حلول أمان وكلاء الذكاء الاصطناعي للمؤسسات: دليل المشتري الكامل (2026)

Introduction

In July 2025, Replit's AI coding agent wiped an entire production database during a live coding session. In January 2026, CVE-2026-25253 - the first CVE ever assigned to an agentic AI system, demonstrated remote code execution through a crafted skill package in the OpenClaw runtime. Weeks later, the ClawHavoc campaign saw attackers publish over 1,200 malicious skills to the OpenClaw marketplace, deploying the AMOS credential stealer across enterprise developer machines.

These aren't theoretical attack scenarios from a security research paper. They are production incidents from the first twelve months of enterprise-scale agentic AI deployment. And they represent only the documented failures - the ones publicly disclosed. The gap between disclosed and actual incidents is likely far larger.

The enterprise AI agent security market is being built in response to a deployment wave that is already happening. Organizations are not waiting for security tooling to mature before deploying agents, they're deploying agents and then discovering the security gaps under live conditions.

This guide maps the complete enterprise AI agent security solutions landscape: what the attack surface looks like, how the vendor market is organized, where the gaps are, and what a complete enterprise security architecture looks like for agentic AI in 2026. It covers how TrueFoundry's AI Gateway and MCP Gateway function as the infrastructure control plane within this broader ecosystem.

Why AI Agents Break Traditional Security Tools

The instinct of most security teams evaluating agentic AI is to apply the same tooling that governs their SaaS applications: WAF for the API surface, CASB for data governance, DLP for sensitive data, SIEM for event correlation. All of these tools are necessary. None of them are sufficient.

Traditional security tools are designed around a specific assumption: a human initiates an action, and the action is discrete. A user clicks send on an email. A developer runs a git push. A query executes against a database. Each action has a clear initiator, a clear scope, and a clear completion boundary.

AI agents violate every part of this assumption. An agent:

• Initiates multi-step action chains autonomously, where individual steps would be legitimate in isolation but the chain as a whole represents a threat (bulk file read → API write → external upload)
• Processes untrusted content as part of its reasoning pipeline - documents, web pages, API responses, database records can all contain injected instructions
• Maintains state across tool invocations - the context window carries information from one tool call to the next, meaning a single injection can contaminate the entire session
• Operates at machine speed - a complete data exfiltration chain can execute in seconds, before any human reviewer sees the activity
• Holds non-human identities with privileged access - database credentials, OAuth tokens, API keys - that don't map to any individual employee in your IAM system

OWASP's Agentic AI Top 10 (2025) formalizes this threat landscape. The top three risks are prompt injection and jailbreaks, memory poisoning (corrupting the agent's long-term memory store), and tool/plugin misuse - none of which have adequate coverage in traditional security tooling. WAFs don't understand agent reasoning chains. DLP doesn't inspect the content of an LLM's context window. CASB doesn't attribute tool calls to user identity when the tool call originates from an agent process.

The security gap is not a configuration problem. It's a category mismatch. Enterprises need purpose-built tooling for the agentic layer and in 2026, that market has organized into five distinct vendor categories.

The Five-Layer Attack Surface

Understanding the vendor landscape requires understanding the attack surface it's designed to protect. Enterprise AI agents have five distinct layers where threats materialize:

The vendor market is organized around these five layers. No single vendor covers all five comprehensively. Understanding what each vendor category addresses  and where the gaps remain, is the foundation of an enterprise evaluation.

The Enterprise AI Agent Security Vendor Landscape

1. AI Agent Identity Security

The problem this solves: AI agents are non-human identities with privileged access. Traditional PAM tools were built for human users. Agents spin up and down dynamically, often have over-provisioned credentials, and aren't tied to the offboarding flows that revoke human access when employees leave.

CyberArk is the dominant vendor in this category, having expanded its Identity Security Platform specifically for AI agent identities. Key capabilities include automated agent discovery across SaaS, cloud, and developer environments; zero standing privilege enforcement; and just-in-time credential issuance. CyberArk's research found that fewer than 10% of organizations have adequate privilege controls for their AI agent identities - a market CyberArk is explicitly targeting.

