مع انتقال الذكاء الاصطناعي من مرحلة التجربة إلى الاستخدام التشغيلي داخل المؤسسات، بدأت فرق الأمن تواجه فئة جديدة من المخاطر لا تشبه بالكامل ما اعتادت عليه في إدارة المستخدمين والأنظمة التقليدية. فالوكلاء المعتمدون على الذكاء الاصطناعي لا يكتفون بتنفيذ أوامر محددة داخل تطبيق واحد، بل يمكنهم الاستدلال، واتخاذ قرارات، والعمل عبر منصات متعددة، وأحيانًا خلال ثوانٍ معدودة. هذا التحول يفرض على المؤسسات إعادة التفكير في مفهوم الهوية الرقمية نفسه، وفي كيفية منح الصلاحيات ومراقبتها ومراجعتها.
تأتي هذه الإشكالية في قلب توجهات شركة Saviynt، التي تركز على أمن الهوية في البيئات المؤسسية وتطوير أدوات تراعي وجود الهويات البشرية وغير البشرية معًا. ومع ازدياد الاعتماد على وكلاء الذكاء الاصطناعي، لم يعد السؤال محصورًا في: هل يملك هذا الكيان صلاحية الوصول؟ بل أصبح أكثر تعقيدًا: هل ما ينفذه الوكيل يتوافق فعلًا مع الهدف الذي أنشئ من أجله؟
من إدارة المستخدمين إلى إدارة الوكلاء
على مدى سنوات، بُنيت أنظمة إدارة الهوية والوصول حول نمط واضح نسبيًا: مستخدم بشري يسجل الدخول، يطلب صلاحية، ثم ينفذ إجراءً ضمن حدود معروفة. أما اليوم، فالوكلاء الذكيون يغيرون هذا النموذج لأنهم يستطيعون العمل بشكل مستمر، والتكيف مع السياق، والتفاعل مع واجهات برمجة التطبيقات، وقواعد البيانات، والتطبيقات السحابية والمحلية في الوقت نفسه.
هذا يعني أن دورة حياة الهوية أصبحت أسرع وأكثر تشعبًا. فقد ينشئ موظف أعمال وكيلًا جديدًا خلال دقائق، دون المرور بمراحل التطوير الطويلة التي كانت تميز التطبيقات التقليدية. وبدون ضوابط مناسبة، قد يتضاعف عدد الوكلاء بسرعة، ليصبح تتبعهم ومراجعة أنشطتهم مهمة معقدة للغاية.
في هذا السياق، تبرز الحاجة إلى التعامل مع الوكيل بوصفه تطبيقًا له مالك، وحدود استخدام، وصلاحيات محددة، ومسار مراجعة واضح. لكن الفرق الجوهري هو أن هذا التطبيق لا يعمل دائمًا بشكل ثابت؛ بل يمكنه تعديل سلوكه بحسب البيانات التي يراها أو السياقات التي يتعامل معها، ما يجعل الرقابة التقليدية أقل فعالية.
لماذا لم تعد الصلاحيات التقليدية كافية
أحد أبرز التحديات التي يطرحها الذكاء الاصطناعي الوكيلي هو الفارق بين السماح التقني والنية التشغيلية. في الأنظمة القديمة، كان التفويض يجيب غالبًا عن سؤال واحد: هل يحق لهذا الكيان تنفيذ هذا الإجراء؟ أما مع الوكلاء، فقد يكون الإجراء مسموحًا من الناحية التقنية، لكنه لا يزال خارج نطاق الهدف الأصلي.
على سبيل المثال، إذا طلب مستخدم من وكيل أن “ينظف” قاعدة بيانات، فقد يفسر الوكيل ذلك على أنه حذف سجلات قديمة أو حتى نشطة. هنا لا تكمن المشكلة في أن الوكيل تجاوز صلاحياته بالمعنى التقليدي، بل في أنه نفذ فعلًا لا يتطابق مع ما قصده المستخدم. هذه الفجوة بين الصلاحية والنية هي ما يدفع الشركات إلى تطوير طبقات جديدة من الحوكمة.
