Το Descope Agentic Identity Hub 3.0 στοχεύει στη σκιώδη ΤΝ στις επιχειρήσεις

Το Descope επεκτείνει την πλατφόρμα διαχείρισης ταυτοτήτων του, ώστε να ελέγχει τους πράκτορες ΤΝ και τους διακομιστές Model Context Protocol (MCP) που χρησιμοποιούν οι εργαζόμενοι μέσα σε έναν οργανισμό — έναν τομέα όπου η υιοθέτηση συχνά προχωρά ταχύτερα απ’ όσο μπορούν οι ομάδες ασφαλείας να καταγράψουν ή να ελέγξουν τη χρήση τους.

Το Agentic Identity Hub 3.0, που έχει προγραμματιστεί να κυκλοφορήσει στις 15 Οκτωβρίου, προσθέτει μια πύλη ένταξης πρακτόρων, εγγενείς ενσωματώσεις με πύλες MCP, ισχυρότερες επιλογές για την πιστοποίηση της ταυτότητας φόρτων εργασίας και έκδοση ID-JAG για πράκτορες που αποκτούν πρόσβαση σε εσωτερικά εργαλεία. Στόχος είναι κάθε πράκτορας να έχει τεκμηριωμένο σκοπό, υπεύθυνο ιδιοκτήτη, δικαιώματα περιορισμένης εμβέλειας και ίχνος ελέγχου, χωρίς οι εταιρείες να χρειάζεται να αντικαταστήσουν τα συστήματα ταυτοτήτων που χρησιμοποιούν ήδη οι εργαζόμενοί τους.

Η νέα έκδοση επεκτείνει το πεδίο δράσης του Descope πέρα από την προστασία πρακτόρων που εξυπηρετούν πελάτες και διακομιστών MCP, αντιμετωπίζοντας το δυσκολότερο πρόβλημα της «σκιώδους ΤΝ» στις επιχειρήσεις. Οι εργαζόμενοι μπορούν να συνδέουν τα Claude, Cursor, ChatGPT ή έναν εσωτερικά αναπτυγμένο πράκτορα με επιχειρηματικά συστήματα, ορισμένες φορές χρησιμοποιώντας στατικά κλειδιά API ή προσωπικούς λογαριασμούς, τους οποίους οι ομάδες ασφαλείας δεν μπορούν να ανακαλέσουν κεντρικά. Το Descope επικαλέστηκε την Έκθεση διερεύνησης παραβιάσεων δεδομένων της Verizon για το 2026, αναφέροντας ότι το 45% των εργαζομένων χρησιμοποιεί τακτικά ΤΝ σε εταιρικές συσκευές και ότι το 67% αυτής της δραστηριότητας πραγματοποιείται μέσω προσωπικών, μη εταιρικών λογαριασμών.

Απόδοση ιδιοκτήτη και ταυτότητας στους εσωτερικούς πράκτορες

Η νέα πύλη ένταξης πρακτόρων έχει σχεδιαστεί ώστε η ανάπτυξή τους να γίνεται μέσω μιας ελεγχόμενης διαδικασίας υποβολής αιτημάτων. Ο εργαζόμενος προσδιορίζει τον σκοπό του πράκτορα, καθώς και τις εφαρμογές, τα API, τις πηγές δεδομένων ή τους διακομιστές MCP που χρειάζεται. Οι αρμόδιοι αξιολογητές μπορούν να εγκρίνουν το αίτημα πριν παραχωρηθεί η πρόσβαση, δημιουργώντας ένα μητρώο που καταγράφει ποιος ζήτησε τον πράκτορα και ποιος εξακολουθεί να είναι υπεύθυνος γι’ αυτόν.

Αυτό αντιμετωπίζει μια βασική αδυναμία των συμβατικών συστημάτων διαχείρισης ταυτότητας και πρόσβασης. Οι ανθρώπινοι λογαριασμοί συνήθως συνδέονται με καταχώριση εργαζομένου, ρόλο, προϊστάμενο και διαδικασία αποχώρησης. Οι πράκτορες αντιμετωπίζονται συχνά περισσότερο ως σενάρια ή λογαριασμοί υπηρεσίας, παρότι μπορούν να επιλέγουν δυναμικά εργαλεία και να ενεργούν σε πολλά συστήματα. Γι’ αυτό, η ανάθεση ευθύνης και η εξουσιοδότηση κατά τον χρόνο εκτέλεσης είναι εξίσου σημαντικές με την αρχική σύνδεση. Αυτό συνάδει επίσης με ένα σημείο που διατυπώθηκε στην πρόσφατη συζήτηση του Securities.io με την Q2 για την ταυτότητα των πρακτόρων: ένας πράκτορας πρέπει να έχει διακριτό ρόλο με περιορισμένα δικαιώματα, αντί να κληρονομεί όλες τις εξουσίες του κατόχου ενός λογαριασμού.

