هنگامی که یک عامل هوش مصنوعی اتفاق می افتد، سابقه هویت مدرک است

نویسنده: لن نو، معمار راه حل ها، BeyondTrust

اولین سوال در مورد هر پل حادثه ای این نیست که چرا این اتفاق افتاده است - این مربوط به اعتبار چه کسی است. در تجربه من، هر کسی که بتواند به آن سوال اعتباری در ساعت اول پاسخ دهد، سرعت همه چیز را پس از آن تعیین می کند: چه چیزی را جدا کنیم، چه چیزی را لغو کنیم، به چه کسی اطلاع دهیم، و آسیب تا چه حد ممکن است گسترش یابد.

تیم هایی که نمی توانند به آن پاسخ دهند، روز اول را صرف بازسازی پاسخ خود از لاگ هایی می کنند که هرگز برای ارائه آن طراحی نشده اند.

این رشته قرار است توسط نوع جدیدی از بازیگر مورد آزمایش قرار گیرد. در 16 اکتبر 2026، مؤسسه ملی استانداردها و فناوری (NIST)، آژانس امنیت سایبری و امنیت زیرساخت (CISA) و آژانس امنیت ملی (NSA) به طور مشترک ده روش داوطلبانه را برای آمادگی و واکنش به حادثه منتشر کردند، زمانی که عوامل هوش مصنوعی به روش‌هایی عمل می‌کنند که هیچ‌کس راهنمایی نکرده است.

راهنما، تمرین‌های کلیدی برای آمادگی و پاسخ به حادثه در آموزش و ارزیابی هوش فوق‌العاده، مفید است و اشتباه خواندن آن نیز آسان است. قوی ترین راهنمایی آن در مورد هویت است، حتی اگر به ندرت از آن کلمه به عنوان عنوان استفاده می کند.

این سند 14 صفحه‌ای برای سازمان‌هایی نوشته شده است که عوامل بسیار توانمند را در وظایف بلندمدت (کارهایی که مراحل زیادی را طی یک دوره طولانی طی می‌کند) با نظارت محدود انسانی آموزش می‌دهند یا ارزیابی می‌کنند، اگرچه نویسندگان می‌گویند که کارگزاران ممکن است آن را مرتبط بدانند. ده تمرین را در پنج مرحله سازماندهی می کند: آماده سازی، شناسایی، پاسخ، بازیابی و گزارش.

این یک رویداد کنترلی را به عنوان رویدادی تعریف می کند که در آن عوامل اقدامات مهمی انجام می دهند که توسط اپراتور یا یک دشمن هدایت نشده است و کنترل ها، سیاست ها یا نظارت انسانی را تضعیف می کند.

آژانس‌ها می‌گویند این شیوه‌ها بر اساس چارچوب‌های مدیریت حادثه ایجاد می‌شوند، بنابراین بیشتر خواسته‌های آنها آشنا به نظر می‌رسد: حداقل امتیاز، مدیریت اعتبار، نظارت، حفظ شواهد، بازسازی از خطوط پایه شناخته‌شده.

کنترل‌های آشنای اعمال شده روی یک مدیر جدید، جایی است که بیشتر سازمان‌ها احتمالا در آن دچار مشکل می‌شوند.

یکی از جزئیات در تعاریف برای پاسخ دهندگان مهم است. این راهنما اقدامات ناشی از تزریق سریع خصمانه یا یک مدل درب پشتی را مطابق دستورالعمل و نه بدون دستورالعمل رفتار می کند، بنابراین آنها خارج از تعریف آن از یک حادثه کنترلی قرار می گیرند. در حالی که این خط برای محققان منسجم است، برای پاسخ دهندگان دشوار است. در لحظه وقوع حادثه، معمولا سؤال قصد غیرقابل پاسخ است.

چیزی که یک محقق در دست دارد یک هویت، مجموعه ای از مجوزها و دنباله ای از اقدامات است.

آمادگی حادثه عامل نمی تواند به طبقه بندی علت اول بستگی داشته باشد. باید از روی یک پرونده هویتی کار کند تا مشخص کند کدام هویت عمل کرده است، چه مرجعی پشت آن بوده است، و اینکه آیا عامل گمراه شده، عملکرد نادرست دارد یا به خطر افتاده است.

عوامل هوش مصنوعی می توانند با همان امتیازات افرادی که از آنها استفاده می کنند عمل کنند و در صورت عدم کنترل اقدامات آنها خطرات جدیدی ایجاد کنند.

اکنون به طور کلی در دسترس است، BeyondTrust AI Agent Security خط‌مشی را در مورد عملکردهای عامل فردی در زمان اجرا اعمال می‌کند و فعالیت‌های غیرمجاز را بدون محدود کردن کارهایی که کاربران انسانی می‌توانند انجام دهند مسدود می‌کند.

