با گسترش نفوذ عوامل هوش مصنوعی (AI Agents) در فرآیندهای کسب‌وکار، پارادایم سنتی «اعتماد دیجیتال» که بر پایه احراز هویت انسانی استوار بود، به بن‌بست رسیده است. امروزه سوال حیاتی دیگر نه فقط «چه کسی وارد سیستم شده است»، بلکه «چه کسی به این عامل اجازه اقدام داده و محدوده اختیارات آن چیست؟» است.
سه پایه اصلی اعتماد دیجیتال در عصر هوش مصنوعی
مدل‌های امنیت سنتی عمدتاً بر دو ستون استوار بودند: احراز هویت (Authentication) که پاسخ می‌دهد «آیا شما اجازه ورود دارید؟» و شناسایی (Identity) که پاسخ می‌دهد «شما کی هستید؟». اما ظهور عوامل خودمختار، ستون سومی را به این معادله تحمیل کرده است: اختیار (Authority). این مفهوم تعیین می‌کند که یک موجودیت (اعم از انسان یا نرم‌افزار) از سوی چه کسی برای انجام چه عملیاتی، در چه محدوده‌ای و برای چه مدت زمانی مجوز دریافت کرده است.
سیستم‌های فعلی اغلب تفاوت میان یک کاربر انسانی و یک عامل نرم‌افزاری را تشخیص نمی‌دهند و تنها بررسی می‌کنند که آیا اعتبارنامه‌های ارائه‌شده (Credentials) صحیح است یا خیر. این نقص ساختاری می‌تواند در محیط‌های سازمانی که عوامل هوش مصنوعی وظایف حساسی مانند تراکنش‌های مالی یا تغییرات زیرساختی را بر عهده می‌گیرند، منجر به خطرات امنیتی جبران‌ناپذیری شود.
چالش تعیین محدوده اختیارات (Minimum Necessary Authority)
یکی از بزرگترین اشتباهات معماری در استقرار هوش مصنوعی، اعطای دسترسی‌های کلی (Standing Access) به عوامل است. این رویکرد اگرچه پیاده‌سازی را ساده‌تر می‌کند، اما به این معناست که یک عامل با دسترسی بیش از حد (Mis-scoped)، در صورت بروز خطا یا نقض امنیتی، می‌تواند خساراتی بسیار فراتر از نیاز عملیاتی خود ایجاد کند. طبق اصول امنیت سایبری مدرن، همان‌طور که برای اسناد دیجیتال سطح دسترسی تعریف می‌کنیم، باید برای عوامل هوش مصنوعی نیز «مجوزهای محدود و موقت» صادر کنیم.
چک‌لیست پنج‌گانه برای تایید اقدام عامل (Agentic Action)
- چه کسی/چه چیزی اقدام می‌کند؟ (شناسایی دقیق Agent)
- چه کسی به آن اختیار داده است؟ (ردپای تاییدکننده)
- چه کاری مجاز به انجام است؟ (تعریف محدوده عملیاتی)
- تحت چه محدودیت‌هایی؟ (Constraints)
- آیا اختیار هنوز معتبر است؟ (زمان‌بندی و قابلیت ابطال)
گام‌های عملیاتی برای انتقال به مدل‌های Delegation
سازمان‌ها باید به جای تلاش برای بازطراحی کل زیرساخت، از الگوهای استاندارد Delegation (مانند مدل‌های On-Behalf-Of در استانداردهای هویتی) بهره ببرند. در این الگو، به جای کپی کردن دسترسی‌های یک انسان برای هوش مصنوعی، یک «مجوز قابل تایید توسط ماشین» (Machine-verifiable Mandate) صادر می‌شود. کیف پول‌های دیجیتال (Digital Wallets) می‌توانند نقشی کلیدی در ذخیره‌سازی و ارائه این مجوزها ایفا کنند تا فرآیند احراز اختیار به صورت خودکار و قابل بازرسی باقی بماند.
نتیجه‌گیری
در دنیای متصل امروز، تکیه صرف بر پروتکل‌های ورود (Login-based) ناکافی است. چارچوب‌های هویتی مانند DVS Trust Framework در بریتانیا نشان‌دهنده شروعی برای شناسایی هویتی هستند، اما نیاز است تا این چارچوب‌ها برای تعاملاتِ مبتنی بر نرم‌افزار نیز گسترش یابند. تا زمانی که استانداردهای جامع حاکمیتی تعریف نشوند، بارِ مسئولیت بر دوش معماران سیستم است تا با پیاده‌سازی مکانیزم‌های سخت‌گیرانه برای «اعطای اختیار»، از بروز فجایع ناشی از عواملِ خارج از کنترل پیشگیری کنند.
