AI agenti i Zero Trust: Microsoft Cyber Pulse upozorenje

Uvod: zašto je ovo važno sada

AI agenti više nisu eksperimentalni — ugrađeni su u svakodnevne tokove rada u prodaji, finansijama, bezbednosnim operacijama i korisničkoj podršci. Microsoft-ov najnoviji izveštaj Cyber Pulse ukazuje na kritičan jaz: mnoge organizacije usvajaju agente brže nego što mogu da ih popišu, upravljaju i obezbede. Za IT i security timove, neposredni izazov je vidljivost — jer ne možete zaštititi (niti auditovati) ono što ne možete da vidite.

Šta je novo / ključni nalazi iz izveštaja

AI agenti su postali mainstream — i nisu ograničeni na developere

• 80%+ Fortune 500 organizacija koristi aktivne AI agente, često napravljene uz low-code/no-code alate.
• Usvajanje obuhvata industrije (posebno software/technology, manufacturing, financial services i retail) i globalne regione.
• Agenti sve češće rade u autonomnim režimima, preduzimajući akcije uz minimalno ljudsko učešće — što menja profil rizika u odnosu na tradicionalne aplikacije.

Novi „slepi ugao“: „shadow AI“

Microsoft navodi da mnogi lideri ne mogu da odgovore ni na osnovna pitanja:

• Koliko agenata postoji u okviru cele organizacije?
• Ko je njihov vlasnik?
• Kojim podacima i sistemima pristupaju?
• Koji su odobreni (sanctioned), a koji neodobreni (unsanctioned)?

Ovo nije teorijski problem. Izveštaj navodi da je 29% zaposlenih koristilo neodobrene AI agente za poslovne zadatke — uvodeći nove puteve za izlaganje podataka, kršenja politika i zloupotrebu nasleđenih dozvola.

Zero Trust principi — sada primenjeni na non-human korisnike u velikom obimu

Izveštaj naglašava doslednu primenu postojećih Zero Trust principa na agente:

• Least privilege access (agenti dobijaju samo ono što im je potrebno)
• Explicit verification (validacija identiteta i konteksta za zahteve za pristup)
• Assume compromise (dizajn za scenario kompromitovanja i brzo obuzdavanje)

Observability je prvi korak: pet obaveznih sposobnosti

Microsoft navodi pet ključnih sposobnosti za izgradnju stvarnog observability i governance okvira za AI agente:

1. Registry: centralizovani inventar/„source of truth“ za sve agente (uključujući third-party i shadow)
2. Access control: kontrole zasnovane na identitetu i politikama, uz dosledno sprovođenje least privilege pristupa
3. Visualization: dashboard-i/telemetrija za razumevanje ponašanja, zavisnosti i rizika
4. Interoperability: konzistentan governance kroz Microsoft, open-source i third-party ekosisteme
5. Security: zaštite za rano otkrivanje zloupotrebe, drift-a i kompromitovanja

Uticaj na IT administratore i krajnje korisnike

• Identitet postaje kontrolna ravan za agente: tretirajte agente kao zaposlene ili service accounts, uz upravljan pristup i odgovornost.
• Pritisak usklađenosti i audita raste, posebno u regulisanim sektorima (finansije, zdravstvo, javni sektor).
• Krajnji korisnici će nastaviti da usvajaju alate ako odobrene opcije nisu dostupne — zbog čega su enablement i guardrails zajedno ključni.

Preporučene aktivnosti / sledeći koraci

• Odmah uspostavite pristup za agent inventory/registry (krenite od odobrenih platformi i proširite na otkrivanje neodobrene upotrebe).
• Definišite ownership i lifecycle (kreiranje, odobravanje, change control, povlačenje/retirement) za agente — governance nije isto što i security.
• Sprovedite least privilege za identitete agenata (pregledajte access paths, secrets, connector-e i data scope).
• Implementirajte monitoring i telemetry radi detekcije anomalnog ponašanja i access drift-a.
• Uskladite cross-functional tim (IT, security, legal, compliance, HR, business owners) da tretira AI rizik kao enterprise risk.