ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

19 мая 2026 года компания Orchid Security опубликовала результаты своего исследования «Identity Gap: Snapshot 2026». Среди выводов отмечается, что «темная материя идентичности» (невидимые и неуправляемые элементы идентичности) в настоящее время превосходит видимые элементы по соотношению 57 % к 43 %. И это не могло произойти в худшее время, когда предприятия с распростертыми объятиями принимают искусственный интеллект агентов (и, к сожалению, как объясняет соучредитель Orchid Роберт Уайзман, закрывая при этом более одного глаза).

Агенты ИИ по своему замыслу ищут обходные пути. Получив задачу, они обучены находить наиболее эффективный способ ее выполнения, сочетая скорость машин и креативность людей. Отказ в доступе к необходимой системе? Используйте жестко запрограммированные учетные данные, хранящиеся в виде открытого текста внутри приложения. Нужна информация, на чтение которой у них нет прав? «Одолжите» учетные данные с более высокими привилегиями. Постоянно сталкиваетесь с проблемами во многих разных системах? Возьмите широко распространенный токен. Поистине, креативность ИИ-агентов поразительна. Но это палка о двух концах.

То, что агент ИИ может найти способ получить доступ к приложению, системе или базе данных, не означает, что он должен это делать. Но там, где кодирование ограничивало бы традиционного нечеловеческого участника, а совесть заставила бы человека задуматься, в большинстве случаев у агентов ИИ нет таких ограничений или угрызений совести.

Именно поэтому хорошо организованное управление идентификацией и доступом является важнейшей основой для удержания деятельности агентов ИИ в пределах разрешенного. Чтобы понять эту важность, достаточно вспомнить сбои в работе облачных сервисов, о которых сообщалось в начале года.

Конечно, упрощения, пробелы и исключения в IAM накапливались годами. Даже десятилетиями. Поэтому неразумно ожидать, что все будет улажено сразу. Именно поэтому выводы из «Снимка пробелов в идентификации» этого года — наиболее распространенные уязвимости в североамериканских и европейских предприятиях — так важны и актуальны.

Невидимые нечеловеческие учетные записи: две из каждых трех нечеловеческих учетных записей создаются локально в самом приложении. Это делает их невидимыми и неуправляемыми центральной программой IAM. Это понятно для учетных записей машин и служб. Но опасно для автономных агентов ИИ.

Чрезмерные права доступа: 70 % всех приложений имеют чрезмерное количество привилегированных учетных записей. Это гораздо больше, чем ожидается в контексте принципа «минимальных привилегий», и представляет собой серьезный риск, учитывая современных злоумышленников, а также упомянутых выше агентов ИИ.

«Сиротские» учетные записи: было обнаружено, что 40 % всех учетных записей в корпоративных средах пережили своих авторизованных пользователей. Эти «сиротские» учетные записи явно не управляются и, вероятно, остаются незамеченными, что делает их легкой добычей для злоумышленников и агентов ИИ.

Это лишь некоторые из основных моментов полного отчета Identity Gap Snapshot. Мы рекомендуем вам ознакомиться с полным текстом отчета.

Если вы не уверены, как решать эти (и подобные) проблемы в вашей организации или даже насколько распространены они в вашей среде, наша команда исследователей в области безопасности также опубликовала «Контрольный список готовности к обеспечению безопасности идентификационных данных». Если ваша организация готовится к трансформации с помощью агентов ИИ (или уже участвует в ней), сейчас самое время действовать.