تطلق Aviatrix خدمة Clearance لاحتواء أعباء العمل السحابية وأعباء عمل الذكاء الاصطناعي المخترقة

أطلقت Aviatrix خدمة Clearance، وهي حل للأمن السحابي صُمم للحد من الأضرار التي قد تتسبب بها أعباء العمل المخترقة، وذلك بتقييد الوجهات وأعباء العمل الأخرى التي يمكنها الوصول إليها. ولا تقتصر الفكرة المحورية للخدمة على الجانب التقني، بل تشمل الجوانب التشغيلية أيضًا: إذ يمكن لفرق الأمن اختبار سياسة تقييدية على حركة مرور فعلية قبل السماح لها بحظر اتصالات بيئة الإنتاج.

أُعلن عن Clearance في 26 أكتوبر، وهي تجمع بين احتواء الاتصالات الصادرة والاحتواء الجانبي وطبقة آلية للسياسات تُسمى Aviatrix Active Defense. وتتيح الشركة أيضًا للمؤسسات احتواء الاتصالات الصادرة والاحتواء الجانبي ومنع التسلل، من دون حد أقصى لعدد أعباء العمل، ضمن برنامج استجابة مؤقت يمتد من 1 نوفمبر 2026 إلى 1 مايو 2027.

تتزايد أهمية المشكلة الأساسية بالنسبة إلى المؤسسات التي تنشر وكلاء الذكاء الاصطناعي إلى جانب تطبيقات سحابية تقليدية. فقد تكون خدمة مستغلة أو وكيل جرى التلاعب به يمتلك بالفعل بيانات اعتماد مفيدة وإمكانية الوصول إلى الشبكة. ويظل إيقاف الاختراق الأولي أمرًا أساسيًا، لكن الاتصالات المتاحة بعده تساعد في تحديد ما إذا كان الاختراق سيظل محصورًا أم سينتشر.

المنع افتراضيًا مع معاينة للعواقب

تعمل Clearance على منصة Aviatrix Containment Platform، المبنية على Cloud Native Security Fabric التابعة للشركة. وتحدد المنصة لأعباء العمل مجموعة صريحة من مسارات الاتصال المسموح بها، فيما تُمنع المسارات الأخرى افتراضيًا.

يتحكم احتواء الاتصالات الصادرة في الاتصالات بالوجهات الخارجية، ويُحدَّد ذلك باستخدام أسماء النطاقات بدلًا من عناوين الشبكة وحدها. أما الاحتواء الجانبي، فيتحكم في الاتصالات بين أعباء العمل استنادًا إلى الهوية، ويوسع هذا النهج ليشمل السحب المتعددة وموارد مثل الحاويات والوظائف عديمة الخوادم وقواعد البيانات ووكلاء الذكاء الاصطناعي.

يكمن تحدي النشر في صعوبة حصر جميع الاعتماديات المشروعة للتطبيقات في كثير من الأحيان. فقد تؤدي قاعدة تبدو صحيحة أثناء المراجعة مع ذلك إلى تعطيل خدمة دفع أو مهمة تعمل في الخلفية أو تكامل نادر الاستخدام.

تواجه Clearance هذا الخطر باستخدام Shadow Rule Set. إذ تُشغَّل السياسة المقترحة أولًا في وضع المراقبة بالتوازي مع السياسة الفعلية، فتُظهر حركة المرور التي كانت ستحظرها من دون أن تمنع تلك الاتصالات. ويمكن للفرق تحديد المسارات المطلوبة ومراجعة الأذونات، ثم الانتقال إلى فرض السياسة. وتقول Aviatrix إن فرضها والتراجع عنها يتطلب كل منهما إجراءً واحدًا.

