IT-säkerhet för de AI-agenter du kör
Engineer ApS säkrar de AI-agenter ett företag kör: varje åtkomst kartlagd, varje agent på minsta behörighet, varje handling loggad och varje kontroll prövad.
Foto: artur_schlenker / Pixabay 
Foto: PIRO4D / Pixabay
Varje AI-agent som kan läsa en brevlåda, fråga en databas eller anropa ett API är en ny dörr in i företaget, och den öppnas för den som skriver rätt mening framför den. De flesta företag har redan fler sådana dörrar än de känner till: assistenten som någon kopplade till sin brevlåda, chattverktyget med en nyckel till den delade enheten, agenten som en leverantör slog på. Vi kartlägger de dörrarna, låser var och en till det dess agent behöver, loggar vad som passerar genom dem och prövar att låsen håller.
Kartlagd: varje agent och vad den når
Du kan inte skydda en dörr du inte har räknat. Vi listar varje agent som används — de som IT godkände och de som personalen kopplade in på egen hand — med de åtkomstuppgifter den har, de verktyg den kan anropa och den data de når. Kartan är ett dokument som förvaras tillsammans med din konfiguration och uppdateras när en agent läggs till, inte en bild gjord en gång inför ett möte, och det är det första en revisor, en stor kund eller ett försäkringsbolag kommer att be att få se.
Låst: varje agent på minsta behörighet
En agent får en egen identitet och den minsta behörighet dess uppgift kräver: roller i stället för delade konton (RBAC), skrivskyddad som standard, skrivningar bara genom snäva verktyg med gränser för hur ofta och hur mycket. Hemligheter delas upp per agent och per värd, klistras aldrig in i en prompt och byts ut utan en kodändring. Text som en agent läser — ett e-postmeddelande, en webbsida, ett dokument — behandlas som data, aldrig som instruktioner, så ett meddelande som säger ”ignorera dina regler” ger ingenting. Kontrollerna stänger vid fel: när en kontroll inte kan köras nekas handlingen.
Loggad: vad den gjorde, och åt vem
Varje verktygsanrop loggas med personen det gjordes åt, vad agenten ombads göra, vad den rörde och vad som kom tillbaka, och loggen förvaras där agenten själv inte kan ändra den. Larm går vid det ovanliga — en skur av läsningar, ett verktyg som används klockan tre på natten, åtkomst till data som agenten aldrig har behövt. När något väl går fel är det loggen som gör en incident till en tidslinje i stället för en gissning.
En karta, ett lås och en logg är tre påståenden — tills någon försöker ta sig förbi dem.
Varje kontroll nedan prövas med avsikt, vid varje körning, av samma människor som installerade den.
Ett lås prövas, det tas inte på tro
En kontroll som aldrig har prövats är en kontroll du hoppas fungerar. Vi har hittat tre skydd mot brute force-attacker på en och samma server som aldrig hade fungerat, och som alla rapporterade att allt var i ordning — och det är skälet till att varje kontroll vi installerar bevisas vid varje körning: spärren prövas mot en testadress, regeln läses tillbaka, injektionsförsöket görs med flit. När en läcka redan har skett begränsar vi den, byter ut det den exponerade och skriver in regeln i repot som hindrar samma läcka en andra gång.
Arbetet bakom
Vi har gjort det här arbetet på servrar, identitetssystem och plattformar. Vi skrev 1 000 RBAC-regler för Linux- och databasservrar, ledde behörighetshanteringen i M365 och för single sign-on och drev ett löpande program för säkerhetsskanning med 21 skriftliga granskningar. Vi delade upp varje driftshemlighet per värd, lade till en förhandskontroll av hemligheter som tar en sekund, hittade tre lås på dörren, inget av dem låst, och bevisade att intrångsspärren fungerar vid varje körning. Vi byggde hastighetsbegränsning som stänger vid fel och skrev en avgränsningsregel efter en läcka. Hur vi sköter vårt eget hus står på så arbetar vi säkert.
Så går ett uppdrag till
Det börjar med enbart läsbehörighet. Vi kartlägger varje agent, dess åtkomstuppgifter och vad de når, och lämnar över fynden i riskordning, vart och ett med sitt skäl och sin åtgärd. Åtgärderna görs sedan i din konfiguration och ditt repo, genom din granskning, med kontroller som säger stopp när en agents åtkomst växer utöver kartan. Du behåller kartan, loggen och testerna — den fil du lämnar till en revisor eller ett försäkringsbolag — och datan agenterna läser kan behörighetsstyras på samma sätt. Det köps som resten av vårt arbete, på villkoren i vad det kostar.
Om agenter redan har nycklar till dina system, berätta vilka.
Varje agent du kör har en nyckel till något — ta reda på vilken, och till vad.
Det börjar med enbart läsbehörighet: en karta över varje agent och dess åtkomstuppgifter, med fynden i riskordning.
