مع تزايد قدرة وكلاء الذكاء الاصطناعي على الوصول إلى أنظمة المؤسسات، قد لا يكمن أكبر خطر أمني في التقنية نفسها، بل في الهويات الرقمية والصلاحيات التي تمكّن هذه الأنظمة من العمل. فمشكلة الذكاء الاصطناعي تتحول بصورة متزايدة إلى مشكلة تتعلق بإدارة الهويات، إذ تؤدي بيانات الاعتماد التي تفتقر إلى الحوكمة المناسبة، والصلاحيات المفرطة، والهويات غير البشرية التي لا تخضع للإدارة، إلى خلق فرص جديدة أمام المهاجمين. وفي هذا المقال، يستعرض لين نو، مهندس الحلول لدى BeyondTrust، أسباب أهمية إدارة الهويات والوصول المميّز في تأمين الذكاء الاصطناعي المؤسسي، وتمكين المؤسسات من توسيع نطاق اعتماده دون زيادة مخاطرها الأمنية.

أمضت فرق الأمن سنوات في التعامل مع التداعيات التشغيلية الناجمة عن ضعف حوكمة الهويات الرقمية. فحسابات الخدمة تحتفظ بصلاحياتها وتتراكم فيها الامتيازات حتى بعد زوال الغرض الأصلي من إنشائها. كما تظل مفاتيح واجهات برمجة التطبيقات (API) موجودة داخل البرامج النصية ومستودعات الأكواد لفترات تتجاوز بكثير عمرها الافتراضي المحدد. وتتوسع صلاحيات الأدوار السحابية تدريجيًا، بينما تعطي الفرق الأولوية للسرعة على حساب مراجعة الصلاحيات وتنقيحها. كذلك، يتوقف تدوير بيانات الاعتماد وتحديثها بسبب المخاطر المرتبطة بتغيير الأنظمة التي تعتمد عليها العمليات. وهذه المشكلات ليست افتراضية، بل هي نتاج تراكمي لبيئات تشغيل حقيقية تعمل تحت ضغوط مستمرة.

لا يلغي الذكاء الاصطناعي تحديات إدارة الهويات، بل يسرّع وتيرتها. فكلما ازدادت فائدة نظام الذكاء الاصطناعي، زادت الصلاحيات التي تميل المؤسسات إلى منحه إياها. إذ يحتاج مساعد التطوير إلى الوصول إلى مستودعات الأكواد ومسارات بناء البرمجيات. ويحتاج وكيل العمليات الأمنية إلى الاطلاع على بيانات القياس عن بُعد والتنبيهات وأدوات التحقيق. أما وكيل أتمتة البنية التحتية، فقد يحتاج إلى صلاحيات وصول مميّزة إلى الموارد السحابية وأنظمة التنسيق وسير العمل التشغيلي. وهكذا، تصبح القيمة التي يحققها النظام مرتبطة ارتباطًا وثيقًا بمستوى الوصول الممنوح له.

وتكتسب هذه الحقيقة أهمية كبيرة لأن المهاجمين لا يهتمون بطبيعة الجهة التي تمتلك صلاحيات الوصول المميّزة، سواء كانت مسؤولًا بشريًا أو هوية مرتبطة بأحد أعباء العمل أو منصة أتمتة أو وكيل ذكاء اصطناعي. ما يهمهم هو مدى فائدة تلك الصلاحيات في تنفيذ هجماتهم. ويواصل تقرير تحقيقات اختراق البيانات لعام 2025 الصادر عن Verizon إظهار إساءة استخدام بيانات الاعتماد واستغلال الثغرات ضمن أبرز المسارات المؤدية إلى الاختراقات الأمنية الحديثة. وينبغي أن تؤثر هذه المؤشرات في الطريقة التي تتعامل بها المؤسسات مع الذكاء الاصطناعي المؤسسي، لا سيما أن معظم البيئات لا تنشر حلول الذكاء الاصطناعي ضمن منظومات نظيفة ومحكومة جيدًا، صُممت من الأساس وفق مبادئ واضحة. بل إنها تدمج هذه الحلول في بيئات تحمل تعقيدات متراكمة في إدارة الهويات الرقمية على مدى سنوات.

تتحول إدارة الوصول المميز وإدارة الهويات إلى مستوى التحكم في الذكاء الاصطناعي المؤسسي

لا يتمثل السؤال الأساسي بشأن أمن الذكاء الاصطناعي في المؤسسات في مدى قدرة الشركات على تأمين النماذج فحسب، بل في قدرتها على إدارة الهويات اللازمة لتشغيل الذكاء الاصطناعي على نطاق واسع وتأمينها. وهنا، تنتقل إدارة الوصول المميّز (PAM) وحوكمة الهويات والوصول (IAM) من وظائف داعمة إلى متطلبات استراتيجية.

يطرح كل تطبيق فعلي للذكاء الاصطناعي قرارات تتعلق بالهوية، لا يمكن معالجتها من خلال ضبط النماذج أو وضع السياسات وحدهما. كيف يصادق النظام على هويته؟ وأين تُخزَّن الأسرار الرقمية؟ وما الصلاحيات التي يرثها؟ وما حجم الامتيازات الدائمة الممنوحة له؟ ومن المسؤول عن إدارة دورة حياة هذه الصلاحيات؟ وما آليات الرقابة على الإجراءات التي تنفذها جهات غير بشرية تعمل باستمرار عبر أنظمة المؤسسة؟ ليست هذه تفاصيل ثانوية تتعلق بالتنفيذ، بل أسئلة جوهرية تمس بنية الأنظمة وتصميمها.

