Tożsamość nieludzka (non-human identity)
Konta, klucze i tokeny używane przez oprogramowanie, a nie ludzi: konta serwisowe, klucze API, tokeny CI i coraz częściej agenci AI.
W większości firm jest ich więcej niż pracowników i rzadko ktoś je przegląda: klucze nie wygasają, właściciele odchodzą, uprawnienia tylko rosną. Agenci AI dokładają tożsamości działające w czyimś imieniu, co rodzi pytanie, które zadają dziś ankiety bezpieczeństwa: z czyimi uprawnieniami działa agent i czy w logach da się odróżnić jego działania od działań człowieka? Krótko żyjące tokeny, osobna tożsamość dla każdego agenta i właściciel dla każdej z nich to podstawa.
Powiązane hasła
- Confused deputy (zdezorientowany pośrednik): Program z szerokimi uprawnieniami zostaje nakłoniony, żeby użył ich dla kogoś, kto nie powinien ich mieć; agenci na wspólnych kontach serwisowych to częsty przypadek.
- OAuth: Standard, który pozwala aplikacji działać na koncie użytkownika gdzie indziej (poczta, kalendarz, pliki) bez poznawania hasła.
- Zarządzanie sekretami (wycieki kluczy API): Trzymanie kluczy API, haseł i tokenów poza kodem i czatami, w magazynie z kontrolą dostępu, rotacją i historią.
- A2A (protokół Agent2Agent): Otwarty protokół, przez który jeden agent AI przekazuje zadanie innemu agentowi, także od innego dostawcy, i śledzi je do końca.
