本物のユーザーは常に人間ではありません - それはあなたを怖がらせるべきではありません

オンラインで誰(または何)を信頼するかを再考する

インターネットは、人間が唯一の真のユーザーであるという仮定に基づいて構築されました. それは私たちの認証フロー、CAPTCHA、セキュリティエウリスティクス、そして私たちの言語に組み込まれています. We talk about "users" as people, and "bots" as threats.

しかし、その仮定は破られる。

今日、ソフトウェアシステムにおける最も重要な役割のいくつかは、まったく人間ではありません。彼らはエージェントです:頭がない、自動化された、認証されたソフトウェアの一部は、賃金データの取得から保険請求の調和に至るまで、規模のロイヤルを処理するまですべてを行います。彼らは私たちが毎日頼りにしているサービスに深く統合されていますが、多くのプラットフォームはそれらを侵入として扱います。

デッキのコミュニティマネージャーであるLaurent Léveillé氏は「自動化を敵と混同するのをやめる時が来た」とし、「これらのボットの多くは攻撃者ではありません。

The Legacy of Human-Centric Trust Models(人間中心の信頼モデル)

セキュリティチームは長い間、バイナリーヘウリスティックに依存してきた:人間は良い、機械は悪い。これは、CAPTCHA、ボットフィルター、レート制限器、ユーザーエージェントのスニッファーの拡大につながり、敵対的な自動化と生産的なエージェントの区別がありません。

これらのモデルはしばらく機能していましたが、現代のインターネットはAPI、スケジュールされた仕事、サーバーレストリガーで動作します。内部エージェントと外部統合は、ボットのように動作します。

「我々が今見ているのは、悪い俳優を排除するために設計された同じエウリスティクスが内部の正当な使用事例を破っているということだ」とDeckの共同創設者であるYG Leboeufは言います。航空会社から医療保険提供者への報酬"

「本物」のよりよい定義

では、有害なボットと有益なボットの違いは何でしょうか。

Deckは、人類初のモデルから意図初のフレームワークへと移行することを提案しています。

本物のユーザーは:

• Authenticated: They are who they claim to be. 彼らは彼らが主張する者である。
• Permitted: They are accessing what they are supposed to. 彼らは彼らが目指すものにアクセスしている。
• 目的:彼らの行動は、既知で許可された使用事例と一致している。

毎月末に150人の従業員のアカウントから支出データを抽出するスケジュールエージェントを考えてみましょう. それは認証、範囲化、および監査可能です. しかし、ほとんどのシステムは、単にあまりにも速くログインするか、またはあまりにも多くのアクセスを取得するので、それを疑わしいと表記します。

一方、本物の人間は、ブラウザを使用しているだけで、レーダーの下で飛ぶ不規則なまたは悪意のある活動に従事する可能性があります。

これは欠陥のパラダイムで、我々はそれを逆転させる必要がある。

間違えることの隠れたコスト

脅威としてエージェントを誤って分類することは、悪い UX につながるだけではありません。

• 製品不具合:自動ストリームは静かに停止し、賃金は実行されず、レポートは提出されず、データは失われます。
• Customer churn: ユーザーはセキュリティルールではなく、製品を責める。
• エンジニアリング負債: 開発者は特別な例外を作成することを余儀なくされます。
• セキュリティの盲点:例外はシステムを弱体化させ、実際の虐待への道を開く。

Deck では、1 つのクライアントが、内部エージェントが夜間で EOB データを同期することに依存する複数のステップの請求呼び出しワークフローを構築していました。 彼らの伝統的なセキュリティプロバイダーがエージェントの割合を制限し始めたとき、それはダウンストリームの失敗のカラスケードを作成しました。 診断に数週間かかりました。

ハイブリッドアイデンティティの設計

現代のシステムは、人間と非人間の両方を信頼モデルに適合する必要があります。

• 別々の認証: エージェントのためのヒューマン・トークンを再利用しないでください。
• Intent-aware rate limits: Expect agents to move fast and operate 24/7. Throttle by role, not raw volume.
• 監査能力:エージェントは行動を記録し、構造化されたテレメトリパイプラインを作成する。
• ライフサイクル管理:エージェントの所有権を追跡し、秘密を回転させ、時代遅れのプロセスを廃止します。
• Behavioral baselines: Monitor what “normal” looks like for each identity. Flag anomalies, not automation. 各アイデンティティの「正常」がどう見えるかを監視する。

安全保障における文化的転換

セキュリティは単に「ノー」と言っているのではなく、システムが目的の通り、安全に動作できるようにすることです。

「勝つチームは、最も硬い防御力を持つチームではない」とLéveillé氏は述べます。「リスクと摩擦の違いを理解するインフラを設計するチームです。

これは、

• 「Gatekeeping to Enablement」
• 空白検出のルールを文脈分析に置き換える
• 予防のためだけではなく、抵抗力のために建設

エージェントを恐れないで、彼らから学びなさい。

すべてのユーザーが人間ではない、それは脅威ではない、それは現実だ、そしてますます、それはチャンスだ。

ユーザーベースの一部としての自動化を認識し、尊重することで、より良い信頼性、より高速なスケール、より強力なシステムを解除します。

「これはボットですか?」と尋ねるのをやめ、「これは信頼されているのですか?」と尋ね始める時が来ました。