وهذا يجعل المعاينة جزءًا مهمًا من سير العمل، لا ضمانًا بأن التغيير لن يتسبب في انقطاع الخدمة. فقد لا تشمل حركة المرور المرصودة خلال فترة معينة عمليات نهاية الشهر أو التعافي من الكوارث أو نشاطًا مشروعًا آخر لكنه نادر. ولا يزال على الفرق اختيار فترات الرصد والاستثناءات بما يعكس طريقة عمل تطبيقاتها الفعلية.

كيف يتكامل فرض السياسات على الشبكة مع التطبيقات السحابية

تصف Aviatrix على موقعها الإلكتروني للمنتج إدراجًا شفافًا على مستوى VPC يحافظ على العناوين الأصلية من دون الحاجة إلى وكيل على المضيف أو SDK أو تعديل في رمز التطبيق. وتذكر أيضًا إمكانية تمثيل السياسات باستخدام Terraform وموارد Kubernetes المخصصة، وتنسيقها لتطبيقها عبر مجموعات الأمان وKubernetes NetworkPolicy عند عدم الحاجة إلى بوابة.

وتكتسب هذه المسألة أهمية لأن البنية التحتية السحابية تتغير بوتيرة أسرع من قوائم العناوين الثابتة. فقد تنتقل حاوية إلى موقع آخر، أو تتوسع وظيفة، أو يمتد تطبيق عبر عدة شبكات. ويمكن للتعبير عن المتطلبات المتعلقة بعبء العمل والوجهات التي يحتاج إليها أن يجعل السياسة أكثر استدامة من التعامل مع كل تغيير في العناوين بوصفه قرارًا أمنيًا منفصلًا.

الهدف العملي هو إغلاق مسارات الاتصال التي قد يستغلها المهاجم، من دون إلزام كل فريق تطبيقات باعتماد تكامل جديد. ومع ذلك، فإن الاحتواء على مستوى الشبكة ينظم الاتصال؛ إذ قد يظل الاتصال المسموح به ناقلًا لنشاط ضار. لذا فهو يكمل الترقيع وضوابط الهوية وأمن التطبيقات والكشف عن التهديدات، ولا يجعل هذه الضوابط غير ضرورية.

تضيف Active Defense صيانة آلية للسياسات

تمثل Aviatrix Active Defense الطبقة المستقلة في هذا الحل. ووفقًا للإعلان، تنشئ وكلاؤها نموذجًا لبيئة العميل، وتصوغ السياسات التي تحتاج إليها التطبيقات، وتقيّمها في وضع المراقبة، وتحافظ على تحديثها مع تغير أعباء العمل. وتظل السياسات الناتجة قابلة للقراءة والتعديل من جانب فريق الأمن.

قال الرئيس التنفيذي لشركة Aviatrix، دوغ ميريت، في الإعلان، موضحًا قرار الشركة تقديم خط دفاع مؤقت للاحتواء بينما يقيّم العملاء الأنظمة ويرقّعونها: «لا يمكنك معالجة هذا بمجرد الترقيع أو الكشف، ليس في الوقت المتاح لديك، كما أن دورة الترقيع هذه تتزامن مع فترة تجميد التغييرات خلال العطلات».

يوضح الموقع تمييزًا مهمًا يتعلق بالتوافر: إذ تتاح Active Defense مجانًا في مرحلة الوصول المبكر لشركاء التصميم على Aviatrix Enterprise، ومن المخطط إتاحتها على Aviatrix Cloud. وينبغي التمييز بين ذلك وبين توافر ضوابط الاحتواء في Clearance. ويذكر الموقع أيضًا أن الأتمتة تعمل ضمن حدود حماية يحددها الفريق، ولا تعدّل القواعد التي يكتبها الأشخاص.

الفائدة المحتملة هي تقليل العمل اليدوي اللازم لترجمة سلوك التطبيقات إلى سياسات قابلة للتطبيق. أما المتطلب التشغيلي المقابل، فهو وضوح المسؤولية: إذ تحتاج القواعد التي تُصاغ تلقائيًا إلى عملية محددة لمراجعتها واعتمادها، لا سيما عندما يكون السلوك المرصود للتطبيق متضمنًا بالفعل اتصالات غير مرغوب فيها.

