Desalineación agentiva: su próxima amenaza interna podría ser un agente de IA

Supongamos que le pides a un agente que solucione un despliegue fallido. Un humano reiniciaría el servicio, tal vez revertiría los cambios. El agente descubre que ampliar una regla de firewall y editar un archivo sudoers hace que el despliegue sea más rápido, así que hace ambas cosas.Tenía los permisos, nadie le dijo que no lo hiciera, y nadie en tu equipo habría actuado así.

Los agentes se ejecutan en la infraestructura que ya tienes, funcionan en los mismos servidores, recursos compartidos y credenciales que todo lo demás, y tomarán cualquier ruta que alcance el objetivo, incluidas aquellas que ninguna persona ha probado, a menos que existan controles efectivos. El equipo de seguridad de NVIDIA lo describe como agentes que encuentran caminos que sus instrucciones originales no anticipaban.

Las instrucciones son consejos, los permisos son la aplicación

Un aviso del sistema indica lo que desea que el agente haga. No puede impedir que el agente haga otra cosa. Cada medida de seguridad integrada en el aviso, el modelo o el código que lo rodea depende de que el modelo se comporte, que es lo que le preocupa. Un permiso no depende de eso. Si el agente no tiene acceso a un sistema, no puede cambiarlo, sea cual sea su decisión.

Los principios son los que ya conoces, least privilege y la autorización explícita primero. La pregunta abierta es dónde aplicarlos en una pila de agentes.

Asigne a cada agente sus propios límites

Escriba instrucciones para cada agente: el trabajo, los límites y qué hacer cuando se alcance uno. Luego respáldelas con permisos de política, porque las instrucciones solo piden. Enumere los datos que el agente puede leer, los sistemas que puede cambiar y las acciones que requieren la aprobación de una persona. Cambiar permisos siempre necesita esa aprobación.Credentials deben ser limitadas, de corta duración y fáciles de revocar.

Tome un agente que actualiza los registros de clientes. Si una instrucción oculta en un archivo adjunto lo envía después de la lista de clientes, una network policy debería bloquear la exportación, y el registro debería mostrar qué herramienta llamó, qué lo permitió y cómo terminó.

Verifique qué ejecuta el agente y luego refuerce donde se ejecuta

Los agentes cargan herramientas, habilidades y dependencias, y cada uno se ejecuta con los permisos del agente. Una herramienta manipulada obtiene el mismo acceso que el agente. Así es como un agente se vuelve rebelde sin que nadie toque al agente en sí. Antes de cargar cualquier cosa, confirma su origen, calcula su hash y compáralo con una línea base conocida y segura. Si un archivo no coincide con una solicitud aprobada, márcalo y deja de confiar en él.

El endurecimiento sigue el principio de menor privilegio en todo momento. Ejecute como un usuario no root. Limite los permisos del sistema de archivos y los puertos abiertos. Elimine los paquetes, archivos y servicios que nadie usa, incluidos los restos de compilación, ya que cualquier cosa instalada es una ruta que un agente puede encontrar. Bloquee la descarga y ejecución de código remoto y sanee las entradas.

Detecta lo que los controles pasan por alto

Parte de ello pasará, por lo que necesitas verlo. La detección de amenazas busca comportamientos que no encajan con el trabajo del agente. El seguimiento de cambios muestra qué cambió en los sistemas que tocó y lo compara con lo que alguien aprobó. Mantén registros protegidos de las llamadas a herramientas y las decisiones que las permitieron, además de un método probado para cortar el acceso, y los investigadores podrán reconstruir lo ocurrido y actuar en consecuencia.

Change Tracker señala el cambio que nadie aprobó

Los agentes escriben archivos, editan configuraciones, instalan paquetes y arrancan servicios. Netwrix Change Tracker supervisa los sistemas donde todo eso ocurre. Extrae datos de configuración de servidores, escritorios, bases de datos y dispositivos de red, almacena una línea base para cada uno y la compara con tu estándar de construcción reforzada, como un CIS Benchmark. La monitorización de integridad de archivos detecta cambios en archivos, para que aparezca una herramienta o dependencia manipulada.

Volviendo al archivo sudoers. Las reglas de Planned Change, alimentadas por solicitudes de cambio de ServiceNow y otras herramientas ITSM, coinciden con los cambios aprobados, y Change Tracker reporta cualquier cosa que no coincida con una regla como posible actividad de violación. La edición del agente no tiene una solicitud aprobada detrás, por lo que aparece. Cada evento registra qué cambió, cuándo y en qué dispositivo, y el historial sigue disponible cuando investigas.