الهويات غير البشرية: الجبهة الجديدة لمخاطر الأمن السيبراني في عصر الذكاء الاصطناعي الوكيلي

• من أجل التفاعل مع الأنظمة المختلفة نيابةً عنا، أدى الذكاء الاصطناعي الوكيلي (Agentic AI) إلى ظهور مفهوم الهويات غير البشرية (Non-Human Identities - NHIs).
• إن انتشار هذه الهويات في مناطق عمياء أمنيًا – بما في ذلك استخدام الأصول التشفيرية – يزيد بشكل هائل من مساحة الهجوم المتاحة أمام الفاعلين الخبيثين.
• ومعالجة هذا التحدي تبدأ بالحصول على رؤية كاملة وواضحة حول هذه الأدوات الوكيلة والأصول التشفيرية المرتبطة بها.

الذكاء الاصطناعي اليوم يعيد تشكيل المؤسسات حول العالم؛ فهو يفتح مجالات جديدة للكفاءة، ويسرّع اتخاذ القرار، ويدفع الابتكار، ويعيد تصميم كل طبقة تشغيلية داخل الشركات. ومن أبرز الاتجاهات الحديثة في هذا المجال الذكاء الاصطناعي الوكيلي، أي العوامل الذاتية المستقلة القادرة على التفاعل مع بيانات وأنظمة المؤسسات لتحقيق أهداف محددة.
هذه العوامل تتميز بفهم السياق والتخطيط وحل المشكلات بشكل تكيفي، وتنفذ عمليات معقدة متعددة الخطوات بأقل تدخل أو إشراف بشري.
وفي أكتوبر 2024، صنفت مؤسسة "جارتنر" الذكاء الاصطناعي الوكيلي كأبرز اتجاه تكنولوجي لعام 2025، متوقعة أن 33% من تطبيقات المؤسسات ستدمجه بحلول 2028، مقارنةً بأقل من 1% في عام 2024.

لكن وسط هذا السباق نحو تبني الذكاء الاصطناعي الوكيلي، تغفل العديد من المؤسسات تحديًا أمنيًا حاسمًا: وهو بروز الهويات غير البشرية – مثل مفاتيح واجهات البرمجة (API Keys)، وحسابات الخدمات، ورموز المصادقة.
فهذه العوامل الذكية لا تكتفي بتقديم المشورة، بل تنفذ الإجراءات الفعلية نيابة عن المستخدمين. وغالبًا ما تُنشئ NHIs في مناطق أمنية غير مراقبة، تحصل على صلاحيات واسعة ومستمرة للوصول إلى البيانات الحساسة دون تطبيق الضمانات الأمنية المعتادة للبشر. والأسوأ أن هذه العوامل ليست مجرد أدوات ذكية، بل كيانات قادرة على التفكير واتخاذ القرار والعمل بسرعات وآثار عميقة على العالمين الرقمي والمادي.

في بيئات النمو السريع، تتكاثر الهويات غير البشرية بسرعة تفوق قدرة فرق الأمن على تتبعها.
واستخدامها يزيد من مساحة الهجوم داخل المؤسسة ويخلق مخاطر جديدة في مناطق كانت تُعتبر آمنة.
فبعد أن كان على مسؤولي أمن المعلومات (CISOs) القلق بشأن بيانات اعتماد الموظفين والشركاء فقط، أصبح عليهم الآن إدارة عدد هائل من الهويات غير البشرية أيضًا.

هل كان ينبغي أن نتوقع هذا؟ ربما.
فالتاريخ يُظهر أن الأنظمة المستقلة غالبًا ما تتجاوز حدودها المقصودة.
في عام 1988، صُمم "دودة موريس" لرسم خريطة للإنترنت، لكنها أصابت 6,000 جهاز.
وفي عام 2010، استُخدم "ستوكسنت" لاستهداف أجهزة الطرد المركزي النووية الإيرانية، لكنه انتشر إلى أنظمة صناعية عالمية.
وفي عام 2024، خلال تمرين أمني، خرج نموذج من "ChatGPT" من بيئته المعزولة وتمكن من الوصول إلى ملفات محظورة دون أن يُطلب منه ذلك.

تكشف هذه الحالات أن العوامل الذاتية يمكن أن تطور قدرات تتجاوز توقعات مطوريها.
وعندما نضيف إلى ذلك احتمال التصميم الخبيث المتعمد، تصبح المخاطر أكثر خطورة.

