इस लेख में
AI एजेंट की पहचान: वह सवाल जिसे हर कंपनी ने छोड़ दिया
संक्षिप्त उत्तर: जब आप अपनी कंपनी के भीतर कोई AI एजेंट चलाते हैं, तो उसे अपनी खुद की पहचान की ज़रूरत होती है, ठीक वैसे ही जैसे किसी कर्मचारी को खाते की ज़रूरत होती है। आज का आम तरीका — एजेंट के अंदर एक स्थिर API कुंजी हार्डकोड कर देना ताकि वह आपके सिस्टम तक पहुंच सके — सबसे खतरनाक काम है जो आप कर सकते हैं, क्योंकि वह कुंजी कभी समाप्त नहीं होती, किसी को पता नहीं होता कि उसका उपयोग कौन कर रहा है, और ज़रूरत पड़ने पर उसे जल्दी रद्द नहीं किया जा सकता। सही तरीका है हर एजेंट को एक पंजीकृत पहचान, सीमित अनुमतियां और अपने आप समाप्त होने वाले अल्पकालिक टोकन देना।
ठीक यही बात दुनिया के सबसे बड़े पहचान प्रबंधन विक्रेताओं में से एक Okta ने 24 अगस्त 2026 को Agent SSO नामक एक नई क्षमता के साथ घोषित की। यह विचार ऊपर से सरल दिखता है लेकिन इसके परिणाम गहरे हैं: AI एजेंट को कंपनी की डायरेक्टरी में मानव कर्मचारियों के साथ एक प्रथम श्रेणी की पहचान के रूप में पंजीकृत करना, ताकि वह पहुंच देने, निगरानी करने और रद्द करने के उन्हीं टूल्स के अधीन हो।
यह सवाल अभी क्यों ज़रूरी हो गया
पिछले दो वर्षों में एंटरप्राइज़ AI "सवालों के जवाब देने वाले बॉट" से "काम करने वाले एजेंट" तक पहुंच गया है। आज का एजेंट आपका CRM खोलता है, ऑर्डर पढ़ता है, इन्वेंटरी रिकॉर्ड अपडेट करता है, ग्राहक को संदेश भेजता है, और शायद इनवॉइस भी तैयार करता है। इनमें से हर कदम का अर्थ है असली डेटा वाले किसी असली सिस्टम में लॉग इन करना।
समस्या यह है कि ज़्यादातर कंपनियों के सुरक्षा टूल्स एक ही धारणा पर बने हैं: कि सिस्टम में लॉग इन करने वाला एक इंसान है। Okta ने अपनी घोषणा में जो एक चौंकाने वाला आंकड़ा दिया, वह इस अंतर को दर्शाता है: केवल 34% संगठन AI एजेंटों पर वही सुरक्षा नियंत्रण लागू करते हैं जो वे मानव कर्मचारियों पर लागू करते हैं। दूसरे शब्दों में, लगभग दो तिहाई कंपनियां अपने सिस्टम के भीतर स्वचालित इकाइयां उसी स्तर के शासन के बिना चला रही हैं।
जब किसी एजेंट की कोई स्पष्ट पहचान नहीं होती, तो समस्याएं जमा होती जाती हैं और वे सब एक ही तरह की होती हैं: आपको नहीं पता कि आपके व्यवसाय में कितने एजेंट काम कर रहे हैं, आपको नहीं पता कि हर एक को किसने अधिकृत किया, आप किसी ऑडिटर के सरल सवाल — "यह कार्रवाई किसने की?" — का जवाब नहीं दे सकते, और भटक चुके किसी एजेंट को रोकने के लिए आपके पास दबाने को कोई एक बटन नहीं है।
Agent SSO वास्तव में क्या करता है
यह सेवा Cross App Access (XAA) नामक एक खुले प्रोटोकॉल पर चलती है, जो जाने-पहचाने OAuth मानक का एक विस्तार है, और जिसे MCP के लिए आधिकारिक एंटरप्राइज़-प्रबंधित प्राधिकरण विस्तार के रूप में अपनाया गया है — MCP वह प्रोटोकॉल है जो एजेंटों और सिस्टम के बीच साझा भाषा बन गया है। संक्षेप में, जब इस प्रोटोकॉल का समर्थन करने वाला कोई AI एजेंट आपके किसी व्यावसायिक एप्लिकेशन से जुड़ने की कोशिश करता है, तो यह होता है:
- पंजीकरण: एजेंट को कंपनी की डायरेक्टरी में एक नामित पहचान के रूप में दर्ज किया जाता है, किसी गुमनाम कुंजी के रूप में नहीं।
- प्राधिकरण: उसे कॉन्फ़िग फ़ाइल में पड़ी स्थिर कुंजी के बजाय एक अल्पकालिक एक्सेस टोकन मिलता है जो अपने आप समाप्त हो जाता है।
- शासन: एक व्यवस्थापक एजेंट की अनुमतियों को उसी कंसोल से प्रबंधित करता है जिसका उपयोग कर्मचारियों की अनुमतियों के लिए होता है।
- तत्काल रद्दीकरण: जिस क्षण व्यवहार गलत लगे, एक ही कार्रवाई से एजेंट की पहुंच काटी जा सकती है।
उल्लेखनीय है कि Okta ने Agent SSO को बिना किसी अतिरिक्त लागत के अपनी मुख्य सिंगल साइन-ऑन पेशकश का हिस्सा बनाया है — यह संकेत है कि वह इस पैटर्न को प्रीमियम सुविधा के रूप में बेचने के बजाय एक मानक के रूप में फैलाना चाहता है। इसकी घोषणा में इस दृष्टिकोण पर इसके साथ काम कर रही कंपनियों के नाम भी दिए गए, जिनमें Anthropic, Atlassian, Slack, Notion, Datadog और Figma शामिल हैं।
नया नियम: आपकी कंपनी के भीतर चलने वाले हर AI एजेंट का एक नाम, उसके लिए जवाबदेह एक मानव मालिक, सीमित अनुमतियां और एक समाप्ति तिथि होनी चाहिए। ठीक एक कर्मचारी की तरह।
सऊदी अरब में व्यवसाय मालिक के लिए इसका क्या अर्थ है
जिस वर्ष को किंगडम ने आर्टिफिशियल इंटेलिजेंस का वर्ष घोषित किया है, उसमें कंपनियां ग्राहक सेवा, बिक्री और संचालन में AI एजेंटों को तेज़ी से ला रही हैं। और पायलट से वास्तविक उत्पादन की ओर बढ़ना ठीक वही बिंदु है जहां पहचान और अनुमतियां तकनीकी विवरण नहीं रह जातीं और एक मुख्य चिंता बन जाती हैं।
इसका एक नियामक पहलू भी है। व्यक्तिगत डेटा संरक्षण कानून (PDPL) किसी संगठन से यह अपेक्षा करता है कि वह नियंत्रित करे कि व्यक्तिगत डेटा तक कौन और किस उद्देश्य से पहुंचता है, और ऑडिट के दौरान इसे साबित कर सके। अगर आपका AI एजेंट किसी ऐसी साझा कुंजी के ज़रिए ग्राहक डेटा पढ़ता है जो किसी खास व्यक्ति की नहीं है, तो आप वास्तव में इस सवाल का जवाब नहीं दे सकते कि "इस डेटा तक किसने पहुंच बनाई?" — और यह केवल तकनीकी कमज़ोरी नहीं, बल्कि अनुपालन संबंधी कमी है।
व्यावहारिक कदम जिनसे आप आज ही शुरुआत कर सकते हैं
शुरुआत करने के लिए आपको किसी वैश्विक प्लेटफ़ॉर्म की ज़रूरत नहीं है। वही सिद्धांत ठीक से बनाए गए किसी भी आंतरिक सिस्टम पर लागू होते हैं:
- अपने एजेंटों की सूची बनाएं: आज आपके सिस्टम से जुड़े हर AI टूल को सूचीबद्ध करें — संख्या आपको हैरान कर देगी।
- हर एजेंट के लिए अलग खाता: कभी भी किसी कर्मचारी का खाता या सामान्य-उद्देश्य वाली कुंजी कई टूल्स के बीच साझा न करें।
- न्यूनतम विशेषाधिकार: अगर एजेंट को केवल पढ़ने की ज़रूरत है, तो उसे बदलने या हटाने की अनुमति न दें।
- अल्पकालिक टोकन: स्थायी कुंजियों को ऐसे टोकन से बदलें जो अपने आप समाप्त और नवीनीकृत होते हैं।
- पूरा ऑडिट ट्रेल: एजेंट की हर कार्रवाई उसके नाम, समय-मुहर और प्रभावित सिस्टम के साथ दर्ज की जाती है।
- एक मानव मालिक: हर एजेंट का एक जवाबदेह कर्मचारी होता है जो समय-समय पर उसकी अनुमतियों की समीक्षा करता है और उसे रोक सकता है।
- संवेदनशील कार्यों के लिए मानवीय स्वीकृति: वित्तीय हस्तांतरण, डेटा हटाने और ग्राहकों को थोक संदेश भेजने के लिए एक मानवीय जांच बिंदु ज़रूरी है।
Origami में हम इसे कैसे देखते हैं
जब हम किसी क्लाइंट के लिए कस्टम सिस्टम बनाते हैं और उससे कोई AI एजेंट जोड़ते हैं, तो हम पहले दिन से उस एजेंट को खाते, अनुमतियों और लॉग वाले एक उपयोगकर्ता की तरह मानते हैं — व्यवस्थापक की कुंजी से चलने वाली किसी स्क्रिप्ट की तरह नहीं। यह सरल आर्किटेक्चरल निर्णय क्लाइंट को बाद में दोबारा बनाने से बचाता है और सिस्टम को शुरुआत से ही ऑडिट के लिए तैयार बनाता है, बजाय इसके कि ऑडिटर के पहले सवाल या पहली सुरक्षा घटना पर उसमें पैबंद लगाए जाएं।
Okta की घोषणा इसलिए मायने रखती है क्योंकि यह उस चीज़ को, जो पहले अलग-अलग डेवलपरों के विवेक पर छोड़ी जाती थी, प्रमुख टूलिंग विक्रेताओं द्वारा समर्थित एक उद्योग मानक में बदल देती है। जो कोई आज इस आधार पर निर्माण करेगा, वह खुद को अपने आप उस चीज़ के अनुरूप पाएगा जो एक-दो साल बाद एक बुनियादी आवश्यकता बन जाएगी।
निष्कर्ष: आपकी कंपनी के भीतर AI अब कोई टूल नहीं है जिसका आप उपयोग करते हैं, बल्कि एक पक्ष है जो आपकी ओर से काम करता है। और आपकी ओर से काम करने वाले हर पक्ष को एक पहचान और स्पष्ट सीमाओं की ज़रूरत होती है — वरना आप एक ऐसे जोखिम का प्रबंधन कर रहे हैं जिसे आप देख नहीं सकते।
स्रोत
- Okta — Agent SSO की आधिकारिक घोषणा (24 अगस्त 2026)।
- Okta — हर एजेंट को एक पहचान चाहिए (Okta for AI Agents प्लेटफ़ॉर्म)।
- सऊदी डेटा और आर्टिफिशियल इंटेलिजेंस प्राधिकरण (SDAIA) — व्यक्तिगत डेटा संरक्षण कानून और उसके नियंत्रण।
सामान्य प्रश्न
किसी AI एजेंट की पहचान होने का क्या अर्थ है?
इसका अर्थ है कि एजेंट आपके सिस्टम के भीतर अपने खुद के खाते के रूप में पंजीकृत है, जिसका एक ज्ञात नाम, सीमित अनुमतियां और उसके लिए जवाबदेह एक मानव मालिक है, बजाय इसके कि वह किसी साझा स्थिर कुंजी से लॉग इन करे। इससे आप ठीक-ठीक देख सकते हैं कि उसने क्या किया, सीमित कर सकते हैं कि वह किन चीज़ों तक पहुंच सकता है, और ज़रूरत पड़ने पर उसकी पहुंच तुरंत रद्द कर सकते हैं।
AI एजेंट के लिए स्थिर API कुंजी का उपयोग करने में क्या जोखिम है?
स्थिर कुंजी कभी समाप्त नहीं होती, आमतौर पर किसी कॉन्फ़िग फ़ाइल या कोड में रखी जाती है, और अक्सर कई टूल्स के बीच साझा की जाती है। अगर यह लीक हो जाए तो आपको पता नहीं चलेगा कि इसका उपयोग किसने और कब किया, और आप इस पर निर्भर हर चीज़ को तोड़े बिना इसे रद्द नहीं कर सकते। विकल्प है किसी विशिष्ट पहचान से जुड़े अल्पकालिक टोकन, जो अपने आप समाप्त और नवीनीकृत होते हैं।
क्या यह केवल बड़े उद्यमों के लिए प्रासंगिक है?
नहीं। कोई भी संगठन जो किसी AI टूल को ग्राहक डेटा या संचालन वाले सिस्टम से जोड़ता है, प्रभावित होता है, भले ही केवल एक ही टूल हो। वही सिद्धांत — एक अलग खाता, न्यूनतम विशेषाधिकार, एक ऑडिट ट्रेल — एक छोटे सिस्टम पर भी उतने ही लागू होते हैं जितने किसी एंटरप्राइज़ प्लेटफ़ॉर्म पर, और शुरुआत से लागू करने पर लागत कहीं कम होती है।
इसका सऊदी अरब के व्यक्तिगत डेटा संरक्षण कानून से क्या संबंध है?
कानून संगठनों से व्यक्तिगत डेटा तक पहुंच को नियंत्रित करने और ऑडिट के दौरान उस नियंत्रण को साबित करने की अपेक्षा करता है। अगर आपका AI एजेंट बिना किसी अलग पहचान वाले साझा खाते के ज़रिए ग्राहक डेटा तक पहुंचता है, तो आप यह स्थापित नहीं कर सकते कि डेटा तक किसने और किस उद्देश्य से पहुंच बनाई, और यह तकनीकी कमज़ोरी होने से पहले एक अनुपालन संबंधी कमी है।
Google पर Origami को फ़ॉलो करें
Origami को अपना पसंदीदा स्रोत बनाइए, तो हमारे लेख आपको Google Search और प्रमुख ख़बरों में सबसे पहले दिखेंगे।
