Ramutė Varnelytė, CEO of IPXO – Interview-serie

Ramutė Varnelytė, CEO of IPXO, bringer mere end 15 års kommerciel ledelseserfaring og blev udnævnt til at lede virksomheden i begyndelsen af 2025. I hendes rolle driver hun strategisk vækst, operationel excellence og markedspositionering, så IPXO forbliver i forkanten af innovation inden for IP-adresse-leje og -styring.

IPXO, som står for Internet Protocol Exchange Organization, blev grundlagt i 2021 for at løse det globale IPv4-mangel ved at oprette en dynamisk leje- og moneteringsplatform. Det er vokset til at blive verdens største fuldt automatiserede marked for IP-adresse-leje. Platformen understøtter millioner af IP-adresser globalt, bakket op af stærke relationer med regionale internet-registre og en mission om at opbygge et samlet, effektivt IP-økosystem.

Vi skal diskutere, hvordan IPXO bruger adfærdsmæssig risikoprofiling og maskinlæring til at skelne mellem harmløs AI-automatisering og ondsindet bot-aktivitet. Samtalen vil udforske opkomsten af AI-agenter i internet-trafik, ISP-cybersikkerhedsudfordringer og strategier for at balancere sikkerhed med operationel effektivitet.

Hvilke tendenser førte til, at du konkluderede, at AI-agenter – og ikke blot scrapings-botter – nu dominerer trafikmønstre i mange organisationer?

Botter er overalt nu, og de overstiger menneskelig trafik betydeligt. Mere end en tredjedel af bot-trafikken består af den såkaldte “dårlige bot”-andel, som bidrager til mange ondsindede aktiviteter. Tendensen er tydelig i forskellige incidentrapporter: Når virksomheder undersøger usædvanlig eller skadelig trafik, mærkelige udsving i API-brug eller andre uregelmæssigheder, viser beviserne, at mange af disse automatiserede systemer opfører sig mere som AI-agenter, fordi de prætender at være forskellige browsere eller enheder (user-agent-spoofing), hurtigt skifter deres IP-adresser (hurtig IP-rotation), er inkonsistente i forhold til typisk scrapings-bot-aktivitet og lignende. Grundlæggende peger den enorme trafikmængde samt den øgede kompleksitet af deres handlinger på AI-agenter og ikke blot simple botter.

Hvilke adfærdsmæssige signaler bruges til at opbygge IP-risikoprofiler – såsom anmodningsfrekvens, headers eller geografiske mønstre?

Det er muligt at evaluere en IP-adresses “rygte-score” uden at se på den faktiske indhold af anmodningerne, men blot ved at observere, hvordan den opfører sig i netværket. Disse uregelmæssige mønstre er “indhold-agnostiske”, hvilket betyder, at du ikke behøver faktisk data. Metadata og specifik adfærd er nok til at evaluere IP-adressens risikoprofil. Dette fungerer også i stor skala, da mistænkelig adfærd ikke gemmes af moderne kryptering som TLS 1.3 eller ECH. Der er stadig ret meget observerbar data, som blot ikke bliver krypteret.

Hvordan skelner dit system mellem harmløs AI-automatisering og ondsindet aktivitet som scrapings, botnet eller credential-stuffing – især uden at inspicere payload-indholdet?

Det er vigtigt at overveje, hvordan automationen opfører sig over en bestemt periode, ikke kun hvad indhold den anmoder om. De “gode” botter er normalt meget forudsigelige, har en vis struktur og trin, de følger. Ondsindede botter, på den anden side, hopper ofte uregelmæssigt rundt, bruger engangs-identifikatorer, holder en stiv “maskin-lignende” tempo og spreder anmodninger over mange servere for at undgå opdægelse. Det kommer ned til udvidet adfærdsmodellering, hvor man evaluerer, hvordan den bevæger sig rundt på siden over tid.

Kunne du forklare, hvordan eksisterende ISP’er kæmper med at håndtere den voksende proxy-trafik, samtidig med at de opretholder stærke forsvar mod cyberangreb?

Moderne protokoller gemmer mere forbindelsesdetaljer for øget privatliv, så det bliver sværere og mere dyrt for ISP’er at evaluere trafikkens type og klassificere den korrekt. Da det er sværere at se, hvad der er inde, afhænger ISP’er mere af trafikkens adfærd, ikke indhold. Kampen ligger i den tvungne skift i deres metoder fra at afhænge mest af trafikinspektion, som har øget driftsomkostningerne, og integrere nye trusler-intelligence-værktøjer til at tilpasse den nye tilgang.

Hvad er de cybersikkerheds-afvælgelser, som ISP’er står over for, hvis de løsner restriktioner for at tilpasse AI-agent-trafik?

Løsning af filter kan reducere falske positiver og friktion for at holde agenternes opgaver kørende jævnt. Men dette kan også potentielt øge antallet af trusler og angreb, da “dårlige bot”-andelen allerede udgør en betydelig del af trafikken. Løsere filter svarer til højere risici. En måde at finde en midtervej mellem de to ville være en risiko-vægtet adgangs-tilgang. For eksempel, hvis der er mistænkelig trafik, kunne første skridt være at slowe den ned, i stedet for at blokere den fuldstændigt. Mere nuancerede kontroller skal være sat op.

Hvad er de kerne-teknologier, der driver jeres real-time-risikovurdering – bruger I maskinlæring, trusler-intelligence-feeds eller adfærd-anomalie-opdægelse?

Vi bruger en sund blanding af live-data-overvågning og -evaluering, maskinlæring og forskellige trusler-intelligence-værktøjer. Målet er at hurtigt spotte enhver uregelmæssighed i adfærd, forstå trafikkens intention og hvis der er grund til at tro, det er skadeligt; hvis ja – flag høje risikotilfælde og håndter det derefter.

Hvordan integrerer jeres system med eksisterende ISP eller enterprise SOC-arbejdsgange – kan det udløse alarmer eller -afværge automatisk?

Ja, vores system sender både alarmer til eksisterende arbejdsgange og blokerer visse trusler på netværksniveau. Det kan køre i forskellige tilstande, afhængigt af risikotolerance.

Har dette profileringssystem afsløret nogen overraskende angrebsmønstre eller misbrugs-tilfælde under tidlige tests eller installationer?

Ja, der har været ret mange. Et eksempel på tværs af branchen kunne være “hallucinations-crawler”, når LLM’er opfinder ikke-eksisterende URL’er og derefter forsøger at hente dem. Eller pludselige udsving af anmodninger, der gentager sig præcis på samme tidspunkter, som 15 minutter eller en time. Alle disse mønstre er nyttige for os til at yderligere finjustere adfærdssporing og reducere falske positiver.

Hvad er implikationerne af at bygge adfærdsmæssige profiler uden at inspicere krypteret indhold – især under globale dataprotektionslove?

Adfærdsmæssig metadata kan anses for personlige data, men der er undtagelser, for eksempel, hvis interessen er berettiget, kan retfærdiggøres og er nødvendig for sikkerheds-overvågning. Det sagde, interessen i adgang til og mængden af data, der behandles, skal være proportioneret med de risici, der vurderes.

Hvordan forhindrer I falske positiver fra at flagge harmløs automation, som forsknings-crawler eller whitelistede AI-agenter, som cybertrusler?

Vi tester nye sikkerhedsforanstaltninger og regler, før vi implementerer dem, evaluerer multiple signaler, før vi tager nogen handling, og bruger også soft-udfordringer først til at teste trafikkens legitimitet, i stedet for at blokere den fuldstændigt. Det er en multi-lagdette checkliste, som konstant bliver finjusteret.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge IPXO.