ولكي يتمكن الذكاء الاصطناعي الوكيلي من الوصول والتشغيل، فإنه يُدمج الهويات غير البشرية في سير العمل الحساسة، ناقلًا البيانات بين الموارد عبر واجهات API، ومتعاملاً مع الأصول التشفيرية مثل الشهادات ومفاتيح التشفير.
لكن الحجم الهائل وتعقيد بنية تكنولوجيا المعلومات في المؤسسات الحديثة يمنع معظم مسؤولي الأمن من امتلاك رؤية شاملة لهوياتهم غير البشرية أو بيئتهم التشفيرية، فضلًا عن فهم دقيق لما هو مستخدم وأين ولماذا.
ويؤكد هذا الغموض الحاجة المتزايدة إلى نهج حديث لاكتشاف وإدارة هذه الهويات والأصول التشفيرية. فكما يُقال: "لا يمكنك حماية ما لا يمكنك رؤيته."

لقد تبنت المؤسسات على نطاق واسع بنية "انعدام الثقة" (Zero Trust) التي تفرض التحقق المستمر من الهوية وتمنح أقل قدر ممكن من الصلاحيات، لكنها غالبًا تتوقف عند حدود الهوية البشرية.
بينما تحتفظ العمليات الآلية بصلاحيات واسعة وغير محددة المدة، دون مراجعة أو توثيق أو مساءلة، متجاوزة البروتوكولات المصممة لحماية الأنظمة.
ومن دون رؤية فورية لماهية استخدام الهويات غير البشرية وكيف ومتى، تصبح المصادقة وحدها إحساسًا زائفًا بالأمان.

نحن نواجه الآن ما يُعرف بـ "سلسلة القتل الأمنية" (Security Kill Chain):
حسابات خدمات مفرطة الصلاحيات، بيانات اعتماد حساسة مضمّنة داخل الشيفرات، شهادات منتهية أو غير نشطة.
ليست هناك برمجيات خبيثة واضحة، بل سوء إدارة للهويات غير البشرية وضعف الحوكمة التشفيرية، تنتقل بين الفرق والأنظمة بصمت حتى تتسبب في خسائر كارثية.

ولا تقتصر التداعيات على اختراق بيانات الشركات فقط؛ فالمخاطر تمتد إلى البنى التحتية الحيوية: شبكات الكهرباء، أنظمة الاتصالات الطارئة، ولوجستيات الدفاع.
ففي هذه الحالات، اختراق واحد في بيانات الاعتماد لا يهدد مجرد التشغيل... بل يهدد الأرواح.

بدأ صناع السياسات والمنظمون بالتحرك.
فقد أصدرت الحكومة الأمريكية توجيهات مثل NSM-10 وEO 14028 وOMB M-23-02 التي تلزم بإجراء جرد لحظي للأصول التشفيرية لتعزيز الأمن السيبراني الوطني.
إذ أدركت أن الأمن والامتثال مستحيلان دون فهم دقيق ومحدث للأصول التشفيرية ولمن يمكنه الوصول إليها.

التشفير هو الذي يرسّخ ويُنفذ تعريف الهوية وحقوق الوصول – سواء للبشر أو للأنظمة المستقلة.
وإذا لم تُرسم هذه الحقوق وتُدار بدقة، فإننا نفتح الباب أمام الذكاء الاصطناعي للتمرد وأمام القراصنة لاختراق أنظمتنا.
وتدعو الأوامر التنفيذية الحديثة إلى أتمتة إدارة الأصول التشفيرية وتسريع الانتقال إلى خوارزميات مقاومة للحوسبة الكمّية (Post-Quantum Cryptography).
ففي حال تمكّن حاسوب كمّي من كسر خوارزميات مثل RSA أو ECC، فإن كل البيانات المشفرة اليوم يمكن أن تُكشف مستقبلاً.

إن مواجهة هذا التحدي تبدأ من الرؤية الواضحة:
يجب على المؤسسات أن تكتشف وتحدد خريطة لهوياتها غير البشرية وأصولها التشفيرية، ثم تعتمد ضوابط وصول قائمة على الهوية، وإدارة مفاتيح مؤتمتة، وإنفاذ السياسات عبر جميع الأنظمة والشركاء.
وأخيرًا، عليها الاستعداد لمستقبل مقاوم للتهديدات الكمّية عبر تبنّي خوارزميات ما بعد الكم التي اعتمدها معهد NIST مثل ML-KEM وML-DSA لضمان الأمن على المدى الطويل.

في عالم بات يُشكَّل بشكل متزايد بواسطة الذكاء الاصطناعي، أصبحت المرونة الأمنية – المبنية على حوكمة قوية للهويات غير البشرية والأصول التشفيرية – جزءًا من الأمن القومي نفسه.
ولا يمكننا اعتبارها مجرد مهمة في خلفية العمل، بل يجب أن تكون في قلب كل مجلس إدارة، وكل برنامج أمني، وكل مبادرة تحول رقمي.
لأنه عندما يفشل التشفير... ينهار كل شيء بعده.