لماذا تزيد أهمية إمكانية الوصول إلى الموارد مع وكلاء الذكاء الاصطناعي

تستخدم تقنية Aviatrix لأمن أعباء عمل الذكاء الاصطناعي الأوسع نطاقًا بيانات تدفق الشبكة وسجلات DNS وجرد أصول السحابة لاكتشاف الوكلاء ونقاط نهاية النماذج والبنية التحتية ذات الصلة. وتصف الشركة ذلك بأنه وسيلة تتيح لفرق الأمن تحديد استخدام الذكاء الاصطناعي من دون الاعتماد كليًا على المطورين لتجهيز التطبيقات بأدوات الرصد.

يعالج الاكتشاف والاحتواء مشكلتين مختلفتين. يساعد الاكتشاف على تحديد الأنظمة الموجودة والوجهات التي تتصل بها. أما الاحتواء، فيحدد الاتصالات التي تظل ممكنة بعد تطبيق سياسة ما.

لنتأمل وكيلًا يحتاج إلى مزوّد نموذج وخدمة داخلية واحدة معتمدة. فتقييد مساراته عبر الشبكة قد يقلل الوجهات المتاحة لسرقة البيانات أو للحصول على مزيد من الوصول إذا تعرض ذلك الوكيل للاختراق. لكنه لا يثبت أن موجهات الوكيل أو استدلاله أو إجراءاته المصرح بها آمنة؛ إذ تتطلب هذه الجوانب ضوابط في طبقات أخرى.

يوضح هذا التمييز الصلة العملية للمنتج بالذكاء الاصطناعي. إذ يهدف Clearance إلى تحديد نطاق الموارد التي يستطيع الوكيل الوصول إليها عبر الشبكة، في حين تستخدم Active Defense الأتمتة للمساعدة على الحفاظ على تلك الحدود.

البرنامج المجاني والتوافر القياسي

تقول Aviatrix إن جميع المؤسسات مؤهلة للاستفادة من برنامج الاستجابة، الذي يشمل احتواء الاتصالات الصادرة والاحتواء الجانبي ومنع التسلل في كامل بيئاتها، من دون حد أقصى لأعباء العمل، وذلك من 1 نوفمبر حتى 1 مايو. ويبدأ التسجيل عبر AWS Marketplace في 1 نوفمبر 2026.

يمكن للفرق البدء بإجراء تقييم للاحتواء مجانًا. ويميّز الموقع بين تقييم ذاتي أولي عبر المتصفح، يقدم نتائج أولية، وتقييم معماري لاحق يستند إلى بيانات العملاء. لذلك، ينبغي اعتبار النتيجة الأولية نقطة انطلاق للتحري، لا جردًا مقاسًا لكل مورد يمكن الوصول إليه.

يشمل Clearance، وفق العرض القياسي، تقييمًا و15 من أعباء العمل في وضع المراقبة أو وضع فرض السياسات، من دون حد زمني. وتُسعّر السعة الإضافية لكل عبء عمل، ويمكن الحصول على الأسعار من Aviatrix. ويذكر الإعلان أن ضابطي الاحتواء يُقدَّمان عبر Aviatrix Cloud، وهما متاحان أيضًا على Aviatrix Enterprise.

يستهدف الإطلاق عقبة مستمرة في أمن المؤسسات: فكثيرًا ما تتفق المؤسسات على ضرورة الحد من وصول أعباء العمل، لكنها تتردد في فرض القيود عندما تكون عواقب ذلك غير مؤكدة. وتكمن أهمية Clearance في ربط هذا الهدف الأمني بعملية تشغيلية مرحلية: رصد السياسة المقترحة، وحل التبعيات، وفرض السياسة، والإبقاء على مسار واضح للتراجع عنها.