Rozwój agentów AI może wymusić zmianę sposobu, w jaki firmy podchodzą do cyberbezpieczeństwa. Problemem nie musi być już pojedyncza nieautoryzowana operacja. Ryzyko może powstać z całej sekwencji działań, z których każde z osobna jest zgodne z polityką bezpieczeństwa.
Na ten problem zwraca uwagę Lori MacVittie, Distinguished Engineer i Chief Evangelist w F5. Jej zdaniem dotychczasowe mechanizmy, takie jak uwierzytelnianie, role, zakresy uprawnień i kontrola pojedynczych żądań, nadal pozostają potrzebne, ale w przypadku systemów agentowych mogą być niewystarczające.
– W przypadku agentów AI pojedyncze żądanie może być całkowicie poprawne: tożsamość jest prawidłowa, uprawnienia się zgadzają, a polityka bezpieczeństwa pozwala na wykonanie operacji. Ryzyko pojawia się wtedy, gdy wiele takich poprawnych działań zostaje połączonych w sekwencję, której nikt wcześniej nie przewidział – wskazuje Lori MacVittie.
Punktem odniesienia jest m.in. OWASP Agentic Top 10, który wskazuje zagrożenia związane z agentami AI, takie jak niewłaściwe wykorzystanie narzędzi, przejmowanie celu agenta czy ryzyka wynikające z wieloetapowego wykonywania zadań. MacVittie zwraca jednak uwagę, że problem jest szerszy i dotyczy samego modelu kontroli bezpieczeństwa.
Agent sam buduje ścieżkę działania
Tradycyjne aplikacje działają zwykle w ramach wcześniej zaprojektowanych przepływów. Nawet jeśli użytkownik ma kilka możliwych ścieżek, ich zakres został wcześniej określony przez twórców systemu.
Agent AI działa inaczej. Otrzymuje cel, następnie sam dobiera kolejne kroki, analizuje wyniki, zmienia strategię i sięga po kolejne narzędzia lub źródła danych. W efekcie przepływ powstaje dynamicznie.
To oznacza, że agent może wykonywać serię legalnych operacji, które dopiero razem prowadzą do rezultatu, którego organizacja nie przewidziała. Może to być np. rozszerzenie zakresu zadania, wejście do kolejnych zbiorów danych, uruchomienie kosztownej pętli operacji czy zapis w systemie, który początkowo nie był częścią zadania.
– Dotychczas system bezpieczeństwa mógł zakładać, że aplikacja porusza się po ograniczonym zestawie wcześniej zaprojektowanych ścieżek. Agent AI może tworzyć te ścieżki w czasie rzeczywistym. To fundamentalnie zmienia model ryzyka – podkreśla Lori MacVittie.
Dobrym przykładem jest eksplorowanie struktury plików. W klasycznym modelu bezpieczeństwa nietypowe poruszanie się po katalogach może zostać uznane za oznakę ataku. W przypadku agenta, którego zadaniem jest odnalezienie dokumentów i zebranie kontekstu, takie zachowanie może być jednak konieczne.
Całkowite zablokowanie eksploracji ograniczałoby użyteczność agenta. Z kolei pozostawienie mu pełnej swobody może oznaczać dostęp do zasobów, których nie powinien wykorzystywać.
– Problemem nie jest sama eksploracja. Problemem jest eksploracja bez granic. Ryzyko narasta w czasie i trzeba je oceniać w kontekście całej sekwencji działań – mówi ekspertka F5.
Zamiast kontroli requestu – kontrola zachowania
Zdaniem Lori MacVittie organizacje powinny więc przejść od walidowania pojedynczych żądań do tzw. behavioral governance, czyli ciągłego zarządzania zachowaniem systemu.
Nie chodzi o przewidywanie każdej możliwej ścieżki działania agenta, ale o wyznaczenie granic, w których może się poruszać. Mogą to być ograniczenia dotyczące zasobów, limity liczby operacji lub kosztów, zakaz zapisu do systemów produkcyjnych czy wymóg dodatkowej zgody przed wykonaniem operacji destrukcyjnej.
– Nie musimy przewidywać każdej możliwej ścieżki działania agenta. Musimy natomiast zdefiniować granice jego działania i stale sprawdzać, czy jego zachowanie wciąż mieści się w tych granicach – ocenia ekspertka F5.
Zmienia to również rolę infrastruktury bezpieczeństwa. API gatewaye, service meshe czy platformy orkiestracyjne mogą służyć nie tylko do kontroli pojedynczego ruchu, ale również do obserwowania całych sekwencji działań, korelowania ich ze sobą i reagowania, gdy agent zbliża się do ustalonych limitów.
Reakcja nie musi oznaczać natychmiastowego zablokowania systemu. Możliwe jest także ograniczenie tempa działania, zmniejszenie zakresu dostępu, przekierowanie do bardziej kontrolowanego środowiska lub wymuszenie dodatkowej autoryzacji.
Nową jednostką bezpieczeństwa staje się zachowanie
Im większy dostęp agenci otrzymują do firmowych danych, aplikacji i narzędzi, tym większe znaczenie ma więc nie tylko to, czy dana operacja jest dozwolona, ale również to, w jakim kontekście jest wykonywana i co wydarzyło się wcześniej.
– Jednostką bezpieczeństwa przestaje być pojedynczy request. Staje się nią zachowanie. Nie wystarczy już pytać, czy konkretne żądanie jest dozwolone. Trzeba oceniać, czy zachowanie, które ono reprezentuje, nadal powinno być dozwolone — podkreśla Lori MacVittie, Distinguished Engineer i Chief Evangelist w F5.