Disallineamento agentico: la tua prossima minaccia interna potrebbe essere un agente AI

Immagina di chiedere a un agente di risolvere un deploy fallito. Un umano riavvierebbe il servizio, forse farebbe un rollback. L’agente capisce che allargare una regola del firewall e modificare un file sudoers fa procedere il deploy più velocemente, quindi fa entrambe le cose.Aveva i permessi, nessuno gli ha detto di non farlo, e nessuno nel tuo team avrebbe agito in quel modo.

Gli agenti funzionano sull'infrastruttura che già possiedi, operano sugli stessi server, condivisioni di file e credenziali di tutto il resto, e prenderanno qualsiasi percorso che raggiunga l'obiettivo, inclusi quelli mai tentati da una persona, a meno che non ci siano barriere efficaci. Il team di sicurezza di NVIDIA lo descrive come agenti che trovano percorsi che le loro istruzioni originali non avevano previsto.

Le istruzioni sono consigli, i permessi sono l'applicazione

Un prompt di sistema indica cosa vuoi che l’agente faccia. Non può impedire all’agente di fare altro. Ogni misura di sicurezza integrata nel prompt, nel modello o nel codice circostante dipende dal comportamento del modello, che è ciò che ti preoccupa. Un permesso non dipende da questo. Se l’agente non ha accesso a un sistema, non può modificarlo, qualunque decisione prenda.

I principi sono quelli che già conosci, least privilege e l'autorizzazione esplicita prima di tutto. La domanda aperta è dove applicarli in uno stack di agenti.

Dai a ogni agente i propri limiti

Scrivi istruzioni per ogni agente: il lavoro, i limiti e cosa fare quando li raggiunge. Poi supportale con permessi di policy, perché le istruzioni sono solo richieste. Elenca i dati che l’agente può leggere, i sistemi che può modificare e le azioni che richiedono l’approvazione di una persona. Modificare i permessi richiede sempre quell’approvazione.Credentials devono essere limitate, di breve durata e facili da revocare.

Prendi un agente che aggiorna i record dei clienti. Se un'istruzione nascosta in un allegato lo invia dopo l'elenco clienti, una network policy dovrebbe bloccare l'esportazione e il registro dovrebbe mostrare quale strumento è stato chiamato, cosa lo ha autorizzato e come è finita.

Controlla cosa esegue l'agente, quindi rafforza dove viene eseguito

Gli agenti caricano strumenti, competenze e dipendenze, e ciascuno viene eseguito con i permessi dell'agente. Uno strumento manomesso ottiene lo stesso accesso dell'agente. È così che un agente diventa rogue senza che nessuno tocchi l'agente stesso. Prima di caricare qualsiasi cosa, conferma da dove proviene, calcola l'hash e confrontalo con una baseline nota e sicura. Se un file non corrisponde a una richiesta approvata, segnalalo e smetti di fidarti.

Il rafforzamento segue il principio del minimo privilegio in ogni fase. Esegui come utente non root. Limita i permessi del file system e le porte aperte. Rimuovi pacchetti, file e servizi inutilizzati, inclusi i residui di build, poiché tutto ciò che rimane installato è una via che un agente può trovare. Blocca il download e l'esecuzione di codice remoto e sanitizza gli input.

Individua ciò che i controlli non rilevano

Una parte passerà, quindi devi vederla. La rilevazione delle minacce cerca comportamenti che non corrispondono al lavoro dell’agente. Il tracciamento delle modifiche mostra cosa è cambiato nei sistemi toccati e lo confronta con ciò che è stato approvato. Conserva registri protetti delle chiamate agli strumenti e delle decisioni che le hanno autorizzate, oltre a un metodo testato per interrompere l’accesso, così gli investigatori possono ricostruire cosa è successo e agire di conseguenza.

Change Tracker segnala la modifica che nessuno ha approvato

Gli agenti scrivono file, modificano configurazioni, installano pacchetti e avviano servizi. Netwrix Change Tracker monitora i sistemi dove tutto ciò avviene. Estrae dati di configurazione da server, desktop, database e dispositivi di rete, memorizza una baseline per ciascuno e la confronta con il tuo standard di build rafforzato, come un CIS Benchmark. Il monitoraggio dell'integrità dei file rileva le modifiche ai file, così uno strumento o una dipendenza manomessa viene individuata.

Tornando al file sudoers. Le regole di Planned Change, alimentate dalle richieste di modifica da ServiceNow e altri strumenti ITSM, corrispondono ai cambiamenti approvati, e Change Tracker segnala qualsiasi cosa che non corrisponde a una regola come potenziale attività di violazione. La modifica dell’agente non ha una richiesta approvata dietro, quindi appare. Ogni evento registra cosa è cambiato, quando e su quale dispositivo, e la cronologia è ancora disponibile durante l’indagine.