AI агент подава на екипа ви препоръка. Тя изглежда разумна и е точна. Моделът не е халюцинирал. Може ли организацията ви да ѝ се довери?
Този въпрос е свързан по-малко с модела и повече с данните зад него. Точността и надеждността са различни свойства. Верният отговор може да се основава на информация, до която потребителят не е трябвало да има достъп, да черпи от система, която никой не е одобрил, или да изпраща чувствителни записи на място, където не им е мястото.
Залозите растат, когато AI преминава от отговаряне на въпроси към предприемане на действия. Чатбот, който съставя резюме, поставя един вид проблем с доверието. Агент, който извлича записи, обновява система и изпраща имейл, поставя съвсем друг. Колкото по-голяма автономия има агентът, толкова по-малко може да ви каже една-единствена проверка на разрешенията.
Достъпът не е същото като намерение
Представете си агент за поддръжка, който работи по случай на клиент. Влиза с валидни идентификационни данни, работи само в одобрени системи и приключва заявката. Прегледът на този работен процес би излязъл чист.
Сега допуснете, че по средата агентът реши, че по-широко търсене може да помогне. Той извлича записи от несвързани клиентски акаунти и ги експортира в споделено работно пространство, което екипът използва и с външна страна. Нищо не се отбелязва като проблем, защото всяка стъпка е разрешена, а местоназначението е одобрено. По-късно някой задава въпросите, от които всеки екип по сигурността се страхува: кои записи са излезли, къде са отишли и кой може да ги види?
Наричаме това дрейф на намерението (intent drift): агент предприема действия, които са в рамките на техническите му разрешения, но извън бизнес целта му. Това не прилича на пробив, защото идентификационните данни, данните и инструментите са легитимни.
Принципът на най-малките привилегии е задължителен минимум и никой агент не бива да се внедрява без дефиниран обхват. Но разрешенията определят дали агентът може да достъпва данните. Те не казват дали задачата изобщо се нуждае от тях.
Три въпроса към всеки AI работен процес
Проследяването на данните заменя един разпилян въпрос (до какво може да стигне този агент?) с проверим (какво направи той?). Стигате дотам с три въпроса: източник, път и цел.
1. Източник: откъде идват данните?
Започнете с произхода: системата, собственика и хранилището, от които идват данните. Профилът за генеративен AI на NIST (AI 600-1) изисква документиране и проследяване на източниците и произхода на данните като част от управлението на AI риска. Произходът трябва да се свързва и с разрешенията и контекста. Агентът може технически да е могъл да извлече даден документ, но дали е трябвало да го използва, е отделен въпрос.
2. Път: накъде са отишли?
Данните рядко пътуват направо от източника до модела. Те се експортират, обобщават, предават на приложение, подават на модел и се използват за действия надолу по веригата, а всяка стъпка може да промени контекста им.
Помислете как работи пран//ето на пари. Престъпниците рядко правят един очевиден превод. Те разделят парите на части, прекарват ги през слоеве от сметки, докато изглеждат легитимни, и ги връщат на повърхността. Всяка отделна транзакция изглежда нормална, затова банките откриват схемата, като следят парите по целия път, а не наблюдават една сметка.
Данните могат да следват същия модел, независимо дали го прави вътрешно лице, или агент, работещ за него: извличане на чувствителни данни от система като Salesforce, прекарването им през AI за обобщаване или пренаписване и изпращане на чистия на вид резултат през обикновен канал. Инструмент, който следи само AI заявките или само имейлите, вижда една сметка и пропуска пътя.
3. Цел: беше ли на място?
Последният въпрос е този, на който разрешенията не могат да отговорят. Един и същ експорт на клиентски записи означава едно, когато следва възложения на агента случай, и съвсем друго, когато следва обхождане на несвързани акаунти. Целта е това, което ги разграничава.
Отговорът изисква историята на самите данни: откъде идват, кой или какво ги е докосвал, как са се променяли и накъде са тръгнали после. Тази история е data lineage (произход и движение на данните) и с нея Cyberhaven проследява целия жизнен цикъл на данните. В примера с поддръжката lineage показва, че експортираните записи започват от заявка към CRM, преминават през сесията на агента и за броени минути се озовават във външно работно пространство. Списък с разрешения никога не би го показал, защото всяко действие е било позволено.
Откъде да започнете
Практическата промяна е да зададете различен въпрос за всеки AI работен процес: какво се случи с данните? Прегледът на достъпа показва до какво може да стигне агентът. Той не показва къде са отишли записите след това. Три стъпки прилагат този въпрос на практика:
- Дефинирайте целта на всеки агент достатъчно конкретно, за да може да се проверява. „Помага с поддръжката“ не може да се тества спрямо движението на данни. „Решава случая на този клиент, като използва записите на този клиент“ може.
- Преглеждайте пътищата на данните заедно с достъпа. Третирайте прегледа на разрешенията и видимостта на пътищата на данните като два изгледа на един и същ агент. Вторият дава на ръководителите и борда доказателства какво е направил агентът с чувствителните данни, докато работният процес още тече.
- Прилагайте един и същ стандарт към хората и агентите. Едно и също правило трябва да защитава клиентските данни независимо дали излизат през Gmail, USB устройство, ChatGPT или агент за програмиране.
Организациите, които проследяват данните от произхода им през трансформацията, взаимодействието с AI и последващите действия, могат да направят AI по-отчетен, без да го забавят. Това е идеята зад Data Security for the Agentic Enterprise: Cyberhaven проследява целия жизнен цикъл на данните ви и адаптира защитата към променящия се контекст.