# კოდის საცავში წვდომის ტოკენების ოთხმოცდაცხრა პროცენტი არასოდეს იწურება Autonomous AI Agents-ში

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ka/article/blueflag-security-reveals-99-percent-ai-agent-tokens-never-e-2026-11-07-night-ka
Section: AI (https://technewslist.com/ka/ai)
Author: TechNewsList
Language: ka
Published: 2026-11-07T18:20:38.945+00:00
Updated: 2026-11-07T18:20:38.948061+00:00

> Blueflag Security-ის მიერ ჩატარებულმა ემპირიულმა გამოკვლევამ აჩვენა, რომ პერსონალური წვდომის ნიშნების ოთხმოცდაცხრამეტი პროცენტი, რომლებიც უზრუნველყოფილია ავტონომიური AI კოდირების აგენტებისთვის, არ აქვთ ვადის გასვლის თარიღი, რაც კორპორატიული პროგრამული უზრუნველყოფის საცავებს ა...

## TL;DR
- უსაფრთხოების ფირმა Blueflag-მა გააანალიზა ათასობით კორპორატიული საცავი და აღმოაჩინა AI კოდირების აგენტის ტოკენების 99%-ს არ აქვს ვადის გასვლის საზღვრები.
- ავტონომიური დეველოპერის აგენტები საჭიროებენ ვრცელ საცავში წაკითხვის, ჩაწერის და ჩადენის ნებართვებს, რომლებიც გაგრძელდება განუსაზღვრელი ვადით ავტომატური ბრუნვის გარეშე.
- არაადამიანური იდენტობები ახლა აღემატება ადამიანის პროგრამული უზრუნველყოფის შემქმნელებს საწარმოს ღრუბელში და წყაროს კონტროლის გარემოში ათზე მეტით.
- უსაფრთხოების მკვლევარები აფრთხილებენ, რომ კომპრომეტირებული დეველოპერის მანქანების ნიშნები მოწინააღმდეგეებს აძლევს ფარული, მუდმივი შესვლის წერტილებს წარმოების მილსადენებში.

## Key points
- საწარმოს დეველოპერები რეგულარულად ქმნიან მუდმივ პერსონალურ წვდომის ჟეტონებს, რათა ავტონომიურ კოდირების აგენტებს მიანიჭონ წყარო ხეებზე უწყვეტი წვდომა.
- ზედმეტად პრივილეგირებული არაადამიანური მანქანების სერთიფიკატები წარმოადგენს ყველაზე სწრაფად მზარდ თავდასხმის ვექტორს, რომელიც მიზნად ისახავს საწარმოს პროგრამული უზრუნველყოფის უწყვეტი განლაგების სისტემებს.
- უსაფრთხოების ოპერაციების გუნდებს ხშირად არ აქვთ ცენტრალიზებული ხილვადობა, რომელშიც ავტომატიზირებული აგენტები ფლობენ საცავის აქტიურ ადმინისტრაციულ პრივილეგიებს.
- ინდუსტრიის შესაბამისობის სტანდარტები სულ უფრო და უფრო ავალდებულებს ხანმოკლე ხანგრძლივობის ხანგრძლივ სერთიფიკატებს და ავტომატიზირებულ ჟეტონს გაუქმებას ყველა ავტომატური მილსადენისთვის.
- Blueflag რეკომენდაციას უწევს კრიპტოგრაფიული პირადობის ატესტაციის და ოცდაოთხსაათიანი სიმბოლური სიცოცხლის ხანგრძლივობას ყველა ავტონომიური დეველოპერის აგენტისთვის.

## რა მოხდა

კიბერუსაფრთხოების კვლევითმა ორგანიზაციამ Blueflag Security გამოაქვეყნა ყოვლისმომცველი ემპირიული კვლევა, რომელიც ავლენს უსაფრთხოების ფართო დაუცველობას თანამედროვე პროგრამული უზრუნველყოფის ინჟინერიის ეკოსისტემაში: ავტონომიური ხელოვნური ინტელექტის კოდირების აგენტებისთვის მოწოდებული პირადი წვდომის ნიშნების ოთხმოცდაცხრამეტ პროცენტს არ აქვს ვადის გასვლის თარიღი. გამოძიებამ მოახდინა აუდიტი ათიათასობით კორპორატიული წყაროს კოდის საცავში ვერსიების კონტროლის მთავარ პლატფორმებზე, მათ შორის GitHub და GitLab, ავტომატური კოდირების ხელსაწყოების მიერ გამოყენებული ავთენტიფიკაციის სერთიფიკატების რუკაზე, მოთხოვნის მიმომხილველების და უწყვეტი მიწოდების აგენტების მიერ.

