Organisationen setzen zunehmend KI-Agenten, Copiloten, Assistenten, autonome Arbeitsabläufe und KI-gestützte Anwendungen in ihren Unternehmensumgebungen ein.
Viele Sicherheitsteams konzentrieren sich darauf, was diese Systeme leisten können.
Nur wenige verstehen, wie diese Systeme überhaupt Zugang erlangt haben.
In den meisten Umgebungen erhalten KI-Agenten keine direkten Berechtigungen.
Sie erben Berechtigungen über bestehende Identitäts-, Anwendungs- und Zugriffsverwaltungssysteme.
Das Verständnis vererbter Zugriffsrechte wird zu einer der wichtigsten Voraussetzungen für KI-Sicherheit, KI-Identitätsverwaltungund AI Access Governance.
Wie KI-Agenten Berechtigungen erben: Wichtigste Erkenntnisse
- Die meisten KI-Agenten erhalten Berechtigungen nicht direkt. Sie erben Zugriffsrechte über Anwendungen, APIs, Dienstkonten, Maschinenidentitäten und Benutzerrollen.
- Vererbte Berechtigungen bergen oft versteckte Risiken. KI-Systeme könnten Zugriffe erlangen, die weit über ihren eigentlichen Geschäftszweck hinausgehen.
- Die Transparenz des KI-Zugriffs bleibt eine Herausforderung. Viele Organisationen können nicht klar erklären, warum KI-Systeme Zugriff auf bestimmte Anwendungen, Systeme oder Daten haben.
- Übermäßiger KI-Zugriff wird häufig vererbt. Übermäßig berechtigte Anwendungen, Dienstkonten und APIs können das Risiko für KI-Systeme erhöhen.
- Eigentum und Verantwortlichkeit sind wichtig. Organisationen benötigen Einblick in die Eigentümer von KI-Identitäten und die mit diesen Identitäten verbundenen Berechtigungen.
- Eine effektive KI-Governance erfordert das Verständnis der Zugriffswege. Organisationen können das KI-Risiko erst dann reduzieren, wenn sie verstehen, wie die KI Zugriff darauf erlangt hat.
Warum KI-Berechtigungen anders funktionieren
Traditionelle Benutzer erhalten Berechtigungen üblicherweise über etablierte Identitätsprozesse.
Die Mitarbeiter erhalten Zugriff basierend auf Rollen.
Anwendungen erhalten Berechtigungen auf Basis der Geschäftsanforderungen.
KI-Agenten eine neue Herausforderung einführen.
Viele KI-Systeme arbeiten mit Berechtigungen, die sie von anderen Systemen geerbt haben.
Das Ergebnis ist eine Kette ererbter Zugriffsrechte, die Organisationen oft nur schwer verstehen.
Ohne Transparenz hinsichtlich dieser Beziehungen könnten KI-Systeme ohne angemessene Aufsicht Zugriff auf sensible Daten, geschäftskritische Anwendungen und privilegierte Arbeitsabläufe erhalten.
Die verborgene Realität des KI-Zugriffs
Die meisten KI-Implementierungen basieren auf bestehender Infrastruktur.
Anstatt völlig neue Zugriffsmodelle zu entwickeln, verbinden Organisationen KI-Systeme mit:
- SaaS-Anwendungen
- Unternehmenssoftware
- APIs
- Servicekonten
- Cloud-Umgebungen
- Kollaborationsplattformen
- Datenrepositorien
Das KI-System erbt dann alle Zugriffsrechte, die diese Systeme bereits besitzen.
Dies stellt eine der größten blinden Flecken in der modernen KI-Governance dar.
Fünf Wege, wie KI-Agenten Berechtigungen erben
1. Anwendungen
Viele KI-Copiloten arbeiten innerhalb von Anwendungen, die bereits über weitreichende Berechtigungen verfügen.
Beispiele hierfür sind:
- Microsoft 365
- Salesforce
- ServiceNow
- Google Workspace
- Locker
Wenn eine Anwendung auf Daten zugreifen kann, erben die in dieser Anwendung eingebetteten KI-Funktionen oft Teile dieses Zugriffs.
Risiko
Organisationen verstehen zwar die Anwendung, versäumen es aber, sie zu bewerten. KI-Identität innerhalb dieses Rahmens arbeiten.
