Sikkerhed for AI-agenter i din virksomhed
Engineer ApS sikrer virksomhedens AI-agenter: al adgang kortlagt, hver agent med mindste privilegium, hver handling logget og hver kontrol afprøvet.
Foto: artur_schlenker / Pixabay 
Foto: PIRO4D / Pixabay
Hver AI-agent, der kan læse en mailboks, slå op i en database eller kalde et API, er en ny dør ind i virksomheden, og den går op for enhver, der skriver de rigtige ord til den. De fleste virksomheder har allerede flere af den slags døre, end de ved af: assistenten, som en medarbejder har koblet til sin mailboks, chatværktøjet med en nøgle til fællesdrevet, agenten, som en leverandør har slået til. Vi kortlægger dørene, låser hver af dem til det, dens agent har brug for, registrerer, hvad der går igennem dem, og tester, at låsene holder.
Kortlagt: hver agent, og hvad den kan nå
En dør, du ikke kender, kan du ikke beskytte. Vi gennemgår alle agenter i brug — både dem, IT har godkendt, og dem, medarbejderne selv har koblet på — og noterer de adgangsoplysninger, hver af dem har, de værktøjer, den kan kalde, og de data, de giver adgang til. Kortet er et dokument, der ligger sammen med din konfiguration og bliver opdateret, når en ny agent kommer til — ikke et slide, der blev lavet én gang til et møde — og det er det første, en revisor, en stor kunde eller et forsikringsselskab vil bede om at se.
Låst: hver agent med mindste privilegium
En agent får sin egen identitet og kun den adgang, dens opgave kræver — mindste privilegium: roller i stedet for delte konti (RBAC), kun læseadgang som udgangspunkt og skriveadgang kun gennem snævert afgrænsede værktøjer med loft over, hvor ofte og hvor meget. Hemmeligheder deles op pr. agent og pr. vært, indsættes aldrig i en prompt og roteres uden en kodeændring. Tekst, en agent læser — en e-mail, en webside, et dokument — behandles som data, aldrig som instruktioner, så en besked, der siger »ignorer dine regler«, ikke låser noget op. Kontrollerne er fail-closed: kan et tjek ikke køre, bliver handlingen afvist.
Registreret: hvad den gjorde, og for hvem
Hvert værktøjskald logges med den person, det blev foretaget på vegne af, hvad agenten blev bedt om, hvad den rørte ved, og hvad der kom tilbage, og loggen gemmes et sted, hvor agenten ikke selv kan ændre den. Alarmer går i gang ved det usædvanlige — en pludselig strøm af opslag, et værktøj brugt klokken tre om natten, adgang til data, agenten aldrig før har haft brug for. Går noget alligevel galt, er det loggen, der gør en sikkerhedshændelse til en tidslinje i stedet for et gæt.
Et kort, en lås og en log er tre påstande — indtil nogen prøver at komme forbi dem.
Hver kontrol nedenfor forsøges omgået med vilje ved hver kørsel — af dem, der installerede den.
En lås skal afprøves, ikke tages for givet
En kontrol, der aldrig er blevet afprøvet, er en kontrol, du håber virker. Vi har fundet tre beskyttelser mod brute force-angreb på samme server, som aldrig havde virket, selv om hver af dem meldte, at alt var i orden. Derfor bevises hver kontrol, vi installerer, ved hver kørsel: blokeringen afprøves mod en testadresse, reglen læses tilbage, og et injektionsangreb udføres med vilje. Er et læk allerede sket, begrænser vi skaden, udskifter det, der blev eksponeret, og skriver den regel ind i repositoryet, der forhindrer, at det samme læk sker igen.
Arbejdet, der ligger bag
Vi har udført dette arbejde på servere, i identitetssystemer og på platforme. Vi skrev 1.000 RBAC-regler til Linux- og databaseservere, ledede adgangsstyringen i M365 og single sign-on og kørte et løbende sikkerhedsscanningsprogram med 21 skriftlige revisioner. Vi adskilte alle driftshemmeligheder pr. vært, tilføjede et preflight-tjek af hemmeligheder på ét sekund, fandt tre låse på døren, og ingen af dem var låst, og beviste, at indtrængningsblokeringen virker ved hver kørsel. Vi byggede fail-closed rate limiting mod misbrug og skrev en afgrænsningsregel efter et læk. Hvordan vi selv holder orden i eget hus, kan du læse under sådan arbejder vi sikkert.
Sådan forløber et samarbejde
Det begynder med ren læseadgang. Vi kortlægger hver agent, dens adgangsoplysninger og det, de giver adgang til, og giver dig fundene sorteret efter risiko, hvert med sin begrundelse og sin rettelse. Derefter laves rettelserne i din konfiguration og dit repository, gennem dit review og med tjek, der slår fejl, når en agents adgang vokser ud over kortet. Du beholder kortet, loggen og testene — den mappe, du rækker en revisor eller et forsikringsselskab — og de data, dine agenter læser, kan adgangsstyres på samme måde. Det købes som resten af vores arbejde, på vilkårene i hvad det koster.
Har agenter allerede nøgler til dine systemer, så fortæl os, hvilke.
Hver agent, du bruger, har en nøgle til noget — find ud af hvilken, og til hvad.
Det begynder med ren læseadgang: et kort over hver agent og dens nøgler, med fundene sorteret efter risiko.
