Perché la governance tradizionale delle identità fatica a monitorare gli agenti IA

La gestione del ciclo di vita delle identità è stata progettata per le persone: dipendenti assunti, riassegnati e infine disabilitati tramite i processi HR. Con la crescente adozione di agenti IA autonomi, i team di sicurezza stanno constatando che questo modello consolidato non è adatto a una nuova classe di entità non umane.

Un sistema progettato attorno ai dati occupazionali delle persone

I tradizionali strumenti di governance e amministrazione delle identità (IGA) presuppongono che ogni identità abbia un responsabile, una qualifica professionale e un rapporto chiaro con un sistema di gestione del personale come Workday, SAP SuccessFactors o ServiceNow HR. L'assunzione di un nuovo dipendente attiva il provisioning, una promozione modifica le autorizzazioni e un evento di cessazione avvia i flussi di lavoro per la disattivazione. Questi passaggi creano la traccia di audit utilizzata per supportare i requisiti di conformità e le revisioni degli accessi.

Questa struttura funziona perché l'accesso umano segue generalmente schemi prevedibili. Il controllo degli accessi basato sui ruoli può associare una funzione lavorativa a un insieme noto di autorizzazioni, mentre le campagne di certificazione e i controlli di separazione dei compiti forniscono un ulteriore livello di supervisione.

Perché gli agenti IA non si adattano al modello del ciclo di vita

Gli agenti IA vengono creati in modo molto diverso. Spesso vengono avviati da sviluppatori, piattaforme di automazione o framework di orchestrazione, anziché dai sistemi HR. Invece di ereditare l'accesso attraverso un processo formale di ingresso, trasferimento e uscita, possono essere sottoposti a provisioning con account di servizio, chiavi API o autorizzazioni OAuth al momento della loro creazione.

Una volta in esecuzione, questi agenti possono comportarsi in modi difficili da prevedere. Un agente progettato per un'attività può ampliare il proprio raggio d'azione chiamando strumenti, recuperando dati o concatenando azioni su più sistemi. Questa crescita dell'ambito operativo durante l'esecuzione è difficile da interpretare per gli strumenti di gestione delle identità, soprattutto quando l'agente viene trattato come un account macchina statico anziché come un'entità autonoma.

Le lacune nella governance che emergono su larga scala

L'articolo osserva inoltre che gli agenti possono operare in parallelo su servizi cloud, container e piattaforme SaaS, talvolta con credenziali e contesti di sessione separati. Negli ambienti multi-agente, un agente può persino delegare il lavoro a un altro, rendendo ancora più difficile capire chi o cosa stia utilizzando un accesso in un determinato momento.

Per i team di sicurezza, la preoccupazione non riguarda soltanto il provisioning, ma anche la visibilità e il controllo su come l'accesso cambia durante l'esecuzione. I prodotti IGA tradizionali non sono stati progettati per monitorare entità che possono duplicarsi, moltiplicarsi e interagire con sistemi al di fuori di una descrizione fissa del ruolo lavorativo.

• I modelli del ciclo di vita incentrati sulle persone dipendono dagli eventi HR.
• Gli agenti IA vengono spesso creati al di fuori dei flussi di onboarding regolamentati.
• Il comportamento durante l'esecuzione può ampliare l'accesso oltre le autorizzazioni iniziali.
• Gli strumenti IGA esistenti potrebbero non rilevare la proliferazione degli agenti nei diversi ambienti.

Con la crescente diffusione degli agenti IA negli ambienti aziendali, l'articolo sostiene che la governance delle identità dovrà evolvere oltre i presupposti sviluppati per i dipendenti umani.