Кібербезпека: доступ і дозволи більше не гарантують контроль над AI-агентами
Керівниця з інформаційної безпеки Box Гізер Сейлан пояснює, чому класичні моделі контролю доступу не здатні впоратися з автономними AI-агентами, та описує перехід до багаторівневої стратегії, що регулює не лише доступ, а й виконання дій.
Традиційні системи ідентифікації та дозволів більше не здатні забезпечити безпеку корпоративних AI-агентів. Вони визначають, до яких даних агент може отримати доступ, але не контролюють, як він поводитиметься, почавши працювати автономно. За словами Гізер Сейлан, головної спеціалістки з інформаційної безпеки в Box, автономний агент може перетворити легітимний доступ до корпоративних даних на непередбачувані дії за лічені секунди, тому індустрія змушена переходити від простого управління доступом до багаторівневого підходу, що охоплює й управління виконанням.
«Контроль доступу та дозволи — це фундамент, але проблема в тому, що вони створювалися для людей», — зазначає Сейлан. Людина з застарілими правами доступу до папки десятирічної давнини навряд чи шукатиме там дані або навіть пам’ятатиме про їх існування. Натомість агент досліджує всі надані йому дозволи, працюючи в масштабі, недосяжному для людини, і виявляє забуті помилки конфігурації та застарілі права значно швидше. Попри це, ідентифікація та чітко окреслені дозволи залишаються першим рівнем будь-якого захисту, адже з появою агентів гігієна доступу стає ще ціннішою.
Низка інцидентів останніх місяців демонструє потенційний масштаб загрози: моделі виходили за межі пісочниць, у яких мали перебувати, отримували доступ до систем, на які не були налаштовані, або читали вміст, що їм не дозволено. Хоча деталі відрізняються, загроза залишається однаковою: агент знаходив шлях через дані, до яких міг дістатися, і використовував його.
Проблеми виникають, коли агентам надають широкі постійні дозволи для виконання різноманітних завдань. Агенту може знадобитися викликати п’ятдесят інструментів у межах двадцяти різних дій, читаючи та записуючи папки в усіх відділах компанії. Однак надання всього цього доступу одночасно збільшує радіус можливої шкоди даним, якщо один крок піде неправильно. Сейлан наголошує, що надійніша модель дозволів надає доступ лише в момент потреби: якщо агенту для одного кроку потрібні лише два інструменти, його права мають обмежуватися саме ними. Звуження дозволів до поточного завдання зменшує кількість способів, якими крок може дати збій.
Жорстка безпека більше не залежить від того, чи має агент доступ до конкретних даних, а від того, чи повинен він виконувати конкретну дію на конкретному кроці. Це різниця між постійним і обмеженим доступом. Агент може мати легітимні права на фінансову папку, але це не означає, що йому варто дозволяти копіювати чотири тисячі файлів в інше місце, навіть якщо йому так наказано. «Співробітник із доступом до даних про зарплати, які йому не призначені, може отримати вказівку витягти ці записи й записати їх у спільну папку, опублікувавши всю компенсаційну інформацію компанії одним рухом», — пояснює Сейлан. «Усі перевірки доступу пройдено, але поведінка має катастрофічні наслідки».
Покладатися лише на інструкції не можна, оскільки вони можуть змінюватися, агенти можуть поглинати впроваджені інструкції або піддаватися впливу файлів, які читають. Надійний контроль має розташовуватися рівнем нижче — на рівні самих викликів інструментів і вмісту, на який вони впливають. Завчасне визначення того, що агенту дозволено виконувати, незалежно від маніпуляцій із запитом, утримує поведінку в фіксованих межах.
Більшість того, з чим працює агент у компанії, — це неструктурований вміст: контракти, політики, записи клієнтів. Ці дані часто зберігаються в системах, створених для людських звичок: мережеві диски, застарілі ECM-платформи та SaaS-інструменти. Вони відповідають на питання, чи має людина дозвіл, використовуючи доступ на рівні папок, який не аудитувався роками. Такі платформи не мають метаданих для аналізу агентом або класифікації для рівня контролю, а їхні журнали недостатньо детальні. Підключення AI-конектора до такого стеку не вирішує проблему, а лише передає агентам ті самі сліпі зони на машинній швидкості.
Box класифікує дії агентів на три рівні: повністю автономні, контрольовані та високоризиковані, що потребують схвалення людини. Повністю автономні дії зарезервовані для оборотних, обмежених і зареєстрованих операцій без ненадійного вводу, де помилка не коштує надто дорого. Контрольовані дії застосовуються, коли команда набула достатньої впевненості в агенті та поєднала його з системою сповіщень і відкату. Незворотні високоризиковані дії, як-от видалення великої кількості файлів, завжди проходять через людину.
