AI agent'ları için güvenlik araçları, her zaman geçerli olmayan bir varsayım üzerine kuruludur: söz konusu agent'ı kuruluşun seçtiği ve yapılandırdığı. Bir agent üçüncü taraf veya delege edilmiş olduğunda — kuruluş adına perimetre dışından hareket ettiğinde — bu varsayım çöker ve şirket içinde konuşlandırılan agent'ların etrafına kurulan kontroller otomatik olarak geçerli olmaz.
Hacker News bunu, shadow IT'den ayrı bir maruziyet sınıfı olarak çerçeveliyor. Shadow IT, merkezi onay olmadan benimsenen araçları kapsar; delege edilmiş agent durumu ise hiçbir zaman kuruluşun onaylaması, yapılandırması veya enstrümante etmesi gereken agent'ları kapsar. Konuşlandırdıkları agent'lar için gözlemlenebilirlik, politika uygulama ve denetim izlerine yatırım yapmış ekipler, kendileri adına başka yerden hareket
Pratik boşluk, envanter ve atıf konusundadır: hangi harici agent'ların delege edilmiş yetkiye sahip olduğunu, bu yetkinin hangi kapsamı taşıdığını ve eylemlerinin kuruluşa nasıl geri eşlendiğini bilmek. Bu madde için sağlanan kapsam belirli satıcıları, olayları veya ölçülmüş etkiyi belirtmiyor ve Behzat AI altta yatan haberi bağımsız olarak doğrulamadı. Mimari nokta kendi başına geçerlidir — agent kökenine dair perimetre temelli varsayımlar, delege edilmiş erişim ölçekli olarak verilmeden önce yeniden gözden geçirilmeye değerdir.