Нечеловеческая идентичность (NHI)
EN · Non-Human Identity (NHI)Нечеловеческая идентичность (NHI) — учётные записи сервисов, ботов и агентов; требуют собственного управления правами и ротации секретов.Определение на английскомMachine and service credentials that authenticate non-human actors—AI agents, service accounts, API keys, OAuth tokens, workload identities—to systems and other services. Non-human identities now vastly outnumber human ones in most enterprises (Gartner estimates 45:1 by 2026), and the ratio is accelerating with AI agent deployments where each agent may hold multiple tokens across CRM, email, calendar, storage, and internal APIs. NHI security is a fast-growing category because agent credentials are typically over-privileged, rarely rotated, hard to audit, and inherit blast radius from every tool they touch—making them a prime target for both direct compromise and Prompt Injection-driven abuse. The emerging fix is to give each agent its own Agent Identity and have it act through Delegated Authority (On-Behalf-Of) (OAuth OAuth Token Exchange (RFC 8693)) rather than a borrowed user token, with autonomous agents authenticated by Workload Identity (SPIFFE/SPIRE).
Автор: Max Zeshut
Основатель Agentmelt
Пример
ИИ-агент поддержки развёрнут с одним токеном бота Slack, интеграционным пользователем Salesforce, API-ключом Zendesk и ключом OpenAI/Anthropic — четыре нечеловеческие идентичности. В зрелой NHI-программе каждая: ограничена только действиями, которые агент реально выполняет (минимальные права), ротируется по расписанию, отслеживается на аномалии (всплеск вызовов `users.list` в 3 ночи) и отзывается одним действием при компрометации. В незрелой — один утёкший ключ даёт злоумышленнику постоянный неконтролируемый доступ к четырём системам.
Часто задаваемые вопросы
- Чем NHI отличается от классического IAM?
- Классический IAM предполагает человека на другом конце — ротация паролей, MFA, SSO, оффбординг по событиям HR. У нечеловеческих идентичностей ничего этого нет: ни руководителя, ни оффбординга, ни естественного истечения. Они накапливаются годами, выпадают из инвентаря и делят учётные данные между окружениями. Инструменты NHI-безопасности (Astrix, Entro, Oasis, Aembit, Clutch) сосредоточены на обнаружении, ротации секретов, минимальных правах и поведенческом мониторинге именно для сервисных аккаунтов и токенов.
- Как NHI связаны с ИИ-агентами?
- Каждый действующий ИИ-агент держит одну или несколько нечеловеческих идентичностей — токены для вызова CRM, отправки писем, выполнения кода, доступа к файлам. Поскольку агенты часто связывают много инструментов, радиус поражения среднего агента — объединение всех его NHI-областей. В сочетании с риском промпт-инъекций это делает ограничение и мониторинг NHI несущими контролями продакшен-развёртываний агентов.