Geçen yıl bir müşteri görüşmesinde, üretim ortamındaki bir Kubernetes kümesine kalıcı erişimi olan LLM tabanlı bir dağıtım ajanı, hatalı bir yapılandırma göndermesiyle dört saatlik bir kesintiye neden oldu. Kimlik ve erişim yönetimi (IAM) sisteminde bu ajan, uzun ömürlü bir API anahtarına sahip bir servis hesabı olarak görünüyordu; çok faktörlü kimlik doğrulama (MFA) yoktu ve kapsamı daraltılmış bir iptal yolu tanımlanmamıştı. Olay inceleme ekibi, ajanın son eylemini hangi insanın yetkilendirdiğini sorduğunda, odadaki hiç kimse cevap veremedi. Bu sorunun cevapsız kaldığına geçen yıl içinde üç farklı sektörde ve üç farklı tedarikçi yığınında şahit oldum.
Her CISO'nun sunumunda artık yapay zeka ajanları hakkında bir slayt bulunuyor. Ancak çok daha azı, kimlik açısından bu ajanların gerçekte kim olduğunu sorguluyor. İşte asıl tehlikeli boşluk bu. İlk slayt bir strateji sorusuyken, ikincisi bir kontrol sorusudur ve denetçilerinizin, olay müdahale ekiplerinizin ve yönetim kurulunuzun eninde sonunda soracağı sorudur. Gartner'ın Direktör Analist Alex Michaels tarafından yayınlanan En Önemli Siber Güvenlik Trendleri 2026 raporu, bu boşluğun her iki yarısını da – yapay zeka ajanlarının denetimi (Trend 1) ve yapay zeka ajanlarına uyum sağlayan IAM (Trend 4) – bu yıl siber riski yeniden tanımlayan güçler olarak adlandırıyor.
Bu makale, insan dışı ve ajan tabanlı kimlikler (NHI'ler) için altı aşamalı bir olgunluk modeli sunuyor. Model, herhangi bir üretim dağıtımının savunulabilir olması için karşılanması gereken altı asgari gereksinimi ve erişim ve kimlik boyutundaki en önemli raporlama kararını ortaya koyuyor: insan ve insan dışı kimlik yönetiminde aritmetik ortalamayı reddetmek.
Olgunluk modelinin ilk aşaması, tüm insan dışı varlıkların envanterinin çıkarılmasıdır. Çoğu kuruluş, kaç tane hizmet hesabı, API anahtarı veya ajanı olduğunu bilmez. İkinci aşama, her bir NHI'ye benzersiz bir kimlik atamak ve bunu insan kullanıcılardan ayırmaktır. Üçüncü aşama, en az ayrıcalık ilkesini uygulamak ve her bir ajan için kapsamı daraltılmış izinler tanımlamaktır. Dördüncü aşama, kısa ömürlü kimlik bilgileri kullanmak ve MFA benzeri kontrolleri devreye sokmaktır. Beşinci aşama, sürekli izleme ve davranış analitiği ile anormal aktiviteleri tespit etmektir. Altıncı ve son aşama ise, tüm NHI eylemlerinin denetlenebilir ve geri alınabilir olmasını sağlamak, yani her ajan eyleminin bir insan yetkilendirmesine kadar izlenebilir olmasıdır.
Nasıl Önlem Alınmalı?
Bu modelin en kritik unsuru, insan ve insan dışı kimlik yönetimini ayrı tutmaktır. Aritmetik ortalama kullanıldığında, insan kullanıcılar için tasarlanmış politikalar NHI'ler için yetersiz kalır veya tam tersi. Örneğin, bir insan için makul olan bir API anahtarı süresi, bir ajan için çok uzun olabilir. Bu nedenle, her iki kimlik türü için ayrı politikalar, denetim mekanizmaları ve raporlama hatları oluşturulmalıdır. Gartner raporu da bu ayrımın önemini vurgulayarak, kuruluşların NHI'leri insan kimliklerinden bağımsız olarak yönetmesi gerektiğini belirtiyor.
Pratik çıkarımlar: Öncelikle, tüm NHI'lerinizi keşfedin ve bir envanter oluşturun. Ardından, her birine benzersiz ve geçici kimlik bilgileri atayın. Kapsamı daraltılmış izinler tanımlayın ve insan onayı olmadan kritik eylemleri gerçekleştirmelerini engelleyin. Sürekli izleme ile anormal davranışları tespit edin ve olay müdahale planlarınıza NHI'leri dahil edin. Unutmayın, yapay zeka ajanlarınız ne kadar akıllı olursa olsun, onları kontrol eden sizsiniz. Kimlik yönetimindeki bu boşluğu kapatmak, siber güvenlik stratejinizin temel taşı olmalıdır.
Kaynak: csoonline.com
