وقتی ایجنت هوش مصنوعی ناظر امنیت شرکت می‌شود، چه کسی خود ایجنت را چک می‌کند؟

بارها دیده شده که مهندسان امنیت، یک هفته تمام قبل از ممیزی‌های رسمی، وقتشان را صرف جمع‌آوری اسکرین‌شات‌هایی می‌کنند که احتمالاً هیچ‌کس در آینده حتی یک نگاه هم به آن‌ها نخواهد انداخت! برنامه‌های پاسخ به حادثه‌ای وجود دارند که فقط روی کاغذ ثبت شده‌اند و هرگز آزمایش نشده‌اند؛ یا پرسش‌نامه‌های ارزیابی تأمین‌کنندگانی که تنها یک‌بار پر و بایگانی می‌شوند، در حالی که خطرات امنیتی زیر پوست سازمان روزبه‌روز تغییر می‌کنند.

تیم‌های امنیتی این روز‌ها زیر بیش‌ترین فشار ممکن قرار دارند تا به مشتریان و هیئت‌مدیره ثابت کنند که سازمان کاملاً قابل اعتماد است. با این حال، چارچوب‌هایی که این تیم‌ها برای اثبات امنیت به آن‌ها تکیه می‌کنند، روزبه‌روز بیش‌تر از واقعیت خطرات در دنیای عملیاتی فاصله می‌گیرند.

شکاف میان «امن به نظر رسیدن» و «واقعاً امن بودن» اصلاً چیز تازه‌ای نیست، اما با ورود هوش مصنوعی دیگر نمی‌توان آن را نادیده گرفت. با پیچیده‌تر شدن سیستم‌های هوش مصنوعی، رویکردهای سنتی که فقط روی چک‌لیست‌ها و ممیزی‌های مقطعی تمرکز دارند، عملاً کم آورده‌اند. نتیجه این وضعیت، پدیده‌ای است که خیلی از مدیران امنیت به آن «نمایش امنیت» (Security Theatre) می‌گویند؛ فعالیت‌هایی که فقط ثابت می‌کنند در یک نقطه زمانی خاص، فلان مکانیزم کنترلی وجود داشته، اما هیچ تضمینی نمی‌دهند که آیا همین امروز هم کار می‌کند یا خیر.

به باور تحلیلگران ارشد حوزه حاکمیت، ریسک و انطباق (GRC)، ابزار‌های هوش مصنوعی قواعد این بازی را به کلی دگرگون کرده‌اند.

هوش مصنوعی می‌تواند درست همان‌طور که فرآیندهای کنترلی را خودکار می‌کند، «ظاهرسازی و نمایش کنترل» را هم خودکار کند! چالش اساسی حاکمیتی در اینجا دقیقاً همین است: اگر یک ایجنت هوش مصنوعی قرار است استانداردهای امنیتی سازمان شما را تأیید کند، خود شما چه تضمینی درباره امنیت و درستی عملکرد این ایجنت دارید؟

امروزه در بسیاری از سازمان‌ها یک الگوی تکراری و نگران‌کننده دیده می‌شود: تیم‌ها تمام انرژی خود را صرف این می‌کنند که ثابت کنند امن هستند، به جای اینکه واقعاً خطرات کلیدی را مهار و کاهش دهند.

آمار‌های صنعت امنیت هم این واقعیت را تأیید می‌کنند: بیش از نیمی از مدیران امنیت معتقدند خطرات ناشی از هوش مصنوعی بسیار سریع‌تر از توان پاسخ‌گویی تیم‌هایشان پیش می‌روند؛ با این حال، ۸۰ درصد آن‌ها در حال حاضر از ایجنت‌های هوش مصنوعی استفاده می‌کنند یا قصد دارند آن‌ها را به استراتژی امنیتی خود بیاورند. دقیقاً همین شکاف میان «به‌کارگیری شتاب‌زده ابزار‌ها» و «اطمینان از مهار آن‌هاست» که بستر بحران‌های بعدی را رقم می‌زند.

پرسش دشوارتر این است که وقتی هوش مصنوعی شروع به تصمیم‌گیری‌های امنیتی کند یا روی آن‌ها اثر بگذارد، تیم‌ها چطور می‌خواهند اعتماد را حفظ کنند؟ اگر پاسخی برای این سوال پیدا نشود، هوش مصنوعی به جای حل مشکلات، پدیده «نمایش امنیت» را صد برابر بزرگ‌تر و خطرناک‌تر خواهد کرد.