დასკვნები ასახავს იმას, თუ როგორ აჯობა ავტონომიური AI დეველოპერის ინსტრუმენტების ფეთქებად გამოყენებამ კორპორატიულ რწმუნებათა მართვას. პროგრამული უზრუნველყოფის ინჟინრები, რომლებიც ცდილობენ გაამარტივონ ავტომატური კოდირების სამუშაო ნაკადები, რეგულარულად ქმნიან მანქანურ ჟეტონებს წაკითხვის, ჩაწერის და ფილიალების მართვის ფართო ნებართვით, ირჩევენ ვადის ამოწურულ ვარიანტებს, რათა თავიდან აიცილონ ავტომატური ფონური ამოცანების დარღვევა, როდესაც რწმუნებათა სიგელები ამოიწურება. შესაბამისად, მილიონობით მუდმივი, უაღრესად პრივილეგირებული ავთენტიფიკაციის გასაღები რჩება აქტიური საწარმოო გარემოში წვდომის მუდმივი მიმოხილვის ან გაუქმების პოლიტიკის გარეშე.

![ტექნიკური ინფოგრაფიკა, რომელიც ასახავს უსაფრთხოების რისკების განაწილებას და წვდომის სიმბოლოს სიცოცხლის ხანგრძლივობას ავტონომიური AI აგენტებისთვის.](https://img2.helpnetsecurity.com/posts2026/BlueFlag-AI-agents-access-risks.webp)
*ტექნიკური რისკის მატრიცა და საორიენტაციო გრაფიკა, რომელიც დეტალურად ასახავს სერთიფიკატების პრევალენტობას, რომლებიც არ იწურება გამოკითხულ საწარმოთა კოდების ბაზაზე.*

კვლევა ხაზს უსვამს იმას, რომ არაადამიანური იდენტობები - მათ შორის სერვისის ანგარიშები, API ჟეტონები, ვებ-ჰუკის საიდუმლოებები და ავტონომიური აგენტის რწმუნებათა სიგელები - ახლა აღემატება ადამიანის პროგრამული უზრუნველყოფის შემქმნელებს ტიპიურ საწარმოს ინჟინერიულ გარემოში, სავარაუდო თანაფარდობით თორმეტი ერთთან. ადამიანური თანამშრომლებისგან განსხვავებით, რომელთა წვდომა შემოიფარგლება ერთი შესვლის ჩარჩოებით და მრავალფაქტორიანი ავთენტიფიკაციის გამშვები პუნქტებით, ავტონომიური კოდირების აგენტები მოქმედებენ სტატიკური პროგრამული მატარებლის ჟეტონებით, რომლებიც უზრუნველყოფენ საცავის უწყვეტ, უკონტროლო გავლას.

## რატომ არის მნიშვნელოვანი

უკვდავი პირადი წვდომის ნიშნების გავრცელება ქმნის კატასტროფულ სისტემურ რისკს გლობალური პროგრამული უზრუნველყოფის მიწოდების ჯაჭვებისთვის. თუ დეველოპერის სამუშაო სადგური დაზიანებულია მავნე პროგრამის საშუალებით, ან თუ გარემოს ცვლადი გაჟონა დაუცველი უწყვეტი ინტეგრაციის ჩაწერის არხით, თავდამსხმელი, რომელიც იღებს არ ვადაგადაცილებული აგენტის ჟეტონს, მიიღებს მუდმივ, ავთენტიფიცირებულ წვდომას საკუთრების წყაროს კოდზე, შიდა არქიტექტურულ დოკუმენტაციაზე და წარმოების განლაგების სკრიპტებზე.

გარდა ამისა, ავტონომიური კოდირების აგენტები ხშირად ფლობენ ნებართვებს, რომლებიც ბევრად აღემატება მათ საოპერაციო მოთხოვნებს. pull-ის მოთხოვნების შესაფასებლად და შეცდომების გამოსწორების შესამოწმებლად, აგენტებს ხშირად ენიჭებათ საცავის ადმინისტრირების ფართო უფლებები, რაც მათ საშუალებას აძლევს გააერთიანონ pull-ის მოთხოვნები, გადალახონ ფილიალების დაცვის წესები და მოაწერონ ხელი პროგრამული უზრუნველყოფის გამოშვებებს. მავნე მსახიობს, რომელსაც აქვს ეს სერთიფიკატები, შეუძლია ჩუმად შემოიტანოს უკანა კარები წარმოების კოდების ბაზაში ჩვეულებრივი მრავალფაქტორიანი ავთენტიფიკაციის სიგნალიზაციის გამორთვის გარეშე.