2. APIs
APIs dienen zunehmend als Bindeglied für KI-Systeme.
KI-Agenten interagieren häufig über APIs mit Unternehmenssystemen, die bereits über folgende Berechtigungen verfügen:
- Datensätze abrufen
- Informationen aktualisieren
- Aktionen ausführen
- Trigger-Workflows
Risiko
Der KI-Agent erbt effektiv alle Berechtigungen, die die API ausüben kann.
3. Servicekonten
Viele KI-gestützte Arbeitsabläufe laufen über Servicekonten.
Diese Accounts verfügen oft über weitreichende Berechtigungen, da sie die Automatisierung über mehrere Systeme hinweg unterstützen.
Risiko
Ein übermäßig berechtigtes Dienstkonto kann unbeabsichtigt folgende Berechtigungen gewähren: übermäßiger Zugriff auf KI-Agenten die davon abhängen.
Dies ist einer der Gründe, warum Servicekonten nach wie vor eine große Quelle für Identitätsrisiken darstellen.
4. Vorhandene Benutzerrollen
KI-Copiloten agieren häufig im Auftrag der Nutzer.
In diesen Umgebungen erbt das KI-System die Berechtigungen des aufrufenden Benutzers.
Risiko
Die KI kann Zugriff auf alles erhalten, worauf der Benutzer Zugriff hat, einschließlich sensibler Informationen, die die KI eigentlich nicht benötigt.
5. Maschinenidentitäten
KI-Systeme stützen sich zunehmend auf Folgendes:
- Zertifikate
- Token
- Geheimnisse
- Workload-Identitäten
- Cloud-Zugangsdaten
Diese Maschinenidentitäten ermöglichen Authentifizierung und Konnektivität.
Risiko
KI-Systeme können Berechtigungen über Maschinenidentitäten erben, deren Erfassung und Verwaltung für Organisationen bereits jetzt eine Herausforderung darstellt.
Erfahren Sie mehr über Maschinenidentitätssicherheit und seine wachsende Rolle in KI-Umgebungen.
Warum der geerbte KI-Zugriff Risiken birgt
Die meisten Diskussionen über KI-Risiken konzentrieren sich auf Modelle.
Die größere operative Herausforderung besteht oft im Zugang.
Wenn Organisationen nicht erklären können, warum ein KI-System Zugriff hat, können sie diesen Zugriff nicht effektiv kontrollieren.
Zu den häufigsten Risiken gehören:
Übermäßige Berechtigungen
KI-Systeme erhalten mehr Zugriffsrechte als nötig.
Offenlegung sensibler Daten
KI-Agenten erhalten Zugriff auf regulierte, vertrauliche oder geschäftskritische Informationen.
Eigentumslücken
Organisationen können nicht feststellen, wer für Entscheidungen zum Zugriff auf KI verantwortlich ist.
Versteckte Zugriffspfade
Berechtigungen stammen aus Systemen, die Sicherheitsteams möglicherweise nicht mit KI in Verbindung bringen.
Compliance-Risiken
Organisationen haben Schwierigkeiten, gute Unternehmensführung und Rechenschaftspflicht nachzuweisen.
Die KI-Berechtigungskette
Eines der wichtigsten Konzepte, das Organisationen übersehen, ist die KI-Berechtigungskette.
Ein typischer KI-Zugriffspfad könnte folgendermaßen aussehen:
Benutzer → Anwendung → API → Dienstkonto → Datenrepository
Der KI-Agent kann irgendwo innerhalb dieser Kette operieren.
Das Verständnis der Wertschöpfungskette hilft Organisationen bei der Beantwortung folgender Fragen:
- Woher der Zugriff stammt
- Warum es Zugang gibt
- Welche Berechtigungen werden vererbt?
- Welche Systeme erzeugen Risiken?
- Welche sensiblen Daten werden offengelegt?
Die Steuerung von KI erfordert Transparenz entlang der gesamten Wertschöpfungskette.
Warum traditionelle Zugriffsbewertungen das KI-Risiko übersehen
Traditionelle Zugangsprüfungen konzentrieren sich auf:
- Menschliche Nutzer
- Anwendungen
- Servicekonten
Die meisten waren nicht darauf ausgelegt, KI-gestützte Identitäten zu bewerten.
