Okta introduceert Agent Discovery in het eigen Identity Security Posture Management (ISPM)-platform. Met de update hoopt het bedrijf schadow AI tegen te gaan. De functie is eerst beschikbaar in de VS en zal in het tweede kwartaal van 2026 worden uitgerold in EMEA. Het doel is om organisaties inzicht te geven in ongeautoriseerde AI-agents die toegang hebben tot hun gegevens.
Agents blijven soms onopgemerkt, wat gezien hun nieuwe aard niet verwonderlijk is. Onderzoek toont aan dat 90 procent van het AI-gebruik in bedrijven vindt plaats via ongeautoriseerde persoonlijke accounts. Organisaties worden gemiddeld geconfronteerd met ruim 200 shadow AI-incidenten per maand. Het wijst erop dat heimelijk AI-gebruik gemeengoed is geworden. De filosofie van Okta is, net als die van andere identity security-spelers, dat agents een eigen identiteit nodig hebben. Toch hebben organisaties misschien nog niet hetzelfde standpunt ingenomen.
Agent Discovery werkt door OAuth-verbindingen te detecteren die AI-tools tot stand brengen met bedrijfsapplicaties. Het systeem identificeert welke niet-goedgekeurde platforms werknemers gebruiken om agents te bouwen en brengt de relaties in kaart tussen de AI-tool en de databronnen waartoe deze toegang heeft. Okta’s ISPM onthult vervolgens de specifieke toegekende machtigingen, waardoor apps die de beveiligingscontroles omzeilen, aan het licht komen.
Shadow IT evolueert naar shadow AI
Harish Peri, SVP en GM van AI Security bij Okta, omschrijft de uitdaging in duidelijke bewoordingen. “AI-agenten werken niet op het netwerk, het eindpunt of het apparaatniveau, maar bevinden zich in de applicatielaag en gebruiken meerdere niet-menselijke identiteiten met uitgebreide, langdurige privileges”, aldus Peri.
De omvang van het probleem is aanzienlijk, zoals uit eerder onderzoek is gebleken. Het gebruik van shadow GenAI is vorig jaar bijvoorbeeld met 68 procent gestegen, waarbij 47 procent van de gebruikers van GenAI vertrouwt op onbeheerde persoonlijke accounts. Deze ongeautoriseerde tools gebruiken OAuth-toestemmingen om toegang te krijgen tot gegevens buiten de beveiligingsperimeters.
Door de democratisering van het creëren van agents kan elke werknemer een digitale medewerker creëren. Het resulterende gebrek aan IT-toezicht betekent dat bedrijven geen duidelijk beeld hebben van hoe hun personeel ongecontroleerde tools gebruikt. En uiteindelijk wijst elk ‘schaduwgebruik’ van IT-middelen op een mogelijke tekortkoming als het gaat om het aanbieden van de tools die het personeel nodig heeft. Het feit dat personeel ‘schadow’-applicaties gebruikt, zou organisaties moeten dwingen om uit te zoeken welk deel van de softwarestack ze niet integreren. Voorlopig is basisinzicht in het probleem nodig, wat heeft geleid tot de nieuwste toevoeging van Okta.
Uitbreiding naar beheerde platforms
Ergens tussen februari en mei is Okta van plan om de detectiemogelijkheden van ISPM uit te breiden naar grote AI-platforms voor bedrijven. Microsoft Copilot Studio en Salesforce Agentforce zullen tot de eerste zakelijke systemen behoren waar ISPM het eigendom van agents, machtigingen en risicoconcentraties kan identificeren. Beveiligingsteams kunnen vervolgens goedgekeurde maar risicovolle identiteiten omzetten naar beheerde accounts.
Het platform biedt een uniform overzicht van niet-menselijke identiteiten in SaaS, identiteitsproviders, cloudinfrastructuur en on-premises Active Directory. Het maakt gebruik van meer dan 25 geprioriteerde risicodetecties om hiaten zoals overprivilegieerde of niet-geroteerde inloggegevens aan het licht te brengen. Organisaties kunnen vervolgens legitieme agents registreren in Universal Directory voor volledig levenscyclusbeheer.