What it misses: CyberArk governs credential issuance and identity lifecycle. It doesn't inspect the content of what those credentials are used to do the prompt, the tool call, the response. You need other layers for that.

2. AI Runtime Security Platforms

The problem this solves: Behavioral detection of malicious agent activity at runtime - prompt injection attempts, jailbreaks, anomalous tool sequences, data exfiltration patterns.

Palo Alto Networks Prisma AIRS (version 3.0, released March 2026) is the most comprehensive platform in this category- covering AI application security, AI model security, AI data protection, and AI agent protection in a unified platform. The AI Runtime Firewall inspects LLM I/O for injection patterns and policy violations. AIRS includes AI red teaming capabilities and posture management.

Lasso Security focuses specifically on prompt injection protection and LLM interaction monitoring across agentic workloads, with MCP visibility as a key differentiator. Straiker and HiddenLayer round out the category with model-level threat detection and red teaming.

What they miss: Runtime security platforms detect threats but typically don't govern infrastructure - they sit in monitoring mode. They don't enforce model access control, budget caps, rate limits, or provide the MCP server registry that determines which tools agents can reach in the first place.

3. AI Gateways (LLM Proxy Layer)

The problem this solves: Centralized governance of every LLM request - authentication, model routing, rate limiting, budget enforcement, and request-level observability. The AI gateway sits between the agent and the model provider as a transparent proxy.

This is a crowded category: TrueFoundry AI Gateway, Portkey, LiteLLM, Bifrost, and cloud-native options via AWS Bedrock and Google Vertex AI. The key differentiators are multi-provider support (whether the gateway can route to Anthropic, OpenAI, Azure, Bedrock, and Vertex simultaneously), the depth of observability, and whether the gateway integrates with an MCP governance layer.

TrueFoundry AI Gateway is specifically built for enterprise agentic deployments - with sub-4ms p95 latency, 350+ RPS on 1 vCPU, virtual key management that never exposes the underlying provider API key to end users, and native integration with TrueFoundry's MCP Gateway for unified LLM + tool governance.

What they miss: AI gateways govern the model call layer. Without a companion MCP Gateway, tool invocations - which are where the most consequential agent actions happen remain ungoverned.

4. MCP Gateways (Tool Layer)

The problem this solves: Centralized governance of every MCP tool invocation - which servers are reachable, which tools are accessible by which identities, pre-execution guardrails, and a complete audit trail of what each agent did with each tool.

This is the newest and fastest-growing category. With the MCP ecosystem expanding to thousands of servers, the supply chain risk has become significant. Snyk's ToxicSkills audit found 36.82% of 3,984 scanned agent skills had at least one security flaw. Arbitrary file read, RCE, and tool poisoning vulnerabilities have been documented in widely-used official MCP servers.

TrueFoundry MCP Gateway provides a centralized server registry with RBAC at the tool level, pre-execution guardrails that flag injection-pattern tool sequences, and a full invocation log - user identity, tool name, request payload, response, latency - exportable via OpenTelemetry to any SIEM.
See TrueFoundry MCP Gateway documentation for architecture details.

What they miss: MCP gateways govern tool access but don't inspect the model reasoning layer that drives tool selection for that, you need runtime security or AI gateway guardrails.

5. فرق الاختراق بالذكاء الاصطناعي وإدارة الوضع الأمني

المشكلة التي يحلها هذا: تحديد نقاط الضعف في عمليات نشر الوكلاء لديك بشكل استباقي قبل أن يفعلها المهاجمون - من خلال اختبار الاختراق الآلي، وتقييم الوضع الأمني، والمسح الأمني المستمر.

مقارنة المنصات الكاملة: ما تغطيه كل فئة

أين تتناسب TrueFoundry: مستوى التحكم في البنية التحتية

يتوافق مشهد البائعين الموضح أعلاه مع نموذج ذهني محدد: بعض البائعين يكتشفون التهديدات؛ TrueFoundry تفرض السياسة. هذه وظائف متكاملة، وليست متنافسة.

