В това интервю за Help Net Security Кели Херел, главен изпълнителен директор на Nol8, обяснява къде AI агентите създават рискове за организациите. Първото нещо, което трябва да се изследва, е пътят на данните: до какво може да достигне един агент, какво влиза в неговия контекст и къде отиват резултатите.
Системите за управление на тикети, CRM платформите и споделените дискове съхраняват години наред чувствителен контекст, който агентите могат да съберат за секунди. Разговорът обхваща 90-дневен план за ограничаване на достъпа до данни, напрежението между бизнес и сигурност екипите, както и аргументите в полза на прилагането на политики директно в пътя на данните.
Аз не искам списъка с агенти. Искам пътя на данните.
Покажете ми до какво може да достигне агентът, какви данни могат да влязат в неговия контекст, кои инструменти и модели може да извиква, дали може да комуникира с други агенти и къде могат да отидат получените данни.
Инвентаризацията на агентите ми казва какво организацията смята, че е внедрила. Пътят на данните ми казва какво реално е изложила на риск. Разликата между двете е нивото на уязвимост и експозиция. Последващият въпрос е дали могат да ми покажат всяко взаимодействие, преминало през този път — или само извадка. Отговорът почти винаги е извадка.
Повечето организации могат да отговорят на първите два въпроса: легитимен ли е този агент и до какво има право на достъп. Почти никой не може да отговори на третия: какво трябва да вижда, пренася или разкрива този агент в това конкретно взаимодействие.
Изненадващите източници не са непременно бази данни. Това са системите, които предприятията са натрупвали с години, без да мислят за тях като за големи, свързани хранилища за данни.
Системата, която изненадва хората най-много, е тази за управление на тикети. Един-единствен тикет може да съдържа копиран производствен лог с все още активни идентификационни данни за достъп, детайли за профила на клиент и стъпка по стъпка история как е възникнал последният инцидент. Умножете това по години натрупани тикети — никой никога не е мислил за това като за набор от данни. CRM платформите, инструментите за съвместна работа, споделените дискове, базите със знания и историите на чатовете съдържат същия тип чувствителен институционален контекст.
Исторически погледнато, събирането на тази информация изискваше човек да знае къде да търси, да формулира заявка, да отвори друго приложение и да свърже детайлите ръчно. Това триене изпълняваше ролята на защитна мярка — изискваше се време и познания, за да се сглоби цялата картина, и това усилие мълчаливо действаше като контрол за сигурност. Агентът извлича и свързва същите тези елементи почти незабавно. Той премахва триенето, а с него изчезва и контролът.
Собствените данни не са станали внезапно чувствителни поради появата на изкуствения интелект. AI промени скоростта, мащаба и лекотата, с които тези данни могат да бъдат откривани, комбинирани и премествани.
Първата седмица е посветена на видимостта, а не на опити за препроектиране на цялата среда.
Картографирайте пътищата между агентите, фирмените източници на данни, моделите, инструментите и другите агенти. Измерете какви чувствителни данни пресичат тези граници и установете къде могат да се прилагат политики по време на изпълнение.
Бих отложил мащабните разработки: пълно препроектиране на идентичностите, преписване на всеки агент, перфектно класифициране на всеки елемент от корпоративните данни, създаване на маскирани копия за всяка роля или внедряване на библиотеки със защитни ограничения в кода на всеки агент. Всичко това скалира с броя на агентите и ролите, а не с риска.
Целта е бързо да се установи контрол в точките, където данните се движат. Първо наблюдавайте, приложете мерки по пътищата с най-висок риск, след което разширете обхвата. Всичко по-сложно зависи от способността първо да виждате и прилагате контрол в тези точки.
Не е необходимо да решавате всеки проблем с управлението на AI в рамките на 90 дни. Трябва да установите контрол върху данните, пресичащи границата.
Бизнес екипите искат агентите да имат повече контекст, защото контекстът ги прави по-полезни. Екипите по сигурност естествено искат да ограничат достъпа, тъй като по-широкият достъп създава по-голям риск.
И двете позиции са логични. Грешката е изборът да се разглежда като двоичен: или давате на агента достъп до системата, или не.
Даден агент може легитимно да се нуждае от достъп до Salesforce, Jira или база данни, без да се нуждае от всеки детайл, който тези системи могат да върнат. Това е разликата между авторизация и управление на данни.
По-добрият модел е да се прилага политика върху самите данни, вътре във взаимодействието: чувствителните полета се анонимизират или блокират в движение за всеки агент и всяка роля, докато останалата част от отговора преминава. Агентът запазва достъпа, който бизнесът иска, а полетата, които не трябва да вижда, никога не стигат до него. Обичайната алтернатива — поддържане на маскирано копие на данните за всяка роля — нараства с всяка добавена роля и агент. Този подход не нараства така.
Бизнесът получава своя агент в реална експлоатация, екипът по сигурност получава контрол, който може да провери, и няма дублиращо копие на данните, което да трябва да се поддържа. Това е третата опция, освен „разреши всичко“ и „блокирай агента“.
Преди да внедрят друг агент, организациите трябва да изградят детерминирана точка за прилагане на политики за данните, влизащи и излизащи от средата на агентите. На практика тази точка за прилагане трябва да отговаря на четири условия. Тя се намира в пътя на данните, така че трафикът да не може да я заобиколи. Тя прочита всеки инжектиран код и данни (payload). Тя взема решение въз основа на това какво съдържат данните, а не според етикет или таг. И тя е детерминирана, така че един и същ входен сигнал да произвежда едно и също решение всеки път, което позволява на екипа по сигурност да одобри механизма. Това е слоят, който наричаме AI Data Plane.
Не приемайте, че тъй като даден агент е удостоверен (автентифициран) и оторизиран за достъп до система, всяка върната от тази система информация е подходяща за консумиране или разкриване от агента.
Автентификацията отговаря на въпроса кой е агентът. Авторизацията определя къде може да отиде. Управлението на данните определя каква информация трябва да премине границата.
Тази разлика е от значение, тъй като агентите извличат, комбинират и преместват информация много по-бързо от човешките работни процеси, за които са създадени нашите контроли. Това, което ме убеди, бе да видя как алтернативата се проваля: контрол, внедрен в кода на всеки агент, зависи от това всеки разрабочик да се сети да го извика, и той се проваля още първия път, когато един екип забрави. Вместо това поставете контрола директно в пътя на данните, където забравянето не е опция.
Изтеглете: Ръководство за разработка на софтуер с AI агенти