La gestion du cycle de vie de la plate-forme, l’accès croisé et les informations d’identification vérifiables visent à réduire les surfaces d’attaque et à garantir la conformité à mesure que les agents de l’IA ont un accès élevé à travers les systèmes d’entreprise.
Le fournisseur de gestion de l’identité Okta a lancé jeudi un «tissu de sécurité d’identité» conçu pour sécuriser les agents d’IA et remplacer le patchwork des solutions de sécurité ponctuelle que les entreprises utilisent actuellement pour gérer les utilisateurs, les applications et les systèmes d’IA.
« Dans le cadre du tissu, les organisations seront également en mesure d’émettre et de vérifier les informations d’identification numériques à l’épreuve des examens, aidant à établir la confiance et à aborder la fraude à la hausse des IA », a déclaré Okta dans un communiqué.
L’annonce de la conférence annuelle d’Okta à Las Vegas est venue alors que les organisations avaient du mal à gérer les systèmes d’IA qui fonctionnaient avec des privilèges élevés mais manquaient souvent de surveillance appropriée.
Le cabinet de recherche Gartner a prédit qu’en 2027, les principes d’immunité en tissu d’identité empêcheront 85% des nouvelles attaques et réduiront l’impact financier des violations de 80%.
Alors que 91% des organisations utilisaient déjà des agents d’IA, seulement 10% avaient développé des stratégies pour gérer ces identités non humaines, a montré Okta Research. Comme preuve des risques de sécurité, la société a souligné un incident où «un bot d’embauche d’une IA qui a exposé des millions de données de candidats aux pirates qui ont essayé le mot de passe« 123456. »»
« L’entreprise moderne nécessite un tissu de sécurité d’identité qui peut unifier les silos et réduire la surface d’attaque », a déclaré Kristen Swanson, vice-président principal de la conception et de la recherche d’Okta dans le communiqué. Les architectures de sécurité fragmentées actuelles «ne peuvent plus suivre» avec les menaces axées sur l’IA, a-t-elle déclaré.
Le concept de tissu d’identité a intégré ce qui était auparavant des fonctions de sécurité distinctes – gestion des utilisateurs, sécurité des applications et surveillance de l’IA – dans une seule plate-forme. L’approche est venue alors que les entreprises étaient confrontées à la complexité croissante des agents de l’IA qui fonctionnaient en continu avec des privilèges élevés aux côtés des utilisateurs humains traditionnels.
Trois composants principaux forment le tissu
La plate-forme comprenait trois éléments principaux, avec la gestion du cycle de vie de l’agent AI comme premier composant clé. Okta a appelé ce «Okta pour les agents de l’IA», prévu pour un accès anticipé au premier trimestre de l’exercice 2027. Cet élément découvrirait les agents d’IA existants dans les réseaux d’entreprise, établirait des références d’identité appropriées, appliquerait les contrôles d’accès et surveiller leurs activités.
« L’IA change plus rapidement le lieu de travail que les organisations ne peuvent s’adapter », a ajouté Swanson. «Nous commençons à voir des agents mal construits, déployés ou gérés exposer les risques d’utiliser un patchwork traditionnel de solutions d’identité.»
Le système «appliquerait les politiques de sécurité pour appliquer le principe du moindre privilège, offrant aux agents de l’IA l’accès dont ils ont besoin pour le temps dont ils ont besoin», a déclaré la société dans le communiqué.
Le deuxième composant était Cross App Access, une extension d’OAuth conçue pour sécuriser les communications entre les agents d’IA et les applications d’entreprise. Le protocole a obtenu le soutien des principaux fournisseurs de technologies, notamment Amazon Web Services, Google Cloud, Salesforce, Box et Automation n’importe où.
Le protocole a déplacé le contrôle de sécurité des applications individuelles aux systèmes d’identité centralisés, permettant aux équipes de sécurité de surveiller le comportement des agents d’IA sur l’ensemble de leur pile technologique. Cross App Access sera disponible dans l’accès anticipé dans la plate-forme OKTA pour les clients d’entreprise, a ajouté la déclaration.
Les implémentations actuelles d’IA reposent souvent sur des informations d’identification statiques comme les clés d’API qui créent des vulnérabilités persistantes si elles sont compromises. Contrairement aux utilisateurs humains, les agents de l’IA fonctionnent généralement en continu et peuvent nécessiter des privilèges élevés sur plusieurs systèmes, en amplifiant les dommages potentiels des violations de sécurité.
Les informations d’identification numériques complètent la plate-forme
Le troisième composant en tissu est les capacités des informations d’identification numérique via la plate-forme OKTA Verifiable Digital Indementials (VDC), prévue pour la version de l’exercice 2027.
Le système permettrait aux organisations d’émettre des versions cryptographiquement sécurisées des identifiants gouvernementaux, des dossiers d’emploi et des certifications professionnelles.
« Construit sur des normes ouvertes pour un contrôle maximal et une interopérabilité future, les VDC aideront à établir la confiance dans un monde d’agents d’IA, permettant des informations d’identification sécurisées et préservantes qui aident à prouver qui est quelqu’un, ce qu’ils ont fait, ou ce qu’ils ont été autorisés à faire », a déclaré la société.
Okta a déclaré que cela commencerait par le support des permis de conduire mobile avant de s’étendre à des types d’identification supplémentaires.
L’accent mis sur les défis de la sécurité de l’identité s’est étendu au-delà des annonces d’Okta lors de l’événement de Las Vegas. La société de protection des données Rubrik a également lancé Rubrik Okta Recovery, conçue pour fournir des sauvegardes et une récupération automatisées pour les environnements OKTA, mettant en évidence la reconnaissance plus large de l’industrie des vulnérabilités d’infrastructure d’identité, a annoncé Rubrik dans une déclaration distincte. L’approche du tissu a abordé ce que Okta a décrit comme des défis où «les agents de l’IA fonctionnent à la vitesse de la machine avec des privilèges élevés et des cycles de vie éphémères, et les fans profonds dirigés sur l’IA brouillent la frontière entre les utilisateurs légitimes et les imitateurs malveillants.»