تدير المؤسسات الحديثة بالفعل أعدادًا متزايدة بسرعة من الهويات غير البشرية عبر الخدمات السحابية وأعباء العمل وواجهات برمجة التطبيقات وأدوات الأتمتة والاتصالات بين الآلات. وتعكس إرشادات Microsoft بشأن الهويات المُدارة لموارد Azure هذا الواقع التشغيلي الأوسع. ويُسرّع وكلاء الذكاء الاصطناعي هذا التوجه، من خلال إضافة مزيد من الكيانات البرمجية القادرة على العمل بسرعة وعلى نطاق واسع، وغالبًا عبر أنظمة متعددة في الوقت نفسه.

وينبغي أن يعيد هذا الواقع تشكيل طريقة تفكير المؤسسات في البنية الأمنية للذكاء الاصطناعي. فلم يعد مبدأ الحد الأدنى من الصلاحيات مقتصرًا على وثائق الحوكمة، بل أصبح متطلبًا عمليًا في تصميم الأنظمة. كما أصبح تأمين بيانات الاعتماد أساسًا لا غنى عنه، والرؤية الواضحة لأنشطة الكيانات غير البشرية أمرًا بالغ الأهمية، فيما باتت حوكمة الوصول جزءًا لا يتجزأ من المرونة التشغيلية.

الأمن القائم على الهوية أولًا يصبح ضرورة لتوسيع نطاق الذكاء الاصطناعي

لهذا السبب تحديدًا، تزداد أهمية مبادئ الثقة الصفرية (Zero Trust) في البيئات المدعومة بالذكاء الاصطناعي. إذ تؤكد إرشادات بنية الثقة الصفرية الصادرة عن المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) أهمية التحقق المستمر، وتطبيق مبدأ الحد الأدنى من الصلاحيات، وإلغاء افتراضات الثقة الضمنية. وتتوافق هذه المفاهيم بطبيعتها مع البيئات التي تصادق فيها وكلاء الذكاء الاصطناعي على هوياتهم، ويستخدمون بيانات الاعتماد، ويعملون بصلاحيات مفوّضة.

وقد تجد المؤسسات التي تسعى إلى توسيع نطاق استخدام الذكاء الاصطناعي دون تعزيز ضوابط إدارة الهوية نفسها أمام تكرار نمط مألوف في تاريخ الأمن السيبراني. فقد سبقت وتيرة تبنّي الحوسبة السحابية في كثير من الأحيان تطور حوكمتها، كما توسعت الأتمتة في حالات عديدة بوتيرة أسرع من إدارة بيانات الاعتماد. كذلك، تقدّم التحول الرقمي مرارًا على تحسين ممارسات إدارة الهوية وضوابط الوصول. ويواجه الذكاء الاصطناعي خطر السير في المسار نفسه.

وتسلط إرشادات مشروع أمان تطبيقات الويب المفتوحة (OWASP) بشأن تأمين تطبيقات النماذج اللغوية الكبيرة الضوء على مخاطر ترتبط باتساع نطاق استقلالية الأنظمة، والتكاملات غير الآمنة، ونقاط الضعف في التفويض، والتفاعلات غير الآمنة مع الأنظمة الخارجية. وتزداد أهمية هذه المخاطر بصورة ملموسة عندما تتجاوز أنظمة الذكاء الاصطناعي حالات الاستخدام المعزولة وتبدأ العمل داخل بيئات الإنتاج الفعلية. كما يعكس تركيز Gartner على الأمن القائم على الهوية وإدارة هويات الآلات الاتجاه الذي تواجهه بالفعل مؤسسات عديدة.

ولا ينبع هذا التحول من الضجة الإعلامية المحيطة بالذكاء الاصطناعي، بل من واقع التشغيل. فكلما ازدادت قدرات أنظمة الذكاء الاصطناعي وتعمّق تكاملها مع بيئات المؤسسات، ازدادت أهمية الهويات التي تعمل من خلالها، وبيانات الاعتماد التي تستخدمها، والصلاحيات التي ترثها، باعتبارها عناصر أساسية في معادلة الأمن.

مستقبل أمن الذكاء الاصطناعي ستحدده الهوية الرقمية

تتحول الهوية الرقمية بصورة متزايدة إلى جزء أساسي من البنية التحتية. ولا تزال الصلاحيات المميّزة من بين أكثر نقاط الهجوم قيمة في مجال الأمن السيبراني، في حين يتحول الوصول بسرعة إلى مستوى التحكم التشغيلي في الذكاء الاصطناعي المؤسسي. ومع تزايد قدرة وكلاء الذكاء الاصطناعي وغيرهم من الكيانات غير البشرية على العمل عبر أنظمة المؤسسات، تزداد أهمية فهم صلاحيات الوصول هذه وإدارتها، بوصفهما عنصرين أساسيين في تأمين الذكاء الاصطناعي على نطاق واسع.

وستكون المؤسسات التي تدرك هذا التحول مبكرًا في وضع أفضل لتوسيع نطاق استخدام الذكاء الاصطناعي دون توسيع نطاق الثقة غير الخاضعة للإدارة بالتوازي معه. ولا يقتصر التحدي على تأمين التقنية نفسها، بل يشمل ضمان إدارة الهويات والصلاحيات التي تدعمها على نحو مناسب، مع تزايد اندماج هذه الأنظمة في العمليات اليومية.

أما المؤسسات التي لا تفعل ذلك، فقد تكتشف حقيقة غير مريحة يتعلمها خبراء الأمن منذ سنوات: نادرًا ما تقضي الأتمتة على مخاطر الهوية، بل تكشف في كثير من الأحيان عن حجم المخاطر التي كانت موجودة بالفعل تحت السطح.

بقلم لين نو، مهندس الحلول لدى BeyondTrust

مقالات ذات صلة

عرض الكل