تصور کنید در آینده‌ای زندگی می‌کنیم که قلب عملیاتی یک سازمان باید نیروی کاری ترکیبی متشکل از انسان‌ها و ماشین‌ها را مدیریت و هدایت کند. برای تحقق این چشم‌انداز، شرکت Workday در تاریخ ۱۳ اکتبر ۲۰۲۶، در جریان رویداد Workday Rising در لاس‌وگاس، توافقی قطعی برای خرید C1.ai امضا کرد. C1.ai یک پلتفرم حاکمیت هویت عامل‌محور (Agentic Identity Platform) است که ابزارهای مدیریتی آن به‌طور مستقیم در اکوسیستم Workday ادغام خواهد شد.
زمینه و بستر این تصاحب
شرکت Workday پلتفرم C1.ai را به عنوان سیستمی توصیف می‌کند که به تمامی سیستم‌های هسته‌ای مورد نیاز برای اداره یک کسب‌وکار متصل می‌شود. این اتصال شامل ایمیل‌ها، سیستم‌های مدیریت ارتباط با مشتری (CRM)، مخازن کد (Code Repositories)، سیستم‌های مالی و زیرساخت‌های ابری است. هدف نهایی این است که اطمینان حاصل شود هر شخص و هر عامل هوش مصنوعی، دقیقاً در زمان مناسب به دسترسی‌های صحیح دسترسی داشته باشد و به محض اینکه این دسترسی دیگر مورد نیاز نباشد، فوراً لغو شود.
گریت کازمایر، رئیس بخش محصول و فناوری Workday، خاطرنشان کرد که شرکت‌های امروزی بر پایه‌ی نیروی کاری ترکیبی از انسان‌ها و عامل‌های هوش مصنوعی اداره می‌شوند. او تصریح کرد که C1.ai به تأمین امنیت این نیروی کار کمک خواهد کرد؛ این کار از طریق مدیریت و اجرای دقیق این موضوع صورت می‌گیرد که «چه کسی» و «چه چیزی» به کدام اپلیکیشن‌ها و سیستم‌های متصل دسترسی دارد تا در نهایت، جریان کاری آسان‌تر، ایمن‌تر و مطابق با استانداردهای انطباق (Compliance) باشد.
در حال حاضر، اکثر سازمان‌های بزرگ مدیریت دسترسی کارکنان خود را از طریق مجموعه‌ای پراکنده و آشفته از فایل‌های اکسل، بررسی‌های دوره‌ای و تیکت‌های دستی خدمات IT انجام می‌دهند. وقتی یک نیروی جدید استخدام می‌شود یا کارمندی تغییر نقش می‌دهد، آن‌ها اغلب روزهای اول کاری خود را صرف ارسال درخواست برای دسترسی به ابزارهایی مانند Slack، Jira و داشبوردهای مالی می‌کنند. بدتر از آن، این مجوزها اغلب مدت‌ها پس از آنکه نیازشان تمام شده، همچنان فعال می‌مانند. این وضعیت یک شکاف امنیتی عظیم ایجاد می‌کند که به عنوان «دسترسی بیش از حد» (Over-privileged Access) شناخته می‌شود.
Workday قصد دارد با تبدیل هر تغییر شغلی یا خروج از سازمان به یک «محرک» (Trigger) برای به‌روزرسانی فوری دسترسی‌ها، این مشکل را حل کند. از آن‌جآی که هر استخدام جدید، تغییر پست و خروج از سازمان در حال حاضر یک «رویداد» (Event) در سیستم Workday است، این شرکت هدف دارد به لایه‌ی حاکمیت هویت برای انسان‌ها، پول و عامل‌ها تبدیل شود. این رویکرد در راستای تحول کلی در مدیریت نیروی کار است، مشابه آنچه در تصاحب TechWolf توسط SAP برای ارتقای شناسایی مهارت‌ها با هوش مصنوعی مشاهده شد تا سازمان‌ها دید بهتری نسبت به قابلیت‌های عملیاتی خود داشته باشند. با ادغام C1.ai، چرخه حیات مجوزها خودکار می‌شود تا هم انسان‌ها و هم عامل‌های هوش مصنوعی، در لحظه‌ی درست دسترسی بگیرند و در ثانیه‌ای که نقش آن‌ها به پایان می‌رسد، دسترسی‌شان قطع شود.
شکاف حاکمیتی برای عامل‌های هوش مصنوعی
شرکت Workday تمایزی حیاتی بین دو نوع عامل هوش مصنوعی قائل شده است:
- عامل‌های نماینده کارمند (Employee-Proxy Agents): این عامل‌ها به‌جای یک انسان عمل می‌کنند و بنابراین تنها باید به زیرمجموعه‌ای از مجوزهای آن شخص دسترسی داشته باشند.
- عامل‌های خودمختار (Autonomous Agents): این‌ها به‌طور مستقل عمل می‌کنند، دسترسی‌های گسترده‌تری دارند و به دلیل همین استقلال، نیازمند نظارت شدید و سطح‌بالا هستند.
طبق اعلامیه این شرکت، اکثر سازمان‌ها در حال حاضر فاقد دقت و جزئیات لازم (Granularity) برای مدیریت این هویت‌ها هستند. برای مثال، یک عامل بازنشسته یا غیرفعال ممکن است همچنان اعتبارنامه‌های فعال برای سیستم‌های حساس داشته باشد، زیرا هیچ «کلید خاموشی» متمرکزی برای آن‌ها وجود ندارد.
