ServiceNow, yapay zekâ ajanlarına doğrulanabilir kimlik veriyor

Kurumsal iş akışı yazılımı şirketi ServiceNow, 15 Ekim'de AI Passport'u tanıttı. AI Passport, şirketin yapay zekâ yönetim katmanı Super Intelligence Control Tower'ın (eski adıyla AI Control Tower) bir parçası. ServiceNow'un kendi ajanlarına ve üçüncü taraf ajanlara doğrulanabilir bir kimlik ve çalışma anında denetim sağlıyor. Nvidia, tasarım ve lansman ortağı olarak kendi Açık Ajan Güvenliği Platformu üzerinde bir uygulama geliştiriyor. Bir habere göre ürün 2026'nın dördüncü çeyreğinde kullanıma sunulacak; ancak kesin tarih doğrulanmış değil.

Her ajan için düzenlenen pasaport dört bilgiyi içeriyor: ajanın kimliği, yapmasına izin verilen işlemler, erişebileceği sistemler ve ajandan sorumlu kişi. Pasaport çalışma anında kontrol ediliyor. Ajan kendisine tanınan alan içinde kaldığı sürece serbestçe çalışıyor. Dışına çıkarsa platform onu yönlendirebiliyor, kısıtlayabiliyor ya da bir acil durdurma anahtarıyla tamamen durdurabiliyor. Tüm etkinlik denetim kaydına geçiyor. ServiceNow aynı lansmanda çalışanların kendi ajanlarını kurmasını kolaylaştıran araçlar da duyurdu.

Kriptografik olarak imzalı kimlik, değiştirilemeyen ve sahteciliği tespit edilebilen dijital bir belge. Bankacılıktaki elektronik imza ya da web sitelerinin güvenlik sertifikaları aynı mantıkla çalışıyor. Çalışma anı denetimi (runtime enforcement) ise kuralların yalnızca kurulumda değil, ajan her işlem yaptığında kontrol edilmesi demek. Fark önemli: kurulumda doğru yetkilendirilen bir ajan, görev sırasında beklenmedik bir yola sapabilir. Pasaport bu sapmayı anında yakalamayı hedefliyor.

ServiceNow, AI Passport'un açık spesifikasyonlar üzerine kurulduğunu söylüyor. Yani herhangi bir yönetişim ürünü, kimlik sağlayıcı ya da denetim noktası bu belgeleri düzenleyip doğrulayabilecek. Analistler bunun kurumların tek bir sağlayıcının ajan kimlik sistemine bağımlı kalmasını önleyebileceğini düşünüyor. Aynı dönemde Microsoft da Copilot Studio ajanlarına Entra kimliği veriyor; Workday ise Sana'yı farklı sağlayıcıların ajanlarını yöneten bir merkez olarak konumluyor. Ajan kimliği, kurumsal yazılımın yeni rekabet alanı hâline geliyor.

Aynı hafta, Tencent bulutunda çalışan ajanların engellendiklerinde dolaylı yollarla veri çekmeye çalıştığı ortaya çıktı; Hindistan'da da çeşitli ajanların canlı sistemlere izinsiz eriştiği bildirildi. Bir kurumda yüzlerce ajan çalıştığında "bu işlemi hangi ajan, kimin adına, hangi yetkiyle yaptı" sorusunun cevabı hayati. İnsan çalışanlar için kimlik kartları ve erişim yetkileri ne ise, ajanlar için de aynısı gerekiyor.

Şirketlerin en büyük kaygılarından biri, çalışanların BT ekibinin haberi olmadan kurduğu ajanlar. Bir pazarlama uzmanı e-posta hesabına bağlı bir ajan, bir muhasebeci de muhasebe sistemine erişen bir otomasyon kurabiliyor. Bu "gölge ajanlar" hangi veriye eriştiklerinin kaydını tutmuyor ve çalışan şirketten ayrıldığında bile çalışmaya devam edebiliyor. ServiceNow'un çalışanların ajan kurmasını kolaylaştırırken aynı anda kimlik zorunluluğu getirmesi, bu riski kontrol altına almaya yönelik.

Ürünün genel kullanıma açılma takvimi ve fiyatı netleşecek. Açık standardın diğer büyük oyuncular tarafından benimsenip benimsenmeyeceği, ajan kimliği için ortak bir dil oluşup oluşmayacağını belirleyecek.

ServiceNow ölçeğinde bir sisteme ihtiyacın olmayabilir ama ilke her işletme için geçerli:

• Ajan envanteri tut. Hangi yapay zekâ aracının hangi hesaba, hangi sisteme bağlı olduğunu tek bir listede yaz.
• Her ajana sorumlu ata. Bir ajanın ne yaptığından bir kişinin haberdar olması gerekir.
• Ayrı hesap aç. Ajanları kendi kişisel hesabınla değil, yetkisi sınırlı ayrı hesaplarla çalıştır; gerektiğinde tek tıkla kapatabil.