يراقب Palo Alto AIRS و Lasso Security سلوك الوكيل وينبهان عندما يبدو شيء خاطئ. TrueFoundry تتحكم فيما يمكن أن يحدث في المقام الأول - قبل أن تتاح لأي تهديد فرصة للتنفيذ.

تتكون البنية من ثلاث طبقات:

الطبقة 1: بوابة الذكاء الاصطناعي - نقطة تطبيق LLM

يتم توجيه كل استدعاء نموذج من كل وكيل في مؤسستك عبر بوابة الذكاء الاصطناعي الخاصة بـ TrueFoundry عبر ANTHROPIC_BASE_URL (أو ما يعادله لـ OpenAI و Azure و Bedrock و Vertex). في هذه الطبقة:

• إدارة المفاتيح الافتراضية - يتلقى المطورون وعمليات الوكلاء مفاتيح محددة النطاق لا تكشف أبدًا عن مفتاح API الخاص بالمزود الأساسي. يمكنك إلغاء مفتاح افتراضي دون المساس بحساب المزود أو التأثير على المستخدمين الآخرين.
• التحكم في الوصول إلى النماذج - تحديد النماذج التي يمكن لكل فريق أو مستخدم أو هوية وكيل الوصول إليها. حظر GPT-4o عن فريق يجب أن يستخدم Claude Sonnet فقط. منع الوصول إلى النماذج عالية القدرة لمسارات العمل الآلية التي لا تحتاج إليها.
• حدود الميزانية وقيود المعدل - حدود إنفاق لكل مستخدم، ولكل فريق، ولكل مشروع تمنع سيناريوهات الوكلاء الجامحة (مثل حادثة Replit) من استهلاك موارد حوسبة غير محدودة.
• تتبع على مستوى الطلب - تسجيل كل استدعاء لنموذج اللغة الكبير (LLM) مع تحديد المستخدم، والنموذج، وعدد الرموز، وزمن الاستجابة، والتكلفة. يتم التصدير عبر OpenTelemetry إلى Grafana أو Datadog أو Splunk أو نظام SIEM الخاص بك. هذا يسد فجوة تدقيق Cowork، وفجوة مراقبة Claude Code، وفجوة تحديد مفتاح API في آن واحد.

للاطلاع على بنية النشر الكاملة، انظر دليل تكامل TrueFoundry Claude Code.

الطبقة 2: بوابة MCP - نقطة فرض الأدوات

يتم توجيه كل استدعاء لأداة MCP عبر بوابة MCP من TrueFoundry - نقطة النهاية الوحيدة المعتمدة في managed-settings.json. في هذه الطبقة:

• سجل الخوادم المركزي - لا يمكن الوصول إلا إلى الخوادم المعتمدة صراحةً من قبل فريق المنصة الخاص بك. يتم حظر الهجمات على غرار ClawHavoc، حيث يقوم مطور بتثبيت مهارة سوق خبيثة، على مستوى الشبكة قبل حدوث أي استدعاء.
• الوصول إلى الأدوات المستند إلى الدور - يتمتع المهندس بإمكانية الوصول إلى أدوات التعليمات البرمجية. يتمتع محلل مالي بإمكانية الوصول إلى أدوات بيانات مالية للقراءة فقط. يتمتع مسار عمل إداري بإمكانية الوصول إلى أدوات الكتابة. يتم فرض هذه الصلاحيات عند البوابة، ولا يُوثق بها من عملية الوكيل.
• ضوابط وقائية قبل التنفيذ - يتم وضع علامة على تسلسلات الأدوات التي تطابق سلوك الحقن (قراءات الملفات المجمعة متبوعة بكتابات خارجية، استدعاءات واجهة برمجة التطبيقات ذات نمط التسريب) أو حظرها قبل التنفيذ.
• سجل تدقيق الاستدعاء الكامل - هوية المستخدم، اسم الأداة، عنوان URL للخادم، حمولة الطلب، الاستجابة، النجاح/الفشل، ووقت الاستجابة — لكل استدعاء أداة، عبر جميع الوكلاء، وجميع الجلسات، وجميع الفرق.

للاطلاع على بنية حوكمة MCP، انظر وثائق بوابة TrueFoundry MCP.

