النتيجة ومشكلة التأطير
من النتائج المتكررة في مسوحات الأصول أن معظم الوكلاء المنشورين لا يفعلون شيئًا. يذكر Arrakis، في تحليله لأساطيل الوكلاء، أن غالبية الوكلاء في الأصول التي شملها المسح خاملون بينما لا يزالون يحتفظون ببيانات الاعتماد واتصالات حية بالأنظمة اللاحقة. العدد أقل أهمية من شكل المشكلة: فقد انفصل السطح النشط للأصول عن سطحه المُصرَّح به.
هذا التباعد بنيوي وليس عرضيًا. الخمول حالة استخدام، ترصدها أي جهة تسجل الاستدعاءات — بوابة API، أو مخزن تتبعات، أو لوحة استخدام لدى مزوّد. أما التصريح فهو حالة منفصلة، يحتفظ بها مزوّد الهوية، أو مدير الأسرار، أو جدول الصلاحيات في قاعدة بيانات، أو سجلات OAuth لدى مورّد SaaS. لا شيء يُلزم الاثنين بالتوافق. يمكن لوكيل أن يتوقف عن الظهور في القياسات عن بُعد بينما يظل رمزه صالحًا لأشهر، ولا يوجد نظام واحد في موقع يتيح له ملاحظة هذا التعارض.
ترث المراجعة الأمنية هذا الانفصال. السؤال المعتاد — هل هذا الوكيل نشط؟ — تجيب عنه حزمة المراقبة، وهي الشاهد الخاطئ. السؤال الجوهري هو ما الذي لا يزال الوكيل قادرًا على الوصول إليه، وهذا تجيب عنه رسمية التصريح. الوكيل الذي لا حركة له ويملك رمزًا بنطاق كتابة إلى نظام CRM إنتاجي ليس متقاعدًا. إنه فاعل رئيسي غير مُراقَب: مجموعة أذونات قائمة لا يراقبها مشغّل، ولا عملية تُرقَّع، ولا مالك سيلاحظ لو استُخدمت.
لماذا يصبح الوكلاء خاملين دون أن يفقدوا الوصول
تفسّر ثلاث آليات معظم هذا الانحراف، وكلها هندسة عادية وليست إهمالًا.
الأولى هي التزويد لمرة واحدة. غالبًا ما يكون تمهيد الوكيل سكربتًا كُتب مرة واحدة أثناء نموذج أولي: يصدر رمزًا، ويكتبه في ملف بيئة أو مخزن أسرار، ثم ينتهي. لا يعرف السكربت مفهوم مالك مسجّل ولا مفهوم انتهاء الصلاحية، لأن الوكيل كان يُتوقع أن يكون مؤقتًا حين كُتب. الرموز طويلة العمر هي المسار الأقل مقاومة عندما يكون البديل هو ربط تدفق تجديد بنظام قد لا يعمل باستمرار على أي حال.
الثانية هي الإيقاف المؤقت بدلًا من الحذف. يتطلب حذف وكيل معرفة ما يعتمد عليه، وهذه المعرفة نادرًا ما تكون مكتوبة. تعريف أداة يشير إليه وكيل آخر، أو هدف webhook، أو مهمة مجدولة، أو تجهيزة اختبار — أي من هذه قد ينكسر بصمت عند إزالة فاعل رئيسي. الإيقاف المؤقت قابل للعكس ورخيص؛ والحذف غير قابل للعكس ويتطلب جردًا لا يملكه أحد. لذلك يوقف المشغّلون العقلاء التشغيل، ويصبح الإيقاف دائمًا دون أن يُتخذ قرار بذلك قط.
الثالثة هي قصور الطرف المقابل. تستمر الاتصال لأن النظام على الطرف الآخر لا يتلقى إشارة بأن الوكيل توقف. يحتفظ تكامل SaaS برمز تحديث حتى يُلغى. وتحتفظ خدمة داخلية بمنحة حساب خدمة حتى يعدّل أحدهم قائمة التحكم بالوصول. صمت الوكيل نفسه ليس رسالة يتلقاها أي من هذه الأنظمة. لذلك يكون الخمول غير مرئي من منظور كل طرف إلا الطرف الذي توقف عن الاستدعاء.
جدول استرداد
العلاج هو معاملة انتهاء صلاحية بيانات الاعتماد كحدث مجدول في دورة الحياة له نفس مكانة الإصدار، وجعل الجدول قابلًا للإنفاذ لا استشاريًا.
أقصى عمر ومالك مسجّل عند الإصدار. كل بيانات اعتماد تُصدر لوكيل تحمل سمتين إلزاميتين: أقصى عمر صارم، ومالك مسمّى (فريق، أو دورة مناوبة، أو اسم مستعار للمناوبة — لا حساب فرد). التجديد فعل صريح يقوم به ذلك المالك، وليس تحديثًا تلقائيًا يمدد بيانات الاعتماد إلى ما لا نهاية بصمت. الأعمار القصوى القصيرة مع تجديد رخيص تقلب الوضع الافتراضي: تنتهي صلاحية بيانات الاعتماد ما لم يُبقِها أحدهم حية بشكل مؤكد، ما يحوّل الإهمال إلى انتهاء صلاحية بدلًا من وصول قائم.