شکاف روبه‌رشد در امنیت هوش مصنوعی

با وجود تمام ابزار‌های خودکارسازی ممیزی و انطباق، هنوز بخش عمده این کار‌ها به شکل دستی انجام می‌شود. سازمان‌ها سالانه هفته‌های طولانی را صرف پر کردن فرم‌های انطباق و ارزیابی تأمین‌کنندگان می‌کنند؛ زمانی طلایی که می‌توانست صرف مهار خطرات واقعی سازمان شود اما عملاً هدر می‌رود.

به همین دلیل، استفاده از هوش مصنوعی برای کم کردن این بار سنگین روزبه‌روز محبوب‌تر می‌شود. بسیاری از مدیران ترجیح می‌دهند هوش مصنوعی در تصمیم‌های استراتژیک به آن‌ها کمک کند؛ مثلاً در اولویت‌بندی خطرات یا شناسایی زودهنگام چالش‌های نوظهور نقش پررنگی داشته باشد.

اما مشکل اینجاست که سازوکارهای نظارت و حاکمیت نتوانسته‌اند پابه‌پای این به‌کارگیری سریع پیش بروند. پر کردن این شکاف با شفافیت کامل شروع می‌شود: یعنی تهیه یک فهرست دقیق نه فقط از سیستم‌های هوش مصنوعی رسمی سازمان، بلکه شامل تمام APIهای مدل‌ها که مهندسان فراخوانی می‌کنند، قابلیت‌های هوش مصنوعی در نرم‌افزارهای ابری، ایجنت‌های متفرقه، سرور‌های MCP، و پدیده «هوش مصنوعی در سایه» (Shadow AI) که خیلی سریع‌تر از هر فناوری غیررسمی دیگری در شرکت‌ها ریشه می‌دواند.

همین انضباط باید در بخش هویت و دسترسی‌ها هم پیاده شود. هر ایجنتی که مستقر می‌کنید، عملاً یک عضو و بازیگر جدید در محیط سیستم شماست و باید دقیقاً مثل یک نیروی تازه‌استخدام‌شده با او رفتار شود: یعنی هویت اختصاصی خودش را داشته باشد، سطح دسترسی‌اش فقط محدود به مأموریت کاری‌اش باشد و هرگز نباید یک حساب کاربری مشترک با کلید دسترسی به همه بخش‌ها به آن داده شود. نادیده گرفتن این مرزها میان استفاده عملیاتی و نظارت حاکمیتی، بسیار خطرساز خواهد بود.

اتوماسیون شاید در کوتاه‌مدت حجم کار‌ها را سبک کند، اما اگر تصمیم‌های اتخاذشده شفاف نباشند، نتوان ردپای شواهد آن‌ها را دنبال کرد یا در صورت بروز اشتباه امکان بازخواست وجود نداشته باشد، پایه‌های اعتماد به سیستم فرو می‌ریزد. بنابراین، تیم‌ها قبل از به‌کارگیری هر ایجنت هوش مصنوعی باید مشخص کنند که این ایجنت به چه بخش‌هایی دسترسی دارد، چه داده‌هایی را می‌بیند، در چه مراحلی حتماً نیاز به تأیید انسان است و اگر مشکلی رخ داد، چگونه می‌توان عملیات را به حالت قبل بازگرداند.

اقدامات حساسی مثل تغییر سطح دسترسی کاربران، حذف داده‌ها یا جابه‌جایی منابع مالی حتماً باید تحت نظارت مستقیم و مؤثر انسان باقی بمانند. تصمیم‌گیری درباره این حد و مرزها پیش از استقرار سیستم بسیار آسان‌تر از تلاش برای مهار بحران پس از وقوع یک فاجعه امنیتی است.

این نظارت‌ها نباید فقط به مرحله راه‌اندازی خلاصه شوند. اجرای کنترل‌ها باید به صورت مداوم در زمان اجرا با راهکارهایی مثل اصل حداقل دسترسی، مجوزهای موقت لحظه‌ای، بخش‌بندی شبکه، کلیدهای قطع اضطراری (Circuit Breakers) و مهار خودکار آسیب دنبال شود؛ سازوکارهایی که به جای تکیه بر تحقیقات پس از واقعه، شعاع تخریب حادثه را در همان لحظه به حداقل می‌رسانند.