الطبقة 3: البنية التحتية - ضوابط نقطة النهاية، وإدارة الأجهزة المحمولة (MDM)، والشبكة

طبقة المنصة تحت كلتا البوابتين: managed-settings.json الذي يتم نشره عبر MDM يؤمن تكوين نقطة النهاية، وتمنع قيود المستأجر عند الوكيل تجاوز مصادقة الحساب الشخصي، وتحدد ضوابط خروج الشبكة نطاق الوصول إلى المتصفح وواجهة الأوامر. يتم تغطية هذا بالتفصيل في دليل TrueFoundry لأمن المؤسسات لـ Claude.

أهم 10 مخاطر للذكاء الاصطناعي الوكيلي (Agentic AI) من OWASP: كيف ترتبط كل مخاطرة بالضوابط

قائمة OWASP لأهم 10 مخاطر للتطبيقات الوكيلية (Agentic Applications) لشهر ديسمبر 2025 هي أول إطار عمل موحد للمخاطر في الصناعة للوكلاء المستقلين. إليك كيفية ارتباط أهم المخاطر بضوابط محددة:

تكلفة التقاعس

إن تكلفة نشر حلول أمان وكلاء الذكاء الاصطناعي للمؤسسات حقيقية. لكن تكلفة عدم نشرها أكبر.

كان مسح قاعدة بيانات Replit الإنتاجية حادثًا أثر على استمرارية الأعمال وله تأثير مباشر على الإيرادات. استهدفت حملة ClawHavoc مخازن بيانات اعتماد المطورين على نطاق المؤسسة. أظهرت CVE-2026-25253 تنفيذ تعليمات برمجية عن بعد (RCE) ضد وقت تشغيل الوكيل في منصة منتشرة على نطاق واسع. تسببت هذه الحوادث في تكاليف معالجة حقيقية، وأضرار بسمعة الشركات، وفي بعض الحالات، تدقيق تنظيمي.

بالإضافة إلى الحوادث، هناك تكلفة الامتثال. المؤسسات التي تشغل Cowork أو Claude Code في سياقات HIPAA أو SOC 2 أو GDPR أو اللوائح المالية بدون قابلية ملاحظة على مستوى الطلب وحوكمة MCP تعمل بفجوة تدقيق سيتعين عليهم في النهاية شرحها للمدقق. كلما أُغلقت هذه الفجوة مبكرًا، انخفضت تكلفة إغلاقها.

تُسعّر أدوات الأمن في هذه الفئة بآلاف الدولارات شهريًا للنشر على مستوى المؤسسات. وتكلف الاستجابة للحوادث المتعلقة بتسريب بيانات الاعتماد على نطاق المؤسسة ملايين الدولارات.

أسئلة متكررة

ما هي حلول أمن وكلاء الذكاء الاصطناعي للمؤسسات؟

‍حلول أمن وكلاء الذكاء الاصطناعي للمؤسسات هي مجموعة من المنصات والضوابط المصممة لحماية عمليات نشر وكلاء الذكاء الاصطناعي المستقلين من التهديدات الخاصة بالأنظمة الوكيلة - مثل حقن الأوامر، وإساءة استخدام الأدوات، واختراق الهوية، وهجمات سلسلة التوريد، وفشل التدقيق. وهي تشمل خمس فئات: أمن الهوية، وأمن وقت التشغيل، وبوابات الذكاء الاصطناعي، وبوابات بروتوكول سياق النموذج (MCP)، واختبار الاختراق. لا توجد منصة واحدة تغطي جميع الطبقات الخمس؛ فالبنى المؤسسية تجمع بين أدوات متعددة.

ما هي قائمة OWASP لأهم 10 مخاطر للتطبيقات الوكيلة؟

‍قائمة OWASP لأهم 10 مخاطر للتطبيقات الوكيلة (ديسمبر 2025) هي أول تصنيف للمخاطر بمعايير صناعية مصمم خصيصًا لوكلاء الذكاء الاصطناعي المستقلين، ومختلف عن قائمة OWASP لأهم 10 مخاطر للنماذج اللغوية الكبيرة (LLM). المخاطر الثلاثة الأولى هي حقن الأوامر، وتسميم الذاكرة، وإساءة استخدام الأدوات/الإضافات - ولا يغطي أي منها بشكل كافٍ في أدوات الأمان التقليدية. وهي بمثابة الإطار التقييمي الأساسي لتقييم الوضع الأمني لوكلاء الذكاء الاصطناعي في المؤسسات.

