Nie-ludzcy pracownicy w firmie. Dlaczego ignorowanie agentów grozi katastrofą?

Zgodnie z definicją zaprezentowaną przez Microsoft, tożsamości nie-ludzkie (Non-Human Identities – NHI) są cyfrowymi uwierzytelnieniami używanymi przez boty, agentów AI, konta serwisowe, klucze API, skrypty automatyzujące oraz inne autonomiczne systemy. Eksperci coraz częściej porównują je do „nie-ludzkich pracowników”, ponieważ działają samodzielnie, podejmują decyzje i wykonują zadania w imieniu organizacji.

Eksplozja liczby NHI w przedsiębiorstwach

Dzięki rozwojowi sztucznej inteligencji, zwłaszcza agentów AI (agentic AI) zdolnych autonomicznie wykonywać złożone zadania, liczba NHI cały czas rośnie. Według raportu Cloud Security Alliance na początku stycznia 2026 roku, tożsamości nie-ludzkie już teraz przewyższają liczbę tożsamości ludzkich w stosunku nawet 82:1. Prognozy wskazują, że do końca 2026 roku AI agenci mogą być liczniejsi niż ludzie online, a w ciągu kilku lat ich liczba może osiągnąć 10 agentów przypadających na jedną osobę.

Jakie mogą być ryzyka związane z NHI?

Brak odpowiedniego nadzoru nad tożsamościami nie-ludzkimi niesie ze sobą poważne zagrożenia:

• Nadmierne uprawnienia: NHI często mają szerokie, nieograniczone dostępy, które nie są regulowane.
• Statyczne poświadczenia: Klucze i sekrety rzadko są rotowane, co ułatwia atakującym ich wykorzystanie.
• Brak widoczności: Często zespoły zajmujące się bezpieczeństwem nie mają pełnego katalogu ani możliwości monitorowania tych tożsamości, co czyni je idealnym celem dla cyberprzestępców.

W rezultacie NHI stają się poważnym wektorem ataków, w tym ataków na łańcuch dostaw czy eskalacji uprawnień. Eksperci z World Economic Forum ostrzegają, że niekontrolowane NHI mogą prowadzić do wysokoprofilowych naruszeń w 2026 roku, zwłaszcza w kontekście autonomicznych agentów AI.

Zasada Zero Trust dla nie-ludzkich tożsamości

Aby przeciwdziałać tym zagrożeniom, należy stosować model Zero Trust (zerowego zaufania) wobec NHI. Co to oznacza w praktyce?

• Weryfikacja dostępów: do czego realnie nasz pracownik AI ma dostęp?
• Zasada jak najmniejszych uprawnień (least privilege): przyznawaj tylko niezbędne dostępy na najkrótszy możliwy czas.
• Automatyzacja zarządzania sekretami: regularna rotacja poświadczeń i eliminacja stałych przywilejów.
• Pełna widoczność i zarządzanie: inwentaryzacja i monitorowanie wszystkich NHI w czasie rzeczywistym.