IdStory: Správa Non‑Human Identit a AI agentů
Servisní účty, RPA boti, API klíče a AI agenti. Identity, které nikdy neodejdou na výpověď, ale auditor se na ně dnes ptá explicitně. IdStory má architekturu pro NHI a AI agenty v produkci dnes přes modul technických účtů.
Strojové identity ve firemních sítích převažují nad lidskými v poměru desítek ku jedné. Tato převaha sama o sobě nebyla donedávna problém. Servisní účet pro zálohovací software vznikl, dělal svou práci a nikoho moc netrápil. Co se změnilo: do hry vstoupili AI agenti, kteří se chovají jinak než klasické servisní účty. A regulátoři, kterým NIS2 a DORA daly do ruky páku, na kterou se ptají explicitně.
Tento článek shrnuje, proč jsou non-human identity (NHI) a AI agenti dnes governance prioritou, a jak je IdStory řeší přes modul technických účtů.
na 1 zaměstnance
bude mít AI agenty
do konce 2026
zachytili zneužití
AI agenta
AI agent vs. klasický servisní účet
Klasický servisní účet je předvídatelný. Někdo (typicky systém) ho vyvolá, on udělá svou věc. AI agent je v rámci svých přidělených oprávnění autonomní. Sám rozhoduje, kterou akci a kdy vykonat. To je velký rozdíl pro audit i pro útočnou plochu.
| Atribut | Servisní účet | AI agent |
|---|---|---|
| Použití oprávnění | Vyvolané systémem | Agent v rámci svých oprávnění sám volí, kterou akci a kdy vykonat |
| Chování | Předvídatelné | Závisí na vstupu a kontextu |
| Útok | Krádež hesla nebo klíče | Krádež hesla plus prompt injection (přepsání záměru agenta vstupem) |
| Auditní stopa | „Co účet udělal“ | „Co účet udělal a proč to udělal“ |
Pokud má AI agent oprávnění číst zákaznickou databázi, lze ho přes prompt injection donutit, aby v rámci tohoto oprávnění udělal jinou věc, než pro kterou byl použit. Místo shrnutí jednoho záznamu udělá hromadný export. Práva agenta se nemění, mění se jeho záměr. To je důvod, proč u AI agentů ještě více platí princip minimálního nezbytného oprávnění.
Jak na správu AI agentů
Správa AI agentů a NHI stojí na dvou klíčových principech: najít všechny identity v prostředí a řídit je s lidským vlastnictvím a auditní stopou.
Kompletní inventář AI agentů a NHI napříč cloudem, aplikacemi, zařízeními.
IdStory: Registrace přes průvodce nebo API.
Každý agent má lidského vlastníka, řízený životní cyklus, schválená oprávnění, auditní stopu.
IdStory: Plné pokrytí přes modul technických účtů.
Architektura IdStory: Osoba → Technické aktivum → Technické účty
(garant + správce)
aplikace,
integrační platforma
systémech (AD, CRM, DB)
Technický Asset zastřešuje konkrétní aplikaci, integrační platformu nebo AI agenta. Pod ním visí jeden nebo více technických účtů na cílových systémech. Každý asset má povinné lidské vlastníky: garanty (byznysová odpovědnost, schvalování) a správce (technická operativa).
AI agent v produkci ve 4 krocích
Jak vypadá životní cyklus AI agenta v IdStory od registrace po ukončení:
Založíme Technický Asset „AI agent: Customer Service“, určíme garanty a správce, nastavíme zónu a platnost.
Pod asset založíme účty do CRM, ticketingu, znalostní báze.
Auditní záznam zachytává každou změnu. Recertifikace každých 6 měsíců potvrzuje aktuální potřebu.
Garant agenta deaktivuje. Účty jdou do karantény, pak smazání. Auditní záznam zůstává.
Klíčové funkce modulu Technických účtů
Garanti a správci v libovolném počtu, přímo nebo přes roli. Sdílená odpovědnost odpovídá realitě enterprise.
Asset v produkční zóně nesmí mít účet v dev zóně. IdM operaci odmítne.
Po deaktivaci jde účet do karantény (např. 30 dní), pak teprve smazání na cílových systémech.
Deaktivace assetu deaktivuje všechny účty pod ním. Žádné osamocené účty.
Pravidelné potvrzování vlastnictví a oprávnění.
Označení assetu spadajícího pod správu privilegovaných přístupů.
Asset se po datu sám deaktivuje. AI agent pro Q4 kampaň přestane existovat 31. 12.
Kdo, kdy, co změnil. Filtrovatelné podle entity, akce, autora, období.
Hromadný import agentů.
Garant a držitel jako předpřipravené role pro snadné přidělení oprávnění.
Compliance: kde to bolí
Identity governance pro NHI a AI agenty není akademický problém. Audity se na to dnes ptají explicitně.
| Předpis | Účinnost | Co vyžaduje |
|---|---|---|
| NIS2 / Zákon č. 264/2025 Sb. | 1. 11. 2025 | Řízení přístupů a správa identit, nerozlišuje lidské a nelidské |
| DORA | 17. 1. 2025 | Identity včetně servisních účtů pro API a platby (finanční sektor) |
| ISO 27001 | platí | Annex A.5.15, A.5.16, A.5.18: řízení přístupů a životní cyklus |
| EU AI Act | etapy 2025–2027 | Dohledatelnost a odpovědnost pro vysokorizikové AI systémy |
Shrnutí
NHI a AI agenti jsou dnes governance prioritou regulátorů i auditorů. Bez centrální vrstvy, která dává každé strojové identitě lidského vlastníka, životní cyklus a auditní stopu lze těžko splnit požadavky NIS2 a DORA, ani bezpečně škálovat nasazení AI agentů.
IdStory tu vrstvu poskytuje přes modul technických účtů s architekturou Osoba → Technické aktivum → Technické účty. Vícenásobní vlastníci, bezpečnostní zóny, karanténa, kaskádová deaktivace a auditní záznam.