ما هي بوابة MCP ولماذا تحتاج كل مؤسسة تنشر وكلاء الذكاء الاصطناعي إلى واحدة؟

‍بوابة MCP هي طبقة تحكم مركزية بين وكلاء الذكاء الاصطناعي والأدوات الخارجية التي يصلون إليها عبر بروتوكول سياق النموذج (Model Context Protocol). بدونها، يوسع كل خادم MCP يتصل به مطور أو وكيل سطح الهجوم مباشرةً - بدون حوكمة، وبدون سجل تدقيق، وبدون فرض مبدأ الحد الأدنى من الامتيازات. بوجودها، يمكن الوصول إلى الخوادم المعتمدة فقط، ويتم تحديد نطاق الوصول إلى الأدوات حسب الدور، وتمنع الحواجز الوقائية قبل التنفيذ التسلسلات التي تسببها عمليات الحقن، ويتم تسجيل كل استدعاء. انظر وثائق بوابة TrueFoundry MCP للحصول على تفاصيل التنفيذ.

ما هو الحد الأدنى من بنية الأمان القابلة للتطبيق لمؤسسة تنشر Claude Code أو Claude Cowork؟

‍كحد أدنى:

(1) الفئة المؤسسية (وليس Team/Pro/Max)،

(2) تسجيل الدخول الموحد (SSO) وSCIM عبر موفر الهوية الخاص بك (IdP)،

(3) managed-settings.json عبر MDM مع تعطيل التجاوز وحظر مسارات بيانات الاعتماد،

(4) جميع حركة مرور نماذج اللغات الكبيرة (LLM) عبر بوابة TrueFoundry AI Gateway،

(5) جميع حركة مرور MCP عبر بوابة TrueFoundry MCP Gateway،

(6) توجيه OTEL إلى نظام SIEM الخاص بك. يغطي هذا الهوية، وحوكمة النماذج، وحوكمة الأدوات، وإمكانية المراقبة. الكشف السلوكي في وقت التشغيل.

انظر دليل التعزيز الكامل في وثائق حوكمة كود TrueFoundry Claude.

الخاتمة

يوجد سوق أمان وكلاء الذكاء الاصطناعي للمؤسسات لأن موجة النشر سبقت أدوات الأمان. تدير المؤسسات اليوم وكلاء مستقلين عبر بنيتها التحتية بدرجات متفاوتة من الحوكمة وإمكانية المراقبة والتحكم. لم تعد الحوادث نظرية. لم تعد فجوة الامتثال نظرية. لم يعد التدقيق التنظيمي نظريًا.

لقد تم تنظيم مشهد البائعين في خمس فئات: أمان الهوية، أمان وقت التشغيل، بوابات الذكاء الاصطناعي، بوابات MCP، واختبار الاختراق (red teaming). لا يوجد بائع واحد يغطي المكدس الكامل. المؤسسات التي تبني دفاعات قوية هي تلك التي تدمج هذه الفئات بشكل متعمد - التنفيذ أولاً، الكشف ثانيًا، والامتثال كنتيجة لكليهما.

تحتل بوابة الذكاء الاصطناعي (AI Gateway) وبوابة MCP من TrueFoundry طبقة التنفيذ في هذه البنية: وهي مستوى التحكم الذي يحدد ما يمكن للوكلاء الوصول إليه، وبأي كميات، وبأي حوكمة، وبأي مسار تدقيق. تقع طبقة الكشف فوق هذا الأساس. وتتدفق أدلة الامتثال من كليهما.

نافذة السبق على موجة النشر تضيق. المؤسسات التي تبني بنية تحتية للحوكمة الآن ستحظى بمواقف دفاعية قبل أن تتطلبها الأطر التنظيمية. أما المؤسسات التي تنتظر فستبني استجابة للحوادث.