C1.ai بر روی «سیستم ثبت عامل» (Agent System of Record) موجود در Workday خواهد ساخت. این اقدام، پلتفرم را از حالت ثبت ساده‌ی وجود یک عامل، به مرحله‌ی حاکمیت فعال بر آنچه آن عامل می‌تواند در CRM، ایمیل، مخازن کد و زیرساخت‌های ابری لمس کند، ارتقا می‌دهد. به محض اینکه یک عامل ثبت شود، می‌تواند دسترسی‌های لازم را دریافت کند و به محض پایان کار یا نقش خود، آن‌ها را از دست بدهد.
الکس بووی، مدیرعامل و یکی از بنیان‌گذاران C1.ai، استدلال می‌کند که سازمان‌ها نمی‌توانند عصر هوش مصنوعی را با استفاده از «تیکت‌های IT قدیمی» امن کنند. او بیان کرد که آوردن حاکمیت هویت مستقیماً به قلب عملیاتی سازمان، امکان مدیریت دسترسی در لحظه (Real-time) را برای هر انسان و هر عامل فراهم می‌کند.
داده‌های پشت این معامله
فوریت این تصاحب توسط داده‌های تکان‌دهنده صنعت پشتیبانی می‌شود. تحقیقات C1.ai نشان می‌دهد که ۹۵٪ از شرکت‌های بزرگ ایالات متحده در حال حاضر از عامل‌های خودمختار برای وظایف IT یا امنیتی استفاده می‌کنند. با این حال، گزارش State of AI از شرکت Deloitte نشان داد که تنها ۲۱٪ از شرکت‌ها روشی بالغ برای حاکمیت بر این عامل‌ها دارند.
یافته‌های تکمیلی از سومین گزارش سالانه «آینده هویت» C1.ai که در ۱۰ مارس ۲۰۲۶ منتشر شد، این ریسک‌ها را برجسته می‌کند. در این گزارش از ۵۰۸ رهبر IT و امنیتی در سازمان‌های آمریکایی با بیش از ۱۰۰۰ کارمند نظرسنجی شد. یافته‌های کلیدی عبارتند از:
- تکرار نفوذ: ۸۰٪ از سازمان‌ها در سال گذشته حداقل یک مورد نقض امنیتی مرتبط با هویت را تجربه کرده‌اند.
- بردار حملات: ۵۲٪ از شرکت‌ها فیشینگ و مهندسی اجتماعی و ۴۶٪ بدافزارها یا باج‌افزارها را به عنوان عوامل اصلی ذکر کردند.
- نابرابری هویت: ۴۷٪ از سازمان‌ها تعداد هویت‌های غیرانسانی بیشتری نسبت به کاربران انسانی دارند، اما تنها ۲۲٪ گزارش داده‌اند که دید کامل (Visibility) نسبت به این هویت‌ها دارند.
- روند سرمایه‌گذاری: ۹۱٪ از سازمان‌ها هزینه‌های خود را در بخش مدیریت هویت و دسترسی (IAM) افزایش داده‌اند.
- مدل‌های پذیرش: ۳۱٪ از پاسخ‌دهندگان در یک «مدل سازمان عامل‌محور» فعالیت می‌کنند، ۳۲٪ جریان‌های کاری اولیه عامل‌محور را در محیط عملیاتی اجرا می‌کنند و ۲۵٪ در حال آزمایش (Pilot) عامل‌های هوش مصنوعی برای وظایف عملیاتی هستند.
این تصاحب، گفتمان هویت را از «کاربر کیست» به «موجودیت چیست» تغییر می‌دهد. برای یک رهبر کسب‌وکار، این به معنای کاهش زمانی است که کارکنان صرف انتظار برای دریافت مجوزها می‌کنند و همچنین بستن «درهای باز» است که مهاجمان برای جابه‌جایی عرضی (Lateral Movement) در یک شبکه از آن‌ها استفاده می‌کنند.
Workday انتظار دارد این تراکنش در سه ماهه چهارم سال مالی ۲۰۲۷ (که در ۳۱ ژانویه ۲۰۲۷ به پایان می‌رسد)، مشروط به شرایط معمول نهایی شدن قرارداد، بسته شود. در این معامله، BofA Securities و Orrick مشاور Workday و شرکت‌های Qatalyst و Ashurst Perkins Coie مشاور C1.ai هستند.
همان‌طور که سازمان‌ها جریان‌های کاری عامل‌محور خود را گسترش می‌دهند، میدان نبرد بعدی «محیط امنیتی هویت» (Identity Perimeter) خواهد بود. باید دید سایر پلتفرم‌های مدیریت سرمایه انسانی (HCM) چگونه به این حرکت برای تبدیل شدن به لایه‌ی امنیتی مرکزی برای عامل‌های هوش مصنوعی پاسخ می‌دهند.
گام بعدی شما
- اگر مدیر IT هستید، بررسی کنید چه تعداد «هویت غیرانسانی» (مانند API Key یا Service Account) در سازمانتان فعال است که دیگر استفاده نمی‌شوند.
- استراتژی دسترسی‌های خود را از مدل «درخواست-تأیید» به مدل «مبتنی بر نقش و رویداد» تغییر دهید.
- روی ابزارهایی سرمایه‌گذاری کنید که بتوانند دسترسی عامل‌های هوش مصنوعی را به‌صورت موقت (Just-in-Time) صادر کنند.
گفتگو