Yapay zeka ajanlarının (agentic AI) yükselişi, kuruluşların güvenlik ve kimlik yönetimi yaklaşımlarını kökten değiştirmelerini gerektiriyor. Geleneksel güvenlik kontrolleri, otonom ajanların hızlı ve dinamik doğasına uygun değil. Statik kimlik bilgileri ve sürekli ayrıcalıklar, ajanların bir iş akışı içinde birden fazla kez yetkilendirilmesi, sınırlandırılması ve iptal edilmesi gereken bu yeni model için yetersiz kalıyor. Bu nedenle, ajan kimliği, ajanlar arası iletişim, sır yönetimi, ayrıcalıklı erişim ve iş gücü kimliği gibi alanlarda yeni stratejiler geliştirilmesi kritik önem taşıyor.
Ajan kimliği, bu alandaki ilk büyük zorluk. Bazı kuruluşlar AI ajanlarını hizmet hesapları gibi insan dışı kimlikler olarak ele alırken, diğerleri onların ayrı bir kategori olması gerektiğini savunuyor. Her durumda, ajanların ortamlar arasında tanınabilmesi ve yönetilebilmesi için bir tür 'sertifika'ya ihtiyaçları var. Bu, özellikle ajanların bulut platformları, şirket içi sistemler ve SaaS uygulamaları gibi birden çok ortamda çalıştığı kurumsal yapılarda önem kazanıyor. Ajanlar arası iletişimde ise Model Context Protocol (MCP) ağ geçitleri yerini giderek ajan ağlarına (agentic mesh) bırakıyor. Bu dağıtık mimari, ajanların merkezi bir kontrolör olmadan birbirlerini keşfetmesine ve iş birliği yapmasına olanak tanırken, sertifikalar aracılığıyla niyet tabanlı iletişim kuralları getiriyor.
Sır yönetimi de AI ajanları için yeniden düşünülmeli. Geleneksel yöntemlerin aksine, ajanlar için sırlar (parolalar, API anahtarları) dinamik olarak oluşturulmalı, belirli bir amaç için kullanılmalı ve görev tamamlandığında geçersiz kılınmalı. Bu, modern otel kartlarına benziyor: kart belirli bir konaklama için geçerli, sonrasında işe yaramaz hale geliyor. Ayrıcalıklı erişimde ise ajanlar başlangıçta bir insan kullanıcının izinlerine sahip olabilir, ancak iş akışı ilerledikçe bu ayrıcalıklar kademeli olarak azaltılmalı ve sadece belirli bir yürütme adımını yetkilendiren ince bir katman kalana kadar daraltılmalıdır. Bu, en az ayrıcalık ilkesini uygulamak için kritik.
İş gücü kimliği ise kuruluşların halihazırda yönettiği ancak farklı platformlarda parçalanmış bir alan. AI ajanlarını desteklemek için bu parçalanmanın aşılması, çalışan kimliklerinin güncel tutulması ve iş gücü izinlerinin ajan iş akışlarına doğru şekilde yansıtılması gerekiyor. Tüm bu alanlar birbirinden bağımsız ele alınmamalı; kimlik yaşam döngüsü boyunca yönetişim ve gözlemlenebilirlik uygulanmalı, böylece her ajan eyleminin onaylanmış erişim ve izin seviyelerine kadar izlenebilmesi sağlanmalıdır. Dinamik erişim, en az ayrıcalık, güçlü kimlik ve net denetlenebilirlik gibi hedefler, AI ajanlarının yükselişiyle her zamankinden daha acil hale gelmiştir.