لهذا السبب، لم يعد كافيًا الاعتماد على التحقق من الهوية أو منح الحق في الوصول فقط. المؤسسات تحتاج إلى طبقة تقييم إضافية تراقب السياق في الزمن الحقيقي، وتربط الإجراء بالخطة الأصلية، وتمنع الانحرافات التي قد تحدث حتى داخل حدود الوصول المصرح به.
التفويض الواعي بالنوايا كطبقة أمنية جديدة
تقدم Saviynt مفهوم Intent-Aware Runtime Authorization بوصفه محاولة لسد هذه الفجوة. الفكرة الأساسية تقوم على تقييم ما إذا كان تصرف الوكيل منسجمًا مع المهمة التي كُلّف بها، لا مجرد النظر إلى ما إذا كان مسموحًا له تقنيًا بالوصول إلى النظام.
في هذا النموذج، يتم إنشاء الوكيل أو إطلاقه ضمن خطة واضحة: ما الذي يجب أن ينجزه؟ ما الأنظمة التي يحتاجها؟ ما القيود التي يجب فرضها؟ وما السياسات التي تحكم عمله؟ هذه الخطة تصبح نقطة مرجعية لقياس السلوك أثناء التشغيل، بحيث يمكن للمؤسسة أن تلاحظ إن كان الوكيل يخرج عن المسار المتوقع.
هذا النهج مهم خصوصًا عندما يتعامل الوكيل مع عمليات حساسة مثل تعديل البيانات، أو نقل المعلومات بين أنظمة متعددة، أو تنفيذ إجراءات قد يكون تأثيرها كبيرًا. فالموافقة على الوصول لا تعني تلقائيًا الموافقة على كل نتيجة محتملة لذلك الوصول.
مخاطر تتسارع بفعل السرعة والانتشار
الوكلاء الذكيون لا يخلقون دائمًا تهديدات جديدة بالكامل، لكنهم يوسّعون بشكل كبير من قدرة المخاطر القائمة على الظهور والاستغلال. فإذا كانت هناك حسابات تمتلك صلاحيات زائدة، أو أنظمة تعتمد على ضعف الرؤية، أو ضوابط غير مكتملة، فإن الوكيل يمكنه اكتشاف هذه الثغرات واستغلالها بسرعة تفوق سرعة الإنسان بكثير.
هذا ما يجعل مسألة الرؤية الشاملة أولوية أساسية. فالمؤسسة التي لا تعرف عدد وكلائها، أو من يملكهم، أو إلى ماذا يصلون، ستواجه صعوبة في احتواء أي حادثة اختراق أو سوء استخدام. ومع انتشار الوكلاء بين الأقسام المختلفة، تصبح الحوكمة قضية تشغيلية وليست مجرد مطلب أمني.
تزداد أهمية هذا الأمر إذا أخذنا في الاعتبار المخاوف الحالية لدى مسؤولي الأمن. فبحسب الأرقام التي تستند إليها Saviynt، لا يملك معظم مسؤولي الأمن السيبراني رؤية كاملة حول الهويات المرتبطة بالذكاء الاصطناعي، كما أن نسبة كبيرة منهم لا تشعر بالثقة في قدرتها على اكتشاف إساءة الاستخدام أو احتوائها بسرعة إذا حدثت. هذه المؤشرات تعكس فجوة متنامية بين سرعة التبني وسرعة الحماية.
ظل الذكاء الاصطناعي واتساع مساحة الاستخدام غير المصرح به
يرتبط صعود الوكلاء أيضًا بتوسع ظاهرة الذكاء الاصطناعي الظلي، أي الاستخدام غير الخاضع لرقابة فرق تقنية المعلومات أو الأمن. وكلما أصبح إنشاء الوكلاء أسهل، زادت احتمالية أن يبني الموظفون أدواتهم الخاصة خارج الإطار الرسمي، ثم يمنحوها صلاحيات أو ربطًا بأنظمة العمل دون إشراف كافٍ.
