. شما نمی توانید راه خود را از یک مشکل هویتی وصله کنید.

بازگشت به اصول اولیه (و یادگیری از گذشته)

اگر به بسیاری از نقض‌هایی که دیده‌ام فکر کنم، بسیاری از آنها به این شکاف‌های به ظاهر آشکار مربوط می‌شوند که به شکاف تبدیل می‌شوند. این مدارک یتیم باقی مانده، «توله سگ ها با دو صاحب» و سایر مناطق خاکستری هستند که باعث ایجاد مشکل می شوند. 'سلام. من فکر می کردم شما این را دارید؟، مردم می شنوند ... وقتی خیلی دیر شده است.

برای بهبود، ما باید از گذشته درس بگیریم، زیرا همه ما نقل قول معروف (نویسندگی نامطمئن) را در مورد کسانی که تاریخ را نادیده می گیرند، محکوم به تکرار اشتباهات می دانیم.

یک قیاس مرتبط در اینجا محاسبات ابری است. برخی از ما از طریق موج مرکز داده زندگی کردیم، سپس موج ابری برخورد کرد. نقض Capital One در سال 2019 (بیش از 100 میلیون رکورد از طریق یک نقش AWS پیکربندی نادرست در معرض دید قرار گرفت) درس تعیین کننده آن دوران شد: ابر گسترش حقوق جدید گسترده ای ایجاد کرد و هیچ کس بر آن نظارت نداشت. این نقض و سایر موارد مشابه آن، باعث ایجاد Cloud Infrastructure Enitlement Management (CIEM) شد تا اصول کمترین امتیاز را به مجوزهای ابری در مقیاس بزرگ ارائه دهد. هوش مصنوعی موج جاری است و الگوی آن مشابه است.

عوامل با مجوزهای فوق العاده گسترده مستقر می شوند، اعتبارنامه ها بدون چرخش یا محدوده در خطوط لوله جاسازی می شوند، و مالکیت چه کسی بر این حقوق حاکم است نامشخص است. ما به همان پاسخ متمرکزی که برای ابر ساخته ایم نیاز خواهیم داشت. نه کلمات اختصاری جدید، بلکه همان کاربرد دقیق کمترین امتیاز، دسترسی به موقع، و حاکمیت حق، که با محیط جدید سازگار شده است. و هر موجی که هوش مصنوعی را دنبال کند، دوباره همان چالش را ارائه خواهد کرد. هویت ثابت است.

هر موجی چشم‌انداز فناوری را تغییر می‌دهد، اما این سوال که چه کسی (انسان یا ماشین) به چه چیزی، تحت چه شرایطی و برای چه مدت دسترسی دارد، هرگز از بین نمی‌رود. ما فقط قبل از اینکه آسیب وارد شود به آن پاسخ نمی دهیم. اگر آنجا نبودید، با یک کهنه کار ابر صحبت کنید، زیرا امنیت امروز باید در مورد جمع آوری تیم هایی با استعدادهای مختلف باشد. بنابراین از آنها استفاده کنید و با تخصیص واضح اینکه چه کسی مسئول چه چیزی است و یک طرح واگذاری برای زمانی که افراد ترک می‌کنند یا نقش‌ها را عوض می‌کنند، اجماع ایجاد کنید.

محیط فعلی مملو از خطرات است. در نظر بگیرید که هوش مصنوعی با ساخت نرم‌افزار چه کرده است: یک غیر کدنویس مثل من اکنون می‌تواند یک برنامه را بچرخاند یا یک عامل را در یک بعد از ظهر مستقر کند. این واقعا دگرگون کننده و خطرناک است. جمعیت افرادی که نرم‌افزاری را ایجاد می‌کنند که اعتبارنامه‌ها را مدیریت می‌کند، APIها را فراخوانی می‌کند و با سیستم‌های تولید تعامل می‌کند، یک شبه منفجر شده است و اکثر آنها هرگز در زندگی خود به بهداشت هویت فکر نکرده‌اند.

هر بار که از یک LLM استفاده می کنید، اعتبارنامه ها را در جایی ذخیره می کنید. با افزایش جمعیت، سطح حمله نیز افزایش می یابد. ما شاهد انبوهی از عوامل و برنامه‌های با معماری بد خواهیم بود که سریع‌تر ساخته می‌شوند، سریع‌تر مستقر می‌شوند و توسط هیچ‌کس اداره نمی‌شوند. ارائه اعتبارنامه به جهان آسان است، همانطور که حساب های AWS پیکربندی نادرست چند دهه پیش منجر به مشکلات بزرگی شد.

امروزه همه در مورد سوء استفاده از عوامل وحشیانه هیجان زده هستند. این ها داستان های داغ است و بله، ما باید نگران باشیم. اما در واقع، هکرها مانند همیشه هک می‌کنند و از هر روزنه‌ای که ما ارائه می‌کنیم سوء استفاده می‌کنند. Verizon 2026 DBIR نشان داد که آسیب‌پذیری‌ها اکنون اولین بردار دسترسی اولیه هستند، اما هویت چیزی است که یک جای پا را به یک فاجعه تبدیل می‌کند.

بسیاری از عناصر امنیتی اساسی مانند ذخیره اعتبارنامه های ایستا در دید آشکار نادیده گرفته می شوند. ما هنوز هم می‌توانیم با اصول Zero-Trust و اعمال کمترین امتیاز برای کاهش خطرات و کاهش اثرات، کارهای بیشتری انجام دهیم. ابزار وجود دارد و نظم و انضباط وجود دارد. CIEM دقیقا به این دلیل ساخته شد که ابر مشکلات حقوقی را که هیچ‌کس پیش‌بینی نمی‌کرد، ایجاد کرد و برای سازمان‌هایی که آن را به طور جدی اتخاذ کردند، کار کرد.

همان سختگیری که امروز در مورد حاکمیت NHI و هوش مصنوعی عامل اعمال می شود، تعیین می کند که آیا موج بعدی سرفصل های نقض شامل سازمان شما یا رقیب شما می شود. بیایید اصول اولیه را درست در نظر بگیریم و مطمئن شویم که می توانیم همزمان با دویدن راه برویم.

ما بهترین نرم افزار آنتی ویروس را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit