Bir yapay zekâ aracısı sanal ağ, veritabanları veya yük dengeleyici oluşturduğunda sorun görevin tamamlanmasıyla sona ermez. Kaynak çalışmaya devam ederek bütçeyi tüketebilir ve bakıma ihtiyaç duyabilir; oysa sahiplik etiketi, kaynakla iletişime geçilebilecek veya kaynağın sorumluluğunun yüklenebileceği bir kişi yerine deploy-agent gibi bir makine kimliğini gösterebilir.
Makale bu meseleyi bulut altyapısındaki bir yönetişim boşluğu olarak ele alıyor: Kaynağı oluşturan yürütme kimliği, mutlaka kaynağın gerçek sahibi değildir. Aracıların sayısı ve oluşturulma hızları arttıkça, çalışanlara dayanan geleneksel sahiplik mekanizmaları yetersiz hâle geliyor.
Aracıların sahibi olduğu kaynakları keşfetmek
İlk adım, sahibi etiketi taşıyan kaynakların envanterini çıkarmak ve bu etiketin değerini kurumun kimlik diziniyle karşılaştırmaktır. AWS ve Azure'da etiket, rol kayıtları veya yerel hizmet sorumluları ile eşleştirilebilir. Google Cloud'da ise makale, sahibin değerinin çalışan dizininde bulunduğunun doğrulanmasını öneriyor; değer burada değilse kullanılan kontrol kuralına göre bu bir insan kimliği değildir.
Bir makine kimliğinin görünmesi, kaynağın hukuka veya kurallara aykırı olduğu anlamına gelmez; otomasyon, altyapıyı kurum adına çalıştırmak üzere tasarlanmış olabilir. Ancak bu kontrol, inceleme kapsamını gerçekten bir insan sahibi atanması gereken kaynaklarla sınırlar.
Uygulamada ne değişiyor?
Dağıtım planını yürüten kişi veya hesabı otomatik olarak sahip kabul etmek yerine, onay politikası sahiplik etiketinin kendisini doğrulamalıdır. Önerilen kural, etiketlenebilir kaynak sahipsizse, sahibin değeri bir kişinin e-posta biçimindeki adresi değilse veya bilinen aracı kimliklerinden biriyle eşleşiyorsa hiçbir dağıtımın geçmemesidir.
Makale, aracı kimlikleri listesinin politika motoruna aktarılan bir JSON dosyasında tutulmasını öneriyor. Liste yoksa politika, kontrol yapılmadan dağıtıma izin vermek yerine güvenli biçimde başarısız olmalıdır. Ayrıca yönetici yetkilerine sahip API anahtarlarının kullanılmaması konusunda uyarıyor; bunun yerine her aracıya ayrı bir ekip içinde User türünde, çalıştığı ortamla sınırlı yetkilere sahip bir anahtar verilmesini ve ortak belirteçlerden kaçınılmasını öneriyor.
Ortamların yaşam süresini belirlemek
Dağıtım politikaları, aracıların hâlihazırda oluşturduğu eski kaynakları ele almak için yeterli değildir. Bu nedenle makale, ortam için bir süre sınırı kullanılmasını; ortamı oluşturan ve yaşam süresini belirleyen kişinin insan olmasını, aracının ise bu ortam içinde dağıtım işlemini yürütmesini öneriyor. Böylece sona erme uyarıları, harekete geçebilecek bir insana ulaşır; posta kutusu olmayan bir makine kimliğine gönderilmez.
Makale, env zero'nun ortamı oluşturan kişiyi otomatik olarak yok etmeden önce iki kez, iki gün ve iki saat otuz dakika kala uyardığını belirtiyor. Ayrıca Axiom'da, 24 saat içinde sahiplenilmezse hesabı otomatik olarak silen bir model bulunduğuna işaret ediyor.
Bu haber neden önemli?
Makale, sorunun büyümesini kurumlar içindeki aracı sayılarının artışıyla ilişkilendiriyor. Gravitee'nin 2026 tarihli araştırmasına göre, kurumsal aracıların ortalama sayısı Aralık 2025 ile Nisan 2026 arasındaki dört ayda yaklaşık iki katına çıktı; kurumların üçte birinden fazlası ise 100'den fazla aracı çalıştırıyordu. Larridin tarafından gerçekleştirilen araştırmalar da kurumsal ortamlarda atanmış sahibi bulunmayan ortalama 47 aracı olduğunu ortaya koydu.
Aracılar ortak bir hizmet hesabı kullandığında soruşturma daha da zorlaşır; çünkü günlük, kaynağın oluşturulduğunu kanıtlayabilir, ancak buna hangi çalıştırmanın, talebin veya kararın yol açtığını açıklayamaz. Bu nedenle açıkça bir insan sahibi atanması yalnızca maliyetleri ele almakla kalmaz, denetim kayıtlarındaki hesap verebilirlik boşluğunun bir bölümünü de kapatır.
Açık kalan sınırlamalar da nettir: Bu kontrollerin başarısı kimlik dizinlerinin doğruluğuna, aracıların yetki politikalarını aşmamasına ve kaynağın fiilî sahibinin kim olduğuna ilişkin kurum genelinde sabit bir tanım bulunmasına bağlıdır. Kaynağın kendisi env zero sponsorluğunda hazırlanmış bir rehber niteliğinde olduğundan, ürünlere ilişkin önerileri pazarın tek standardı değil, önerilen çözümler olarak değerlendirmek gerekir.