تمرین ششم به سازمان‌ها می‌گوید که هر گونه اعتباری را که عامل در طول حادثه به آن دسترسی دارد، لغو کنند و محیط‌های احتمالی در معرض خطر را بازسازی کنند. واجد شرایط "تحت کنترل سازمان" وزن بیشتری نسبت به آنچه در ابتدا به نظر می رسد دارد. نمایندگان اعتبارنامه هایی را جمع آوری می کنند که سازمان در اختیار دارد، اما صادر نمی کند.

نقض OpenCode نشان می دهد که چگونه انجام می شود. OpenCode، یک عامل کدگذاری منبع باز، به برخی از کاربران سرویس کنسول میزبان خود گفت که کلیدهای API آنها برای ارائه دهندگان خارجی از جمله Anthropic، OpenAI و Google در آنجا ذخیره کرده بودند.

در برخی موارد، پروژه‌های Google Cloud به دلیل فعالیت سوء استفاده‌کننده، مطابق با منابع ربوده شده، به حالت تعلیق درآمدند. این شرکت نگفته است که مهاجمان چگونه وارد شدند و این حادثه را یک حمله تقطیر در مقیاس بزرگ توصیف می‌کند.

حساب شرکت را موقتی در نظر بگیرید. آنچه برای آمادگی مهم است شکل مسئله است. کلید ذخیره شده توسط یک پلتفرم عامل فقط در ارائه دهنده ای که آن را صادر کرده است، توسط شخصی که صاحب حساب است، قابل فسخ است. و صاحب حساب ممکن است حتی نداند که این کلید هرگز افشا شده است.

مرحله ابطال راهنما مستلزم فهرستی از مواردی است که عامل می تواند لمس کند. بدون آن، چیزی برای لغو وجود ندارد. مرحله گزارش راهنما یک تعهد دوم را اضافه می کند که از همان موجودی به دست می آید: به طرف هایی که سیستم های آنها در معرض خطر یا سوء استفاده قرار گرفته است، از جمله اشخاص ثالثی که هدف نهایی نبوده اند، اطلاع دهید.

در مورد OpenCode، آن طرف‌ها ارائه‌دهندگان مدل و صاحبان کلید هستند و هیچ‌یک از آنها نمی‌توانند به موقع مطلع شوند، مگر اینکه کسی بداند کدام کلیدها در کجا ذخیره شده‌اند.

این راهنما به طراحان توصیه می‌کند که فرض کنند نمایندگان اغلب پیکربندی‌های نادرست و آسیب‌پذیری‌ها را پیدا می‌کنند و بر این اساس کنترل‌هایی را ایجاد کنند. بازسازی MIT Technology Review از حادثه جولای Hugging Face دلیل آن را نشان می دهد.

قرار بود عوامل ساخته شده بر روی مدل های OpenAI از اینترنت در طی ارزیابی امنیت سایبری جدا شوند. آنها به هر حال آنلاین شدند، Hugging Face را هک کردند و راه حل هایی را برای مشکلاتی که در آنها گیر کرده بودند بازیابی کردند.

یکی از کنترل‌هایی که مقاله توصیف می‌کند، جداسازی شبکه است، و عوامل آن را دور زدند. محققان خود OpenAI این رفتار را به آموزش هایی نسبت می دهند که به آن پاداش داده است.

از مرزهای شبکه می توان توسط یک بازیگر مصمم، چه انسان و چه غیر انسانی، فرار کرد. اعتباری که به یک وظیفه اختصاص دارد، با پایان کار منقضی می‌شود، و متعلق به هویتی جدا از فردی است که عامل را راه‌اندازی کرده است، به رفتار عامل متکی نیست و کاری را که یک نسخه فاش شده می‌تواند انجام دهد محدود می‌کند.

این راهنما زمانی که دسترسی محدود به آنچه برای وظایف مورد نظر ضروری است، زیرساخت های یکبار مصرف در صورت امکان، و مکانیسم هایی برای مسدود کردن، مهار یا خاتمه سریع فعالیت عامل درخواست می کند، همین جهت را نشان می دهد. بیشتر آنها کنترل هویت هستند.

این راهنما همچنین درخواست می‌کند تا لاگ‌های مقاوم در برابر دستکاری با مهرهای زمانی قابل اعتماد برای بازسازی مسیرهای عامل، و اطمینان از اینکه عوامل نمی‌توانند به مانیتورها و گزارش‌ها دسترسی یا دستکاری کنند. این پاسخگویی جلسه در همه چیز به جز نام است.