Το Descope αναφέρει ότι το υφιστάμενο Agentic Identity Hub διαχειρίζεται ήδη την πιστοποίηση ταυτότητας και τον έλεγχο πρόσβασης για περισσότερες από ένα εκατομμύριο ταυτότητες πρακτόρων και εκατοντάδες διακομιστές MCP. Στους πελάτες που κατονομάζονται στην ανακοίνωση περιλαμβάνονται οι You.com, WisdomAI, Cequence Security, Token Security και Daylight Security.

Πώς λειτουργεί το επίπεδο ελέγχου ταυτότητας

Η τεχνική τεκμηρίωση της εταιρείας διακρίνει δύο έννοιες που συχνά συγχέονται στις πλατφόρμες πρακτόρων. Ένας Πόρος είναι ένα API ή ένας διακομιστής MCP στον οποίο θέλει να αποκτήσει πρόσβαση ένας πράκτορας· προσδιορίζεται από ένα κοινό-στόχο και προστατεύεται με πεδία δικαιωμάτων. Μια Σύνδεση είναι μια καταχώριση σε ασφαλή αποθήκη, η οποία περιέχει ένα διακριτικό OAuth ή ένα κλειδί API που χρειάζεται ένα επόμενο εργαλείο.

Στην προτεινόμενη αρχιτεκτονική του Descope, ο πράκτορας λαμβάνει ένα βραχύβιο διακριτικό με δικαιώματα περιορισμένα σε έναν Πόρο. Στη συνέχεια, ο προστατευμένος διακομιστής ή η πύλη ανακτά κατά τον χρόνο εκτέλεσης από την ασφαλή αποθήκη Συνδέσεων όποιο διαπιστευτήριο απαιτείται για επόμενο στάδιο. Ο πράκτορας δεν έχει στην κατοχή του το μακρόβιο μυστικό τρίτου μέρους. Κατά την έκδοση ή την ανταλλαγή διακριτικών, οι πολιτικές μπορούν να αξιολογούν τον πράκτορα, τον χρήστη που ξεκίνησε τη διαδικασία, τον μισθωτή, το εργαλείο που ζητήθηκε και το πλαίσιο εκτέλεσης, ενώ η πλατφόρμα καταγράφει την αλληλουχία των ενεργειών για σκοπούς ελέγχου.

Το μοντέλο αυτό έχει σημασία, επειδή το MCP τυποποιεί τον τρόπο με τον οποίο οι πράκτορες εντοπίζουν και καλούν εργαλεία, αλλά δεν καταργεί την ανάγκη για εταιρική εξουσιοδότηση. Το Agentic Identity Hub 3.0 μπορεί να λειτουργήσει ως πάροχος ταυτότητας για μια υφιστάμενη πύλη ή να συνεργαστεί με την πύλη πρακτόρων της Descope, η οποία διατίθεται σε πρώιμη πρόσβαση. Η νέα έκδοση κατονομάζει το agentgateway, ένα έργο ανοιχτού κώδικα του Agentic AI Foundation, ως εγγενή ενσωμάτωση. Η τεκμηρίωση της πύλης του Descope περιγράφει επίσης τη συμβατότητα με προϊόντα όπως τα Kong AI Gateway, Azure AI Gateway, Portkey και Golf.dev.

Η τοποθέτηση της επιβολής πολιτικών στην πύλη δημιουργεί ένα ενιαίο σημείο για την πιστοποίηση της ταυτότητας των πρακτόρων, την εξουσιοδότηση κλήσεων εργαλείων και την καταγραφή συμβάντων σε εσωτερικούς και τρίτους διακομιστές MCP. Μπορεί επίσης να καταστεί κρίσιμο σημείο επιβολής: η διαθεσιμότητα, η ποιότητα των πολιτικών και ο ακριβής ορισμός της εμβέλειας των δικαιωμάτων καθορίζουν αν θα μειώσει τον κίνδυνο ή απλώς θα τον συγκεντρώσει.

Απομάκρυνση των πρακτόρων από τα κοινόχρηστα μυστικά

Το Descope προσθέτει επίσης διάφορους τρόπους πιστοποίησης της ταυτότητας πρακτόρων και φόρτων εργασίας χωρίς στατικά μυστικά πελάτη. Σε αυτούς περιλαμβάνονται βεβαιώσεις JWT με ιδιωτικό κλειδί, αμοιβαίο TLS, ταυτότητες φόρτων εργασίας SPIFFE και ομοσπονδοποίηση ταυτότητας φόρτου εργασίας.

Με την ομοσπονδοποίηση ταυτότητας φόρτου εργασίας, ένας πράκτορας που εκτελείται σε AWS, Google Cloud, Microsoft Azure, Kubernetes ή GitHub Actions μπορεί να παρουσιάσει την ταυτότητα που έχει ήδη εκδώσει το αντίστοιχο περιβάλλον. Το Descope επαληθεύει το υπογεγραμμένο διακριτικό, δημιουργεί εγγραφή ταυτότητας για τον φόρτο εργασίας και επιστρέφει ένα διακριτικό πρόσβασης με περιορισμένα δικαιώματα. Διαφορετικές εγκαταστάσεις μπορούν να παραμένουν διακριτές ως προς την ταυτότητά τους, ακόμη κι όταν μοιράζονται την ίδια διαμόρφωση πελάτη, επιτρέποντας την ανάκληση μίας παρουσίας χωρίς να απενεργοποιούνται όλα τα αντίγραφα του πράκτορα.

