代理不是人：ServiceNow漏洞揭示的代理AI訪問控制問題
企業安全團隊開始面對一種訪問失敗的類型，這種情況因其後果到來的速度而顯得陌生。系統從前需要多個步驟、批准或人工干預，而現在則能夠不斷運行，跨工具操作且幾乎無摩擦。在這種環境中，長期容忍的身份捷徑，如共享憑證或過度授權的令牌，一旦執行開始，便立即成為問題。
這一風險因ServiceNow最近披露的一個嚴重的冒充漏洞而得到強調。作為廣泛部署於企業的雲端工作流程自動化平台，該漏洞可能允許未經身份驗證的攻擊者冒充任意用戶，包括管理員。該問題起源於ServiceNow的虛擬代理集成，該集成為第三方聊天和自動化工具公開API。一個被該API信任的整个平台憑證，加上基於電子郵件的帳號鏈接，繞過了標準身份驗證控制。
代理訪問控制的必要要求
企業在部署代理工作流程時，應要求在允許訪問敏感資源之前，設置一些結構性控制。
首先，代理必須具有獨立於調用它們的人類的明確身份。當代理活動記錄在用戶憑證下時，歸因崩潰，責任成為推測。
其次，授權必須在運行時強制執行，而不是嵌入在交給代理的憑證中。代理不應接收長期密鑰、可重用令牌或超過當前任務的廣泛權限。
第三，企業需要一種可靠的方法來中斷代理的（誤）行為。通過旋轉憑證或停用帳戶來撤銷訪問太慢，安全團隊需要政策驅動的控制來立即停止訪問而不破壞基礎設施。
最後，審計記錄必須反映實際發生的事情。每個動作都應可追溯到具體的代理身份，其運行的上下文和訪問的資源。
代理AI會繼續擴展，因為它為企業提供了真正的運營優勢。在這過程中，確保代理訪問控制的安全性變得更加重要。為了進一步了解如何保護您的系統，您可以訪問北斗數位 BDHWeb了解更多有關抗攻擊主機和DDoS防禦的資訊。