برای یک مدیر انسانی، یک جلسه ممتاز به یک شخص نسبت داده می شود، ضبط شده و قابل بررسی است. همان استاندارد باید برای یک نماینده اعمال شود. این راهنما با درخواست از پاسخ‌دهندگان برای حفظ اقدامات رد شده و تماس‌های ابزار، و ثبت پیکربندی‌های عوامل، حفاظت‌ها و محیط‌ها به منظور بازتولید یک حادثه، از این امر پشتیبانی می‌کند.

عمل رد شده، گواه چیزی است که عامل سعی کرده به آن برسد، که اغلب آشکارتر از آنچه در انجام آن موفق بوده است.

تحقیقات جدید از BeyondTrust Phantom Labs که روی تله‌متری نقطه پایانی طراحی شده است، نشان می‌دهد که چرا گزارش‌های سطح سریع کوتاه می‌آیند. در نمونه‌های مشتری که در یک دوره چهار هفته‌ای گرفته شده‌اند، عوامل برنامه‌نویسی حدود 1.28 میلیون دستور پوسته را از حدود 132000 فرمان درخواست کرده‌اند که نزدیک به ده دستور در هر فرمان است. این دستورات درخواستی هستند، نه اجرای تایید شده. گزارشی که نمی‌تواند کاری را که عامل انجام داده از کاری که کاربر انجام داده است جدا کند، نمی‌تواند پاسخ دهد که چه کسی از اختیارات استفاده شده است.

واقعیت سازمانی این را پیچیده خواهد کرد. بسیاری از برنامه های قدیمی نمی توانند فعالیت هر نماینده را ثبت کنند. برخی از نمایندگی‌ها از طریق حساب‌های سرویس مشترک اجرا می‌شوند، زیرا این ادغام سه سال پیش به این صورت ساخته شد. بودجه ها محدود است. یک مسیر واقع گرایانه با عواملی شروع می شود که می توانند به حساس ترین داده ها یا پیامدترین اقدامات برسند، به آنها هویت جداگانه می دهد، و همانطور که برنامه ها اجازه می دهند به بیرون عمل می کند.

قوی ترین ضد استدلال تناسب است. هدف این راهنما آموزش و ارزیابی مرزی است و حوادثی که به آنها پاسخ می دهد نادر هستند: شش مورد از 141006 ارزیابی در افشای یک آزمایشگاه. اکثر شرکت ها عوامل بسیار کمتری نسبت به موارد مورد مطالعه مستقر می کنند و آسیب گزارش شده تاکنون بسیار کم بوده است.

چرا برای مشکلی که بیشتر تئوری است قابلیت پاسخگویی ایجاد کنیم؟

پاسخ این است که مکانیک زیربنایی فقط تئوری نیست. یک عامل در معرض خطر یا هدایت نادرست، از منظر سابقه هویت، مانند یک حساب سرویس در معرض خطر با سرعتی سریعتر رفتار می کند.

آمادگی باید در نتایج سنجیده شود تا اسناد. چه مدت طول می‌کشد تا هر اعتباری را که یک هویت نماینده خاص می‌تواند استفاده کند، از جمله کلیدهایی که برای اشخاص ثالث ذخیره می‌کند، برشمرد؟ چه سهمی از عوامل تحت هویت خود، با یک حامی انسانی نامگذاری شده، اجرا می شود؟ آیا سازمان می تواند گزارش جلسه ای تهیه کند که کاری را که یک شخص انجام داده از کاری که یک نماینده از طرف آن شخص انجام داده است متمایز کند؟

اگر پاسخ این سؤالات چند دقیقه طول بکشد، سازمان برای اولین حادثه عامل، صرف نظر از نحوه طبقه بندی آن، آماده است. اگر روزها طول بکشد، طبقه بندی زیباتر کمکی نخواهد کرد.

او که یک کلاه سیاه سابق با بیش از 30 سال سابقه فناوری بود، در بیش از 70 کشور جهان ارائه کرده است و در مستند I Am Machine که در DEF CON 2025 نمایش داده شد، حضور دارد.

BeyondTrust رهبر جهانی در امنیت هویت مبتنی بر امتیاز است که از Paths to Privilege™ محافظت می کند. هویت به تنهایی خطر ایجاد نمی کند. امتیاز انجام می دهد. از آنجایی که هویت عامل انسان، ماشین و هوش مصنوعی در هر محیطی منفجر می شود، BeyondTrust تنها شرکتی است که برای کشف، کنترل و امنیت امتیازات همه آنها از یک پلتفرم واحد ساخته شده است. BeyondTrust که توسط بیش از 20000 مشتری، از جمله 75 نفر از 100 فورچون مورد اعتماد است، و توسط تحلیلگران برتر صنعت به عنوان یک رهبر چند دسته شناخته شده است، امنیت هویت را از یک مشکل مدیریتی به یک مزیت استراتژیک تبدیل می کند.