Blueflag-ის ანგარიში აჩვენებს, რომ იდენტობისა და წვდომის მართვის (IAM) ტრადიციული ჩარჩოები ფუნდამენტურად არასათანადოა აგენტური სამუშაოების მართვისთვის. საწარმოთა უსაფრთხოების გუნდებმა ათწლეულები გაატარეს ადამიანის თანამშრომლებისთვის პირადობის სასიცოცხლო ციკლის მენეჯმენტის სრულყოფაზე - ავტომატიზირებულად უზრუნველყოფის უზრუნველყოფა ბორტზე ჩასვლის დროს და დაუყოვნებელი წვდომის შეწყვეტა გამგზავრებისას. თუმცა, როდესაც განლაგებულია ავტონომიური პროგრამული აგენტი, იშვიათად არის დადგენილი პროტოკოლი, რომელიც არეგულირებს მის სერთიფიკატის სასიცოცხლო ციკლს, რაც ტოვებს ობოლი აპარატის ტოკენებს განუსაზღვრელი ვადით აქტიურ კორპორატიულ ღრუბელ მფლობელებს შორის.

## ტექნიკური დეტალები

ტექნიკურ დონეზე, პერსონალური წვდომის ნიშნები (PAT) ფუნქციონირებს როგორც მატარებლის საიდუმლოებები, რომლებიც ამოწმებენ პროგრამულ ურთიერთქმედებებს ვერსიის კონტროლის აპლიკაციის პროგრამირების ინტერფეისებთან. როდესაც ავტონომიური კოდირების აგენტი ასრულებს git fetch, commit ან push ოპერაციებს, ის გადასცემს მატარებლის ტოკენს HTTP ავტორიზაციის სათაურში. იმის გამო, რომ ვერსიის კონტროლის სისტემები ახდენენ თვით ჟეტონის ავთენტიფიკაციას და არა ძირითადი შესრულების გარემოს, ნებისმიერ სუბიექტს, რომელსაც აქვს კრიპტოგრაფიული სტრიქონი, შეუძლია განახორციელოს ავტორიზებული მოქმედებები მოწოდებული პირადობის სახელით.

Blueflag ტელემეტრიამ გამოავლინა, რომ გაანალიზებული AI აგენტების 84 პროცენტს ჰქონდა სრული საცავი ადმინისტრაციული ჩაწერის პრივილეგიები, მათ შორის უფლებამოსილება გვერდის ავლით ფილიალების დაცვის სავალდებულო წესები და დაამტკიცოს კოდის მიმოხილვა. მონიტორინგის ქვეშ მყოფი საწარმო ორგანიზაციების მხოლოდ სამი პროცენტი ახორციელებდა სავალდებულო ჟეტონს ვადის გასვლის პოლიტიკას ან იყენებდა ხანმოკლე, ეფემერული OpenID Connect (OIDC) იდენტიფიკაციის ნიშნები ავტონომიური მანქანების ურთიერთქმედებისთვის.

![საორიენტაციო შეფასების გრაფიკი, რომელიც აჩვენებს პროგრამული უზრუნველყოფის ინჟინერიის აგენტის პრობლემის გადაჭრის სიზუსტეს და შესრულების კვალს.](https://storage.googleapis.com/gweb-uniblog-publish-prod/images/gemini-3-8-flash__evals__deepswe.width-1200.pweb-)
*პროგრამული ინჟინერიის შეფასების ტელემეტრია, რომელიც აჩვენებს მრავალმხრივ ავტონომიურ კოდირების შესრულებას საცავის კონტეინერებში.*

გამოკითხული საცავების სამოცდაერთ პროცენტში სტატიკური აგენტის წვდომის ჟეტონები იყო მყარი კოდირებული დეველოპერის dot-env კონფიგურაციის ფაილებში, ინახებოდა დაშიფრულ ადგილობრივ bash-ის ისტორიის ჟურნალებში ან ჩაშენებული მილსადენის გამშვები მეხსიერების ქეშებში. როდესაც ავტომატური აგენტები კლონირებენ გარე მესამე მხარის დამოკიდებულებებს, ეს დაუცველი საიდუმლოებები დაუცველი ხდება არაპირდაპირი სწრაფი ინექციის შეტევების მიმართ, სადაც მავნე გარე კოდი ატყუებს ადგილობრივ აგენტს გარემოს ცვლადების გადაცემაში გარე მსმენელ კვანძებზე.

## გავლენა ბაზარზე და ინდუსტრიაზე

არაადამიანური სერთიფიკატების ყოვლისმომცველი დაუცველობის გამოვლენა იწვევს სწრაფ კომერციულ ინტერესს არაადამიანური იდენტობის (NHI) უსაფრთხოებისა და მანქანური სერთიფიკატების მართვის პლატფორმების მიმართ. კიბერუსაფრთხოების ძირითადი გამყიდველები აგრესიულად იძენენ სტარტაპებს, რომლებიც სპეციალიზირებულნი არიან საიდუმლო აღმოჩენის, სერვისის ანგარიშის აღმოჩენისა და ავტომატიზირებული პრივილეგიების უფლების ზომაზე, რათა დაიცვან ღრუბელში არსებული განვითარების გარემო.

