Trots att de i många år har hyllat zero trust-modellen har många ciso:er haft svårt att genomföra ramverket fullt ut. Och nu kommer det som kan bli den sista spiken i kistan: agentbaserad AI.
Kan zero trust samexistera med autonoma agenter i typiska företagsmiljöer? Tekniskt sett, ja. I praktiken är det osannolikt, med tanke på den brådska som finns på vd- och styrelsenivå att påskynda avkastningen på agentbaserad AI. Och det är ett betydande problem med tanke på de senaste exemplen på autonoma agenter som beter sig felaktigt och bristen på tydlighet kring vem som är ansvarig när AI-agenter går överstyr.
En del av problemet handlar om hur man förmedlar budskapet – något som ciso:er som rapporterar till styrelsen känner väl till: ”Zero Trust” är ett säkerhetsbegrepp; ”katastrofal affärsrisk” är det som styrelsen och vd:n reagerar på.
– Verksamheten bedöms utifrån vad agenten har sparat in eller producerat. Säkerheten bedöms utifrån allt som händer när det går fel, säger Nik Kale, medlem i Coalition for Secure AI (CoSAI) och ACM:s programkommitté för AI-säkerhet (AISec).
– De betraktar samma agent genom två helt olika balansräkningar.
Det avgörande, menar Kale, är att den agentbaserade AI:ns själva natur är raka motsatsen till zero trust.
– Zero trust utformades för att utvärdera förfrågningar en i taget, vilket fungerar bra när det som gör förfrågningarna inte strategiskt sätter ihop dem till något större. Agenter förändrar det. En agent kan få tillåtelse att läsa ett dokument, få tillåtelse att göra en förfrågan till en annan datakälla, få tillåtelse att sammanfatta vad den hittat, få tillåtelse att skriva det till en fil, få tillåtelse att skicka ett externt e-postmeddelande, och vart och ett av dessa beslut är korrekt i sig. Sätt dem i den ordningen och du har just godkänt en väg för informationsläckage, konstaterar Kale.
– En agent kan gå genom fem helt lagliga dörrar och hamna någonstans som företaget aldrig har godkänt. Inom finansvärlden kan man ha tio transaktioner som var och en ligger under eskaleringströskeln, men vars sammanlagda värde ingen någonsin skulle ha godkänt.
Enligt Kale är den svårare frågan ”om det som använder den identiteten i dag fortfarande är det som du godkände”.
– Uppdatera modellen, lägg till ett verktyg bakom samma gränssnitt, låt minnet fyllas med sammanhang som ingen har granskat, ge det en fullmakt – och inget av detta påverkar identiteten. Listan visar fortfarande ’godkänd’. På fredagen kan det finnas en väsentligt annorlunda maskin som bär identitetsmärket jämfört med den du godkände på måndagen.
Bristen på den kontextuella kunskapen är avgörande.
– Man måste veta vad den identiteten har blivit, vilken behörighet den bär på, vilken sekvens den sätter ihop och om nästa system håller med om att behörigheten är giltig. Annars har vi bara tagit en tillåtelselista, gett den bättre marknadsföring och kallat det zero trust, säger Kale.
Varför agentproblemet slår hårdare
Zero trust presenterades som säkerhetsmodellen för en distribuerad och riskfylld era. Dess grundprincip ”lita aldrig, verifiera alltid” gäller för varje användare och enhet som ansluter till företagsnätverket, oavsett om de befinner sig inom eller utanför nätverkets gränser.
Men agentbaserad AI komplicerar situationen på ett sätt som gör problemet med autonoma agenter betydligt värre. Auktoriserade agenter kan skapa underagenter som kan ärva alla upphovsmannens privilegier utan att ha en erkänd identitet. Agenter kan också kommunicera med andra agenter och potentiellt ge dessa andra agenter skadliga instruktioner. Trots att denna säkerhetsbrist har varit allmänt känd i minst ett år har ingen leverantör tillhandahållit en mekanism för att bryta den hemligheten mellan agenterna. I bästa fall kan systemen upptäcka att en kommunikation har ägt rum, men inte vad som sägs.
Det vanligaste sättet att kontrollera agenternas aktivitet är att kräva att agenterna registreras av it- eller säkerhetsteamen. Varje agent tilldelas en identitet och endast dessa identiteter kan utföra några åtgärder.