كشف الخمول عبر قياسات آخر استدعاء ناجح. حيوية العملية هي الإشارة الخاطئة. الحاوية التي تعمل لكنها تُخطئ، أو المجدول الذي ينطلق نحو إذن ملغى، تبدو حية وهي ميتة وظيفيًا. الإشارة المهمة هي الطابع الزمني لآخر استدعاء موثّق ناجح، مجمّعًا لكل بيانات اعتماد لا لكل عملية. هذا الطابع الزمني هو ما تقرأه مهمة الاسترداد.
استرداد متدرج مع تسجيل في كل مرحلة. الإلغاء ليس فعلًا واحدًا، ومعاملته كذلك هي ما يكسر التبعيات عند الإيقاف. يعمل الجدول على مراحل، كل منها مشروطة بما قبلها وكل منها مسجّلة:
- إلغاء نطاقات الكتابة. يحتفظ الفاعل الرئيسي بوصول القراءة، فيستمر أي مستهلك يقرأ فقط في العمل، ويفشل أي مستهلك يكتب بصوت عالٍ ومرئي خلال نافذة يمكن فيها لأحدهم الاستجابة.
- إلغاء نطاقات القراءة. بعد فترة هدوء محددة دون حوادث، يفقد الفاعل الرئيسي الوصول إلى البيانات كليًا. تظهر الآن التبعيات التي نجت من المرحلة الأولى.
- حذف الفاعل الرئيسي. تُزال الهوية وعضوياتها في المجموعات ومدخلاتها السرية ومنح الطرف المقابل، ويُكتب الحذف في سجل التدقيق نفسه الذي كُتبت فيه المراحل السابقة.
رسم تخطيطي لكائن السياسة الذي ستقيّمه لوحة التحكم:
principal: agent.reporting.summariser
owner: team-data-platform
issued: 2025-02-11
max_lifetime: 90d
renewal: explicit
last_successful_call: 2025-03-04
stages:
- revoke_write: on_dormant(30d)
- revoke_read: on_dormant(60d)
- delete: on_dormant(90d)
log: audit.credentials
المقايضة الصادقة هي الضجيج التشغيلي. يولّد الإلغاء المتدرج أعطالًا بحكم التصميم، وبعضها سيكون مزعجًا: تقرير ربعي، أو تكامل نادر الاستخدام، أو بيئة عرض. البديل ليس أعطالًا أقل بل أعطالًا لاحقة وأكثر صمتًا — فاعل رئيسي غير مُراقَب يستخدمه شخص آخر، يُكتشف بعد وقوع الأمر. يقايض الجدول انكسارًا متوقعًا وقابلًا للنسبة الآن بوصول غير متوقع وغير قابل للنسبة لاحقًا. على الفرق التي تتبناه أن تتوقع قضاء الدورة الأولى في تمديد أعمار وكلاء يتبين أنهم مهمون، وهذا بحد ذاته الجرد الذي لم يكن لديها سابقًا.
ما الذي يغيّره هذا للأسطول
يتوقف الجرد عن كونه قائمة عمليات ويصبح رسمية تصريح. السؤال المفيد عن أي وكيل ليس هل يعمل بل بأي صفة فاعل رئيسي يمكنه التصرف، وما الموارد التي تصل إليها تلك الصفات، ومن يملك كل حافة. وبهذا التعداد، يكون الوكلاء الخاملون لكن المتصلون أرخص سطح هجوم في الأصول لإزالته — بلا ترحيل، وبلا تنسيق مع مستهلك حي، وبلا نافذة تغيير — وفي الوقت نفسه الأقل احتمالًا للملاحظة، لأن لا شيء في التشغيل العادي يمسّهم.
سياسة الاسترداد تنتمي أيضًا إلى لوحة التحكم نفسها التي تنتمي إليها عملية الإصدار، لا إلى تدقيق ربعي. التدقيق يأخذ عينات؛ ولوحة التحكم تُنفّذ. إذا كان النظام الذي يصدر بيانات الاعتماد هو نفسه الذي ينهي صلاحيتها، يصبح الخمول حالة تحلّها المنصة بمؤقت بدلًا من نتيجة يرفعها مراجع ويؤجلها فريق. ويتحول دور التدقيق إلى التحقق من أن الجدول نُفّذ وأن الاستثناءات مبررة، وهي مهمة أصغر بكثير وأكثر قابلية للمعالجة من إعادة بناء ما يمكن لأسطول من الوكلاء الوصول إليه.
مرحلة دورة الحياة التي كانت غائبة
تميل نماذج دورة حياة الوكيل إلى الامتداد من التصميم عبر النشر إلى الإيقاف، مع معاملة الإيقاف كخطوة تنظيف في النهاية. تشير نتيجة Arrakis إلى أن النموذج يفتقد مرحلة: الاسترداد، التي تبدأ لحظة تراجع آخر استدعاء ناجح للوكيل وتنتهي عند حذف فاعله الرئيسي. لتلك المرحلة قياساتها عن بُعد، ومالكها، وجدولها، وسجل تدقيقها. الوكيل الذي يحتفظ بمفاتيحه بعد توقفه عن العمل لم يُوقَف — بل تُرك يعمل بالمعنى الوحيد المهم للمهاجم. نظافة الأسطول هي ممارسة الملاحظة، بمؤقت، قبل أي شخص آخر.