საწარმოთა პროგრამული უზრუნველყოფის შესყიდვის კომიტეტები გადახედავენ გამყიდველის შეფასების კრიტერიუმებს, ავალდებულებენ AI დეველოპერის ხელსაწყოების პროვაიდერებს მოკლევადიანი OAuth ტოკენების, წვრილმარცვლოვანი საცავის ნებართვებისა და გასაღების ბრუნვის ავტომატური პროტოკოლების მხარდაჭერას. ორგანიზაციები, რომლებიც ვერ ახორციელებენ მკაცრ საკრედიტო კონტროლს, ექმნებათ მზარდი წინააღმდეგობა კიბერდაზღვევის ანდერრაიტერების მხრიდან, რომლებიც ასახელებენ უმართავ პროგრამულ ტოკენებს, როგორც ძირითად კატალიზატორებს საწარმოთა მონაცემების კატასტროფული დარღვევისთვის.

ღრუბლოვანი ჰიპერ სკალერები და წყარო კოდის საცავის მასპინძლები პასუხობენ უსაფრთხოების უფრო მკაცრი ნაგულისხმევი პოზების დანერგვით. პლატფორმის ოპერატორები ამზადებენ ავტომატიზებულ სამუშაო ნაკადებს, რომლებიც ავტომატურად მონიშნავენ დროშით, ქვიშის ყუთს ან გააუქმებენ პერსონალური წვდომის ჟეტონებს, რომლებიც ასახავს ანომალიურ გეოგრაფიულ გამოყენებას ან აჭარბებს უწყვეტი მოქმედების ოთხმოცდაათ დღეს პროგრამული ხელახალი ავტორიზაციის გარეშე.

## რას უნდა დავაკვირდეთ შემდეგ

უახლოეს კვარტალებში, მარეგულირებელი ორგანოები, მათ შორის CISA და ENISA, მოსალოდნელია, რომ შეიტანონ არაადამიანური იდენტურობის მმართველობა ფედერალური პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის უსაფრთხოების სტანდარტებში. ინფორმაციული უსაფრთხოების მთავარი ოფიცრები დააჩქარებენ ავტომატური საიდუმლო მართვის სარდაფების განთავსებას, რომლებიც წარმოქმნიან ხანმოკლე, ერთჯერადი გამოყენების კრიპტოგრაფიულ ჟეტონებს ავტონომიური აგენტებისთვის.

დეველოპერული ხელსაწყოების გამყიდველებს შეექმნებათ მომხმარებელთა მზარდი ზეწოლა, რათა გააუქმონ სტატიკური მატარებლის ნიშნები, კრიპტოგრაფიულად დამოწმებული მანქანის იდენტურობის დამოწმების სასარგებლოდ. იმის გამო, რომ ავტონომიური ხელოვნური ინტელექტის აგენტები იღებენ შეუცვლელ როლს ყოველდღიურ პროგრამული უზრუნველყოფის ინჟინერიაში, არაადამიანური იდენტობების დაცვა, რომლებიც ამ სისტემებს აძლიერებს, გახდება თანამედროვე საწარმოების კიბერ თავდაცვის ცენტრალური საზღვარი.

## წყაროები

- [დახმარება Net Security](https://www.helpnetsecurity.com/2026/11/06/blueflag-ai-agents-access-risks-report/)
- [Supply Chain Cybersecurity](https://en.wikipedia.org/wiki/Supply_chain_attack)
- [პროგრამული უზრუნველყოფის საცავის უსაფრთხოება](https://en.wikipedia.org/wiki/Software_repository)

![Benchmark evaluation graph displaying software engineering agent problem-solving accuracy and execution traces.](https://storage.googleapis.com/gweb-uniblog-publish-prod/images/gemini-3-8-flash__evals__deepswe.width-1200.format-webp.webp)



* Supply Chain Security

* Autonomous AI Agents

* Non-Human Identity

Mentions: Blueflag Security, Autonomous AI Agents, GitHub, Non-Human Identity, Supply Chain Security

## Sources
- [Help Net Security](https://www.helpnetsecurity.com/2026/11/06/blueflag-ai-agents-access-risks-report/)
- [Supply Chain Cybersecurity](https://en.wikipedia.org/wiki/Supply_chain_attack)
- [Software Repository Security](https://en.wikipedia.org/wiki/Software_repository)