Hızlı cevap: Makine kimlikleri (NHI, Non-Human Identities), insan olmayan varlıkların (servis hesapları, API anahtarları, tokenlar, botlar ve yapay zeka ajanları) sistemlere erişmek için kullandığı kimliklerdir. Yapay zeka ajanlarının yaygınlaşmasıyla bu kimlikler patladı ve çoğu kurumda insan hesaplarından kat kat fazlalar. Sorun şu: bu kimlikler genelde çok yetkili, izlenmeyen ve ömür boyu geçerli. AI ajanları özerk hareket ettiği için, ele geçirilmiş bir makine kimliği ciddi bir risk yaratır.

Makine kimlikleri neden yeni bir risk?

Klasik güvenlik insan hesaplarına odaklanır: parola, çok faktörlü doğrulama, ayrılan personelin erişiminin kaldırılması. Ama sistemler arası iletişimin ve otomasyonun çoğu insan değil, makine kimlikleriyle yapılır. Bir API anahtarı, bir servis hesabı ya da bir AI ajanı, çoğu zaman bir insandan daha fazla sisteme erişir.

Yapay zeka ajanları bu tabloyu değiştirdi. Bir AI ajanı, kendi başına karar verip birden çok sisteme, API'ye ve veriye erişebilir. Bu ajanın kimliği ele geçirilirse ya da aşırı yetkiliyse, saldırgan onun tüm erişimini devralır. Üstelik ajan özerk çalıştığı için kötüye kullanım fark edilmeden sürebilir.

İnsan kimliği ve makine kimliği farkı

Özellik İnsan kimliği Makine kimliği (NHI)
Sayı Sınırlı Çok fazla, hızla artan
Kimlik doğrulama Parola, MFA Anahtar, token, sertifika
Ömür Personel süresince Genelde süresiz, unutulur
İzleme Görece iyi Çoğu zaman zayıf
Yetki Role bağlı Sık sık aşırı geniş

AI ajan kimliklerini korumak

  1. Tüm makine kimliklerini (anahtar, token, servis hesabı, ajan) envantere alın, kimse "gölgede" kalmasın.
  2. En az yetki ilkesini uygulayın, her ajan yalnızca ihtiyaç duyduğu erişime sahip olsun.
  3. Kimliklere ömür ve rotasyon uygulayın, süresiz anahtar bırakmayın.
  4. AI ajanlarının eylemlerini izleyin ve denetim kaydı tutun.
  5. Anahtar ve tokenları kod ve yapılandırmada açıkta bırakmayın.
  6. Bir ajan ele geçirildiğinde erişimini hızla iptal edebilecek bir mekanizma kurun.

KAOS ve DSET yaklaşımı

DSET, kurumların makine kimliği ve AI ajan erişim yüzeyini denetler: hangi anahtarlar, servis hesapları ve ajanlar var, ne yetkiye sahipler, izleniyorlar mı. Geliştirdiğimiz KAOS güvenlik motoru, kod ve altyapıda açıkta kalan anahtarları ve aşırı yetkili erişimleri raporlar. AI ajanlarının aşırı yetki ve kötüye kullanım riskini kanıta dayalı değerlendiririz. Amacımız gölge kalmış kimlikleri saldırgandan önce görünür kılmaktır.

Bağlantılı okumalar: LLM ajan aşırı yetki ve araç kötüye kullanımı, otonom yapay zeka ajanı güvenliği, IAM kimlik ve erişim yönetimi, PAM ayrıcalıklı erişim yönetimi, sızan API anahtarları ve sır yönetimi, ITDR kimlik tehdidi tespiti.

Sık sorulan sorular

Makine kimliği (NHI) nedir? Makine kimliği, insan olmayan varlıkların sistemlere erişmek için kullandığı kimliktir: servis hesapları, API anahtarları, tokenlar, sertifikalar, botlar ve yapay zeka ajanları. Çoğu kurumda bu kimlikler insan hesaplarından çok daha fazladır ama genelde daha az izlenir ve daha çok yetkiye sahiptir.

AI ajanları makine kimliği riskini neden büyütüyor? Çünkü AI ajanları özerk hareket eder ve tek başına birden çok sisteme, API'ye ve veriye erişebilir. Bir ajanın kimliği ele geçirilir ya da aşırı yetkiliyse, saldırgan onun tüm erişimini devralır ve ajan özerk çalıştığı için kötüye kullanım uzun süre fark edilmeyebilir. Bu yüzden ajan kimliklerine en az yetki ve izleme uygulanmalıdır.

Makine kimliklerini nasıl korurum? Önce hepsini envantere alın, çünkü göremediğiniz kimliği koruyamazsınız. Ardından en az yetki, ömür ve rotasyon, açıkta anahtar bırakmama ve eylem izleme gelir. En önemli adımlardan biri, bir kimlik ele geçirildiğinde erişimini hızla iptal edebilmektir.

Kaynaklar

Makine kimliği ve AI ajan erişim yüzeyinizi denetlemek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.