Krasnov beschreibt die eigentliche Gefahr nicht als einzelnen kompromittierten Agenten, sondern als strukturelle Schwachstelle im Identitätsmodell moderner Cloud-Umgebungen. Bei der Verfolgung des missbrauchten Workflow-Agenten und seiner ruhenden Berechtigungen habe sich gezeigt, wie viele nichtmenschliche Identitäten außerhalb konventioneller Vertrauensmodelle existieren. Besonders problematisch sei, wie viele dieser Identitäten ihre Rechte bis hin zu Root- oder Administratorstatus ausweiten könnten.
Auf einer Online-Session zum Ende der Black Hat USA 2026 will Krasnov eine Red-Team-Methodik vorstellen, mit der sich aus einem einzelnen geleakten Schlüssel eine vollständige Kompromittierung einer Cloud-Umgebung ableiten lasse. Ebenso will er zeigen, wie sich verkettete Vertrauensbeziehungen missbrauchen lassen, um in Identitätsanbieter wie Okta vorzudringen.
Aus Sicht eines Angreifers sei der Reiz solcher Zugangsdaten offenkundig. Statt „zwei Wochen“ in den Aufbau einer Phishing-Kampagne zu investieren, könne ein Angreifer laut Krasnov auch „fünf Minuten“ dafür aufwenden, nach offengelegten Token zu suchen. Wahrscheinlicher sei der schnelle Weg über solche Geister-Zugangsdaten.
Im zweiten Teil seiner Präsentation will Krasnov die Verteidigerperspektive einnehmen und erläutern, wie sich wieder eine verlässliche „Quelle der Wahrheit“ für nichtmenschliches Vertrauen aufbauen lässt. Dazu plant er die Veröffentlichung von NHI Hound, einem Open-Source-Werkzeug, das er entwickelt hat. Das Tool verarbeitet Identitätsdaten von Anbietern wie Okta, GitHub und Cloud-IAM-Plattformen und macht verborgene Vertrauensbeziehungen zwischen menschlichen und nichtmenschlichen Konten sichtbar.
NHI Hound simuliert laut Krasnov Missbrauchspfade im schlimmsten Fall, damit Verteidiger erkennen können, welche ruhenden Zugangsdaten tatsächlich in Produktionsumgebungen oder zu Administratorrollen bei Identitätsanbietern führen. Außerdem erstellt das Werkzeug ein Inventar des vollständigen Bestands einer Organisation an nichtmenschlichen und menschlichen Identitäten, klassifiziert sie nach Schweregraden des Vertrauens und schlägt Maßnahmen zur Behebung vor.
Als „kritisch“ bezeichnet Krasnov Konstellationen, in denen Identitäten mit geringem Vertrauensniveau aufgrund impliziter oder abgeleiteter Vertrauensbeziehungen faktisch dieselben Aktionen ausführen können wie Super-Admin-Konten, obwohl die Organisation diese Beziehungen nie ausdrücklich definiert hat.
Formale Pilotprojekte mit Unternehmen für einen Proof of Concept von NHI Hound gibt es laut Krasnov noch nicht. Informelle Tests mit kleinen und mittelgroßen Unternehmen mit bis zu 2.000 Beschäftigten hätten jedoch „sehr gute Ergebnisse und sehr gute Rückmeldungen“ geliefert. Solche kleineren, schnell agierenden Organisationen könnten ihren Vertrauensgraphen für nichtmenschliche Identitäten mit dem Tool realistisch in sechs bis neun Monaten bereinigen.
Für große Unternehmen sieht Krasnov die Lage deutlich schwieriger. Wegen der größeren Zahl zu verwaltender Identitäten werde das Problem gravierender und schwerer beherrschbar. Nach seiner Forschung kann ein einzelner Entwickler bis zu 244 nichtmenschliche Identitäten haben. Wächst eine Organisation auf deutlich mehr als rund 2.000 Beschäftigte, werde „der gesamte Graph extrem, extrem unübersichtlich“, was die Nachverfolgung von Identitäten erschwere.
Die Folge sei, dass große Organisationen die Auswertung womöglich als „zu viel Unordnung und zu viel Rauschen“ wahrnehmen, mit so vielen kritischen Vertrauensproblemen, dass kaum klar sei, wo sie beginnen sollen. Langfristig will Krasnov NHI Hound deshalb besser für große Organisationen nutzbar machen, etwa mit besserer Visualisierung, verständlicheren Graphen und einer auf größere Identitätsgraphen ausgelegten Darstellung.