Tre av fyra organisationer räknar med att AI kommer att leda till fler attacker mot deras identitetsinfrastruktur. Det visar en ny global undersökning från säkerhetsföretaget Semperis, som intervjuat 1 100 organisationer i åtta länder.

Paradoxen är tydlig: trots oron fortsätter företagen att ge AI-agenter tillgång till känsliga system. Hela 93 procent av de tillfrågade uppger att de redan använder eller planerar att använda AI-agenter för uppgifter som lösenordsåterställning och VPN-åtkomst.

Stora säkerhetsluckor kvarstår

Rapporten, som heter "State of Identity Security in the AI Era", visar att kontrollen över dessa AI-agenter ofta är svag. Bara 65 procent av organisationerna har formella rutiner för att registrera, autentisera och auktorisera icke-mänskliga identiteter som AI-agenter och automatiserade processer.

Det innebär att en tredjedel av företagen i praktiken inte vet vilka AI-agenter som har tillgång till vad. Undersökningen visar också att 34 procent av AI-agenterna och 37 procent av maskinidentiteterna har tillgång till ekonomisk data och affärskritiska system.

Konsekvenserna om något går fel

Förtroendet för att kunna återhämta sig efter ett angrepp är lågt. Inom sjukvården, ett av de mest utsatta sektorerna, uppger bara 27 procent att de är säkra på att de fullt ut kan återhämta sig om en AI-agent exponerar administratörsbehörigheter.

Beteendeövervakning och automatisk återkallelse av inloggningsuppgifter, som är grundläggande skyddsmekanismer, saknas hos en majoritet av organisationerna för just AI-agenter.

Vad bör företag göra?

Semperis rekommenderar att organisationer behandlar AI-agenter som vilken privilegierad identitet som helst. Det innebär att:

• Inventera och registrera alla AI-agenter och maskinidentiteter
• Tillämpa minsta möjliga behörighet, det vill säga ge AI-agenten bara den åtkomst den faktiskt behöver
• Övervaka beteendet löpande och dra in åtkomst automatiskt vid avvikelser
• Ha en testad återhämtningsplan för scenariot att en AI-agent komprometteras

AI-agenter är inte längre ett framtidsscenario. De är redan inbyggda i kritiska arbetsflöden hos de flesta stora organisationer. Utan ordentlig identitetsstyrning blir varje AI-agent en potentiell ingång för angripare.