وقتی انطباق و ممیزی به «نمایش امنیت» تبدیل می‌شود

افزایش فشارهای قانونی و مقررات سخت‌گیرانه جدید، به این نمایش امنیت دامن زده است. بررسی‌ها نشان می‌دهد بیش از نیمی از مدیران امنیت اعتراف کرده‌اند که اکنون وقت بسیار بیشتری را صرف «اثبات امنیت» می‌کنند تا «بهبود واقعی امنیت»؛ و خیلی از آن‌ها چارچوب‌های فعلی را صرفاً یک نمایش صحنه‌ای توخالی می‌دانند.

هوش مصنوعی در این زمینه می‌تواند یک نجات‌بخش واقعی باشد، اما به شرطی که هوشمندانه و با برنامه به کار گرفته شود. هرچند اتوماسیون بار خستگی تیم‌های تحت فشار را کم کرده و راندمان را بالا برده، اما اگر مدل ممیزی همچنان متکی بر چک‌لیست‌های خشک و ایستا بماند، هوش مصنوعی فقط نتایج غلط را سرعت می‌بخشد: یعنی جمع‌آوری سریع‌تر مدارک صوری، ثبت کنترل‌های بیش‌تر روی کاغذ و سنگین‌تر شدن بار اداری سازمان، بدون اینکه ذره‌ای به امنیت و تاب‌آوری واقعی سیستم اضافه شود.

راه‌حل ماجرا در اتوماسیون بیش‌تر نیست؛ بلکه در تغییر دادن هدف نهفته است. انطباق با استانداردها باید محصول فرعی یک امنیت واقعی و کارآمد باشد، نه خط پایان آن!

چرا تغییر این دیدگاه در عصر حاضر حیاتی است؟

فصل بعدی امنیت سایبری بر این اساس تعریف خواهد شد که سازمان‌ها چقدر می‌توانند افراد، فرآیندها و سیستم‌ها را به صورت پیوسته هماهنگ نگه دارند، نه اینکه صرفاً به ممیزی‌های دوره‌ای یا چک‌کردن‌های مقطعی بسنده کنند. در دنیایی که با هوش مصنوعی شتاب گرفته، خطرات سریع‌تر از آن تغییر می‌کنند که رویکردهای ایستا توان همگام شدن با آن‌ها را داشته باشند. تیم‌های پیشرو در حال حرکت به سمت «اعتماد مستمر» هستند؛ یعنی همگام با دگرگونی محیط، سیگنال‌های ریسک، کنترل‌ها و شواهد امنیتی را دائماً به‌روز نگه می‌دارند.

امروزه به جای اتلاف وقت برای گرفتن اسکرین‌شات قبل از ممیزی، می‌توان داده‌ها و مدارک را به صورت خودکار از پلتفرم‌های ابری، سرویس‌های مدیریت هویت، سیستم‌های تیکتینگ و مخازن کد استخراج کرد. با این شیوه، تیم‌ها انحراف از استانداردهای کنترلی را درست در لحظه وقوع شناسایی می‌کنند و قبل از تبدیل شدنش به یک بحران جدی، جلویش را می‌گیرند.

هوش مصنوعی در عین حال که تازه‌ترین تهدید در جدول ریسک سازمان‌هاست، بهترین ابزار برای مدیریت تمام خطرات دیگر هم به شمار می‌رود. برنامه‌های حاکمیت امنیتی موفق برنامه‌هایی نخواهند بود که دست‌وپای افراد را ببندند یا سرعت کار را کم کنند؛ بلکه مسیر امن و تأییدشده را جذاب‌تر و ساده‌تر از راه‌های مخفی و غیررسمی می‌کنند و هم‌زمان نظارت انسانی را در حساس‌ترین گلوگاه‌ها حفظ خواهند کرد.

برندگان این بازی شرکت‌هایی نخواهند بود که صرفاً با بالا‌ترین سرعت این ابزار‌ها را به خدمت گرفته‌اند؛ بلکه سازمان‌هایی موفق می‌شوند که ایجنت‌های هوش مصنوعی آن‌ها بتوانند به همان سؤالاتی پاسخ دهند که از انسان‌ها می‌پرسیم: به چه چیزی دسترسی پیدا کردی، چرا، و چه کسی این دسترسی را امضا و تأیید کرده است؟