المعالجة هنا لا تقوم على المنع الكامل، لأن المؤسسات ستواصل السعي وراء مكاسب الإنتاجية التي يوفرها الذكاء الاصطناعي. لكن الحل العملي يكمن في بناء عناصر أساسية منذ البداية: جرد واضح للوكلاء، تعريف المالك، تحديد الهدف، ضبط الصلاحيات، وفرض مراقبة مستمرة للنشاط.
وبينما لا تزال كثير من الشركات في مراحلها الأولى من التجربة، فإن الوقت المتاح لتأسيس الحوكمة قبل الوصول إلى انتشار واسع لا يزال محدودًا. وكلما تأخر البناء الأمني، أصبح من الأصعب لاحقًا فرض النظام على بيئة واسعة من الوكلاء الذين يعملون في أكثر من قسم وأكثر من نظام.
هوية رقمية لكل وكيل ومراجعة مستمرة
الاتجاه الذي يفرض نفسه اليوم هو أن يحصل كل وكيل ذكاء اصطناعي على هوية رقمية مستقلة، تمامًا كما يحمل الموظف البشري هوية داخل المؤسسة. هذه الهوية لا تعني مجرد اسم أو معرّف تقني، بل منظومة كاملة تشمل الملكية، والصلاحيات، وسجل النشاط، وخضوعًا لعمليات المراجعة والمساءلة.
في المستقبل القريب، قد تصبح المؤسسات قادرة على إنشاء مئات الوكلاء أسبوعيًا، ثم آلافًا مع توسع الاستخدام. وعند هذه النقطة، لن يكون ممكنًا إدارة الوكلاء يدويًا أو بوصفهم حالات استثنائية. بل ستحتاج الشركات إلى نموذج موحّد يدمج بين الهويات البشرية وغير البشرية تحت إطار حوكمة واحد.
هذا النموذج يعتمد على المبادئ الأمنية ذاتها المعروفة منذ سنوات: التحقق من الهوية، والتفويض، والملكية، وتسجيل النشاط، والمراجعة الدورية. لكن الجديد هو مستوى السرعة والحجم، ما يفرض أتمتة واسعة لهذه الضوابط حتى تبقى قابلة للتطبيق عمليًا.
الأولوية خلال العامين المقبلين
المرحلة المقبلة لن تكون مجرد اختبار لقدرات الذكاء الاصطناعي، بل اختبارًا لقدرة المؤسسات على تأمينه دون إبطاء قيمته التشغيلية. وأهم خطأ يمكن أن تقع فيه الشركات هو افتراض أن الحوكمة يمكن إضافتها لاحقًا بعد الانتشار. هذا المنطق لم يعد صالحًا في عالم الوكلاء، لأن المخاطر تتوسع بنفس سرعة الابتكار تقريبًا.
خلال الأشهر الاثني عشر إلى الأربعة والعشرين المقبلة، يحتاج قادة الأمن والتقنية إلى التركيز على أربع أولويات رئيسية: حصر الوكلاء، تحديد المالكين، منح كل وكيل هوية رقمية واضحة، وربط الوصول بالمهمة والسياق وليس بالصلاحية المجردة فقط. كما يجب إدخال الحوكمة في لحظة إنشاء الوكيل نفسها، لا بعد تشغيله.
بهذا المعنى، يمثل الذكاء الاصطناعي الوكيلي تحولًا بنيويًا في أمن الهوية. فالمؤسسة التي تنجح في ضبطه مبكرًا ستتمكن من الاستفادة من الإنتاجية الجديدة مع تقليل المخاطر، بينما ستجد المؤسسات المتأخرة نفسها مضطرة إلى إعادة بناء جزء كبير من منظومتها الأمنية من الصفر.