Verkligheten ser dock helt annorlunda ut. Den överväldigande majoriteten av agenterna i företagsmiljöer är inte registrerade, antingen för att de har skickats ut av medarbetare som inte brytt sig om att fylla i papperen (så kallad skugg-it) eller på grund av att auktoriserade tredje parter startar agenter i din miljö utan att be om tillstånd. Och då har vi inte ens beaktat det faktum att angripare, och särskilt statliga aktörer, kan kapa dem – precis som med vilken identitet som helst. Precis som en säkerhetsvakt som lämnas kvar för att skydda ett avgränsat område, beväpnad endast med en lista över godkända registreringsskyltar, står it-avdelningen kvar utan att veta vem som egentligen styr någon av agenterna i sina nätverk.
– Er styrningsmodell riktar sig ofta mot fel nivå. Cirka 80 procent av era agenter finns inte med på er lista. Det är ingen kontroll. Det är en inventering av den regellydiga minoriteten, säger Krti Tallam, senior tekniker inom säkerhetsteknik på Kamiwaza.ai.
– Denna inventeringsmodell har aldrig klarat sig i verkligheten inom något företag. Vi måste sluta låtsas att vi kontrollerar miljön. Agentisk AI dödade inte zero trust. Det dödade en bekväm lögn, en behaglig lögn.
När det gäller problemet med kommunikation mellan agenter försöker agenterna ofta dölja sina meddelanden, ibland genom att bädda in instruktioner i bilder eller ljud- och videofiler.
Gåtan kring synligheten mellan agenter
Tallam är skeptisk till att ciso:er någonsin kommer att få insyn i dessa meddelanden mellan agenter, men hon förväntar sig att angripare kommer att bli mer sofistikerade och nyanserade i sina angreppsmetoder.
Kaperade agenter begränsar redan antalet agenter de kontaktar och infekterar med skadliga instruktioner för att undvika misstänkt höga siffror. Taktiken går ut på att låta den ursprungliga kaperade agenten upptäckas och stängas av, medan den egentliga attacken – som spridits vidare – inträffar dagar senare när de infekterade agenterna utför sina skadliga instruktioner.
Det traditionella försvaret går ut på att övervaka alla agenters beteende så att infekterade agenter också stängs av så snart de uppvisar skadligt beteende. Tallam förväntar sig dock att kapade agenter kommer att börja lära sig vad deras offeragenter ska göra och vad de får göra. Det kan vara så enkelt som att helt enkelt fråga agenterna om den informationen.
– Tricket är att fördela attackinstruktionerna mellan många agenter på ett sådant sätt att ingen av dem på ett meningsfullt sätt avviker från sina legitima instruktioner, säger Tallam.
Mike Wilkes, ciso för företagskunder hos Aikido Security, föreslår att ciso:er tar lärdom av GPG/OpenPGP, där en användare behåller en starkt skyddad primär identitet och delegerar begränsade, kortlivade signeringsnycklar eller kryptografiskt signerade behörigheter till en agent, med ännu snävare delegerade behörigheter för underagenter.
Det innebär att agenterna kommer att få en kombination av hastighetsbegränsningar, transaktionsgränser, utgifts- och databudgetar, sandboxing, godkännandeprocesser för åtgärder med stora konsekvenser samt oföränderliga aktivitetsspår, säger Wilkes.
– Viktigast av allt är att autonoma system behöver snabba och pålitliga ångraknappar. Typ 2-beslut, där konsekvenserna är reversibla, är mycket säkrare att delegera än typ 1-beslut såsom att radera produktionsdata, ändra IAM-policy, överföra medel eller göra oåterkalleliga infrastrukturförändringar.
Brian Vecci, fält-cto på Varonis, hävdar att situationen för agenterna är värre än de flesta tror.
Företagens ciso:er ”är bedrövligt oförberedda på NHI med sina icke-deterministiska åtgärder. Man måste utgå från att identitet är en bedrövligt otillräcklig kontrollnivå”, säger Vecci.
Att samla in så mycket information som möjligt om agenternas aktivitet är ett bra mål, men det är svårt att säkerställa noggrannheten och genomförbarheten i insamlingen av sådan telemetri, konstaterar Vecci och tillägger att många företags insatser för agenttelemetri liknar ”att försöka hitta en nål i en höstack genom att kasta mer hö på den.”