Palo Alto Networks ने गुरुवार को अपनी 2026 Identity Security Landscape report प्रकाशित की, जिसमें headline number किसी भी AI-agent procurement deck में पिन करने लायक़ है: organizations अब हर human identity के लिए औसतन 109 machine identities manage कर रही हैं। AI agents उसमें बढ़ता हिस्सा रखते हैं। survey respondents अगले बारह महीनों में machine identity 77%, AI agent 85%, और human identity 56% बढ़ने का अनुमान लगाते हैं — यानी agent/machine layer human layer से दोगुनी तेज़ी से फैल रही है, और 2027 तक gap काफ़ी चौड़ा होगा। downstream problem जिसे रिपोर्ट flag करती है, वह perception gap है: C-suite executives मानते हैं कि उनकी संस्थाएँ least-privilege लागू कर रही हैं क्योंकि वे human access पर ध्यान देते हैं, जबकि security practitioners रिपोर्ट करते हैं कि वे cloud, SaaS, और on-prem में service accounts के लिए लगातार least-privilege enforce नहीं कर पा रहे। आधे से ज़्यादा respondents इस gap को लिखित में स्वीकार करते हैं।
Unit 42 का incident data वह हिस्सा है जिसे सबसे ज़्यादा वज़न देना चाहिए — यह survey self-report की जगह वास्तविक breach investigations से आता है। Unit 42 ने 2025 में 750 से अधिक cyber incidents की जाँच की; 87% मामलों में, investigators को क्या हुआ यह स्थापित करने के लिए दो या अधिक अलग sources से evidence चाहिए था, और complex incidents में दस तक sources लगे। fragmented identity systems ने identity-related incident response में औसतन 12 घंटे जोड़े। उभरता हुआ pattern है कि authentication को control के रूप में अधिक महत्त्व दिया गया है जबकि post-login activity कम monitored है: SSO और MFA सामने का दरवाज़ा सुरक्षित करते हैं, पर authentication के बाद agent, token, या service account जो करता है उसे कोई नहीं पकड़ता। AI agents पहले से ही financial records, PII, operational technology, और core business systems तक पहुँच रहे हैं — और अधिकांश organizations यह परिभाषित नहीं कर सकतीं कि वे agents क्या access कर सकते हैं, access कैसे बँधा है, permissions कब revoke होते हैं, या कौन-से systems एक-दूसरे से access inherit करते हैं।
ecosystem read इस सप्ताह आ रही agentic-stack pieces से सीधे जुड़ता है। कल कवर किया गया AWS WorkSpaces MCP-agent preview ने IAM-per-agent identity को baseline procurement requirement बना दिया — Palo Alto की रिपोर्ट demand-side data point है जो समझाती है क्यों। उसी news cycle से Microsoft का MDASH agentic security harness offensive-side complement है; जो architectural pattern (100+ specialized AI agents) vulnerabilities ढूँढ़ता है, वही IAM hygiene के बिना deploy होने पर उन्हें बनाएगा भी। इस रिपोर्ट पर ईमानदार hedge: यह Palo Alto Networks का अपना research है, और Palo Alto identity-security products बेचता है जिनमें CyberArk-integrated machine-identity tooling शामिल है — तो 109:1 ratio उनके commercial interest में है flag करना। Unit 42 incident statistics अधिक credible हैं क्योंकि वे वास्तविक investigations से आते हैं, फिर भी इन्हें independent census के बजाय Palo Alto के बाज़ार दृष्टिकोण के रूप में मानना चाहिए।
builders के लिए: अगर तुम ऐसे products ship करते हो जिनमें customer data तक पहुँचने वाले AI agents हैं, तो अगले deployment cycle से पहले तीन ठोस actions। पहला, अपनी machine-identity inventory audit करो — अधिकांश teams वास्तव में गिनने पर पाते हैं कि 109:1 ratio रूढ़िवादी है। दूसरा, service accounts के लिए just-in-time access और production data छूने वाले किसी भी agent के लिए IAM-per-agent identity लागू करो; permanent privileged access अब audit finding है। तीसरा, credential-revocation runbook बनाओ जिसमें human approval step न हो — machine speed पर agent compromise उन organizations को जला देगा जो केवल human speed पर revoke कर सकती हैं। पूरी methodology चाहिए तो Palo Alto रिपोर्ट Help Net Security link पर है; 109:1 framing procurement decks में उठाने योग्य है, और AI agents-grow-85% projection अगले बारह महीनों के लिए planning input है।