Кібербезпека ШІ-агентів вашої компанії
Engineer ApS захищає ШІ-агентів вашої компанії: облік кожного доступу, найменші привілеї для кожного агента, журнал кожної дії й перевірка кожного захисту.
Фото: artur_schlenker / Pixabay 
Фото: PIRO4D / Pixabay
Кожен ШІ-агент, який може читати поштову скриньку, робити запити до бази даних чи викликати API, — це нові двері в компанію, і вони відчиняються перед кожним, хто напише агентові правильне речення. Більшість компаній уже має більше таких дверей, ніж підозрює: асистент, якого хтось під’єднав до своєї пошти, чат-інструмент із ключем від спільного диска, агент, якого увімкнув постачальник. Ми наносимо ці двері на карту, залишаємо кожному агентові лише потрібний йому доступ, записуємо все, що крізь них проходить, і перевіряємо, чи замки справді тримають.
Перелічено: кожен агент і все, до чого він має доступ
Захистити можна лише ті двері, які ви порахували. Ми складаємо перелік усіх агентів у роботі — і тих, яких схвалив ІТ-відділ, і тих, яких працівники під’єднали самі, — з обліковими даними кожного, інструментами, які він може викликати, і даними, до яких він може дістатися. Карта — це документ, що зберігається разом із вашою конфігурацією й оновлюється щоразу, коли з’являється новий агент, а не слайд, зроблений одного разу для наради. Саме її першою попросить аудитор, великий клієнт чи страховик.
Замкнено: кожен агент із найменшими привілеями
Кожен агент отримує власний обліковий запис і найменший привілей, потрібний для його роботи: доступ через ролі (RBAC), а не через спільні акаунти, лише читання за замовчуванням, а запис — тільки через вузькі інструменти з лімітами на частоту й обсяг. Секрети розділено за агентами й хостами, вони ніколи не потрапляють у промпт і змінюються без правок у коді. Текст, який читає агент, — лист, вебсторінка, документ — вважається даними, а не інструкціями, тож повідомлення «ігноруй свої правила» лишається просто текстом. Захист працює за принципом fail-closed: якщо перевірку неможливо виконати, дію відхиляють.
Записано: що агент зробив і для кого
Кожен виклик інструмента записується в журнал: для кого діяв агент, про що його попросили, чого він торкнувся і що отримав у відповідь, — а журнал зберігається там, де сам агент не може його змінити. Тривоги спрацьовують на незвичне — сплеск читань, інструмент, використаний о третій ночі, доступ до даних, яких агентові досі не було потрібно. Коли щось усе ж іде не так, саме журнал перетворює інцидент на чітку хронологію замість здогадок.
Карта, замок і журнал лишаються лише словами — доки хтось не спробує їх обійти.
Кожен захист нижче навмисно випробовують під час кожного прогону ті самі люди, які його встановили.
Замок перевіряють, а не довіряють йому
Захист, який ніколи не випробовували, — це захист, на який лише сподіваються. Якось ми знайшли на одному сервері три захисти від підбору паролів, які ніколи не працювали, хоча кожен звітував, що з ним усе гаразд. Саме тому кожен захист, який ми встановлюємо, перевіряється під час кожного прогону: блокування випробовують на тестовій адресі, правило зчитують назад, промпт-ін’єкцію запускають навмисно. Коли витік уже стався, ми локалізуємо його, змінюємо все, що він розкрив, і записуємо в репозиторій правило, яке зупиняє той самий витік наступного разу.
Робота, що за цим стоїть
Ми виконували цю роботу на серверах, у системах керування доступом і на платформах. Ми написали 1000 правил RBAC для Linux-серверів і серверів баз даних, керували доступом у M365 і системі єдиного входу (SSO) і вели безперервну програму сканування безпеки з 21 письмовим аудитом. Ми розділили кожен експлуатаційний секрет за хостами, додали односекундну попередню перевірку секретів, знайшли на дверях три замки, усі три відімкнені, і довели, що блокування за спробу вторгнення спрацьовує під час кожного прогону. Ми побудували обмеження частоти запитів за принципом fail-closed і написали правило розмежування доступу після витоку облікових даних. Як ми дбаємо про безпеку власних систем — на сторінці як ми працюємо безпечно.
Як іде співпраця
Усе починається з доступу лише на читання. Ми наносимо на карту кожного агента, його облікові дані й те, до чого вони відкривають доступ, і передаємо вам знахідки, впорядковані за ризиком, — кожну з причиною й виправленням. Потім вносимо виправлення у вашу конфігурацію й репозиторій — через ваше рев’ю і з перевірками, що спрацьовують, щойно доступ агента виходить за межі його карти. Карта, журнал і тести лишаються у вас: саме їх ви передаєте аудиторові чи страховикові. Так само можна розмежувати й дані компанії, які читають агенти. Замовляють цю роботу, як і решту наших послуг, — на умовах, описаних на сторінці скільки це коштує.
Якщо агенти вже мають ключі від ваших систем, розкажіть, від яких саме.
Кожен ваш агент тримає ключ до чогось — знайте, який саме і від чого.
Почнемо в режимі лише для читання: карта кожного агента та його облікових даних, а знахідки впорядковано за ризиком.