Η έκδοση του ID-JAG αποσκοπεί στην επέκταση ενός παρόμοιου μοντέλου στους διακομιστές MCP. Ένας εσωτερικός πράκτορας ταυτοποιείται μέσω του υφιστάμενου παρόχου ταυτότητας του οργανισμού και αποκτά πρόσβαση ανάλογη με εκείνη που απαιτείται για κάθε διακομιστή. Οι πολιτικές αξιολογούνται με βάση τα αιτήματα αντί να ενσωματώνονται σε διαπιστευτήρια μακράς διάρκειας, οπότε η πρόσβαση μπορεί να περιορίζεται ή να ανακαλείται κεντρικά. Η Descope περιγράφει αυτή την εμπειρία ως κάτι αντίστοιχο με την ενιαία σύνδεση (SSO) για πράκτορες, ωστόσο η αποτελεσματικότητά της θα εξαρτηθεί από την υποστήριξη των σχετικών προτύπων από τις πύλες και τους πελάτες, καθώς και από το αν οι διαχειριστές ορίζουν πεδία πρόσβασης που ανταποκρίνονται στα πραγματικά όρια της επιχείρησης.

Η μετάβαση της Descope από την ταυτότητα πελατών στην ασφάλεια πρακτόρων

Η Descope ιδρύθηκε το 2022 από μια ομάδα που είχε προηγουμένως δημιουργήσει την εταιρεία ενορχήστρωσης ασφάλειας Demisto, την οποία η Palo Alto Networks (PANW ) εξαγόρασε το 2019. Η εταιρεία βγήκε από τη μυστικότητα το 2023, έχοντας συγκεντρώσει 53 εκατομμύρια δολάρια σε χρηματοδότηση αρχικού σταδίου, και αναφέρει ότι επέκτεινε αυτόν τον γύρο χρηματοδότησης, φτάνοντας τα 88 εκατομμύρια δολάρια συνολικά το 2025.

Αρχικά, η εταιρεία επικεντρωνόταν στη διαχείριση ταυτότητας και πρόσβασης πελατών, με λειτουργίες όπως η πιστοποίηση χωρίς κωδικό πρόσβασης, οι οπτικές ροές εργασίας ταυτότητας, τα SDK και τα API. Το Agentic Identity Hub επεκτείνει αυτή την υποδομή ταυτότητας σε μη ανθρώπινους φορείς. Η κοινή βάση έχει στρατηγική σημασία: οι ταυτότητες εργαζομένων και πρακτόρων, η αξιολόγηση πολιτικών, η μεσολάβηση διαπιστευτηρίων και τα αρχεία ελέγχου μπορούν να τελούν υπό ενιαία διαχείριση, χωρίς να χρειάζεται να δημιουργηθεί ξεχωριστό απομονωμένο σύστημα ταυτότητας για κάθε προϊόν ΤΝ.

Για τους υποψήφιους πελάτες, το πρακτικό ερώτημα είναι αν η Descope μπορεί να κάνει τη διακυβέρνηση των πρακτόρων αρκετά εύκολη, ώστε οι ομάδες ανάπτυξης να την επιλέγουν αντί να την παρακάμπτουν. Η διαδικασία ένταξης πρέπει να παραμένει ταχύτερη από τον ανεπίσημο διαμοιρασμό διαπιστευτηρίων, ενώ οι ενσωματώσεις με πύλες πρέπει να καλύπτουν τους πελάτες και τους διακομιστές που πράγματι υιοθετούν οι εργαζόμενοι. Οι ομάδες ασφάλειας θα πρέπει επίσης να διακρίνουν αν ένας πράκτορας έχει ταυτοποιηθεί από το αν οι ενέργειές του είναι ασφαλείς: η ταυτότητα οριοθετεί και προσδιορίζει την πρόσβαση, αλλά δεν αποτρέπει την έγχυση προτροπών, την εσφαλμένη επιλογή εργαλείων ή επιβλαβείς ενέργειες που παραμένουν εντός εγκεκριμένων ορίων πρόσβασης.

Επομένως, το Agentic Identity Hub 3.0 γίνεται καλύτερα κατανοητό ως μια προσπάθεια καθιέρωσης της περιμέτρου ταυτότητας για την εταιρική ΤΝ. Παρέχει στους οργανισμούς έναν τρόπο να απαντούν ποιος είναι υπεύθυνος για έναν πράκτορα, ποιον χρήστη ή φόρτο εργασίας εκπροσωπεί, σε τι μπορεί να έχει πρόσβαση και πώς μπορεί να ανακληθεί η πρόσβασή του. Καθώς οι πράκτορες περνούν από τον πειραματισμό στις ροές εργασίας παραγωγής, αυτά τα ερωτήματα γίνονται μέρος της βασικής υποδομής κυβερνοασφάλειας και όχι ένα προαιρετικό επίπεδο γύρω από το μοντέλο.