Daher fällt es Organisationen oft schwer, folgende Fragen zu beantworten:
- Welche KI-Agenten gibt es?
- Welche Berechtigungen gehören KI-Systemen?
- Welche KI-Identitäten haben Zugriff auf sensible Daten?
- Welche KI-Identitäten haben übermäßige Zugriffsrechte?
- Wem gehören die KI-Berechtigungen?
Hier werden KI-Identitäts-Governance und KI-Zugriffs-Governance von entscheidender Bedeutung.
Wie KI-Zugriffssteuerung hilft
AI Access Governance hilft Organisationen dabei, Folgendes zu verstehen:
- Worauf kann KI zugreifen?
- Warum es Zugang gibt
- Wie Berechtigungen vererbt wurden
- Welche KI-Systeme bergen Risiken?
- Welche KI-Identitäten greifen auf sensible Daten zu?
Anstatt sich ausschließlich auf KI-Modelle zu konzentrieren, erhalten Organisationen Einblick in die Berechtigungen und Zugriffswege hinter KI.
Erfahren Sie mehr über AI Access Governance.
Wie BigID die Verwaltung des vererbten KI-Zugriffs unterstützt
BigID hilft Organisationen dabei, KI-Identitäten zu entdecken, vererbte Berechtigungen zu verstehen, übermäßigen Zugriff zu erkennen und KI-Aktivitäten mit der Offenlegung sensibler Daten in Verbindung zu bringen.
Mit BigID können Organisationen:
- Entdecken Sie KI-Agenten und Copiloten
- Vererbte KI-Berechtigungen verstehen
- KI-Zugriffswege aufdecken
- Identifizieren Sie übermäßigen KI-Zugriff
- KI-Identitäten mit sensiblen Daten verknüpfen
- Priorisierung des KI-Zugriffsrisikos
- Stärkung von Programmen zur KI-Identitätsverwaltung
BigID verknüpft KI-Identitäten, Berechtigungen, Aktivitäten und sensible Daten, sodass Unternehmen die durch KI verursachten Risiken reduzieren können, bevor sie zu einem Risiko werden.
Verstehen, worauf KI zugreifen kann und warum
KI-Systeme erhalten Berechtigungen selten direkt. Sie erben Zugriffsrechte über Anwendungen, APIs, Dienstkonten, Maschinenidentitäten und Benutzerrollen. BigID unterstützt Unternehmen dabei, die Zugriffspfade ihrer KI-Systeme offenzulegen, übermäßige Berechtigungen zu identifizieren und die durch KI bedingten Risiken zu reduzieren.
Häufig gestellte Fragen zu KI-Berechtigungen
Wie erben KI-Agenten Berechtigungen?
KI-Agenten erben Berechtigungen üblicherweise über Anwendungen, APIs, Dienstkonten, Maschinenidentitäten und Benutzerrollen.
Warum birgt der vererbte Zugriff auf KI Risiken?
Vererbte Zugriffsrechte können KI-Systemen mehr Berechtigungen einräumen als nötig, wodurch die Gefährdung durch sensible Daten und geschäftskritische Systeme steigt.
Was versteht man unter übermäßigem KI-Zugriff?
Übermäßiger KI-Zugriff liegt vor, wenn KI-Systeme über Berechtigungen verfügen, die über das zur Erfüllung ihrer beabsichtigten Funktion Notwendige hinausgehen.
Wie können Organisationen vererbte KI-Berechtigungen identifizieren?
Organisationen benötigen Transparenz hinsichtlich KI-Identitäten, Zugriffspfaden, Berechtigungen, Eigentumsverhältnissen und der Offenlegung sensibler Daten.
Was ist KI-Zugriffsverwaltung?
AI Access Governance hilft Organisationen dabei, die mit KI-Berechtigungen und Zugriffspfaden verbundenen Risiken zu verstehen, zu steuern und zu reduzieren.
Worin besteht der Unterschied zwischen KI-Identitätsverwaltung und KI-Zugriffsverwaltung?
Die KI-Identitätsgovernance konzentriert sich auf die Ermittlung und Verwaltung von KI-Identitäten. Die KI-Zugriffsgovernance konzentriert sich darauf, worauf diese Identitäten zugreifen können und wie Berechtigungen Risiken bergen.
Autor
