Nati Hazut, CEO und Mitgründer von Bold Security – Interviewreihe

Nati Hazut ist CEO und Mitgründer von Bold Security. Zuvor gründete er SAM Seamless Network und Polyrize mit und sammelte dabei Erfahrungen in den Bereichen Sicherheit vernetzter Geräte, Identitätsmanagement, Cloud-Berechtigungen und Datenschutz. Bei Bold setzt er diese Erfahrungen ein, um Interaktionen zwischen Mitarbeitenden, KI-Agenten und sensiblen Unternehmensdaten abzusichern.

Bold Security entwickelt Technologien zum Schutz von Endgerätedaten. Dabei kommen kleine Sprachmodelle zum Einsatz, die direkt auf den Geräten laufen, um sensible Informationen einzuordnen und zu verstehen, wie sie verwendet werden. Die Plattform bietet Sicherheitsteams Kontrollmöglichkeiten, mit denen sie Nutzer anleiten, Aktivitäten umleiten oder riskante Handlungen in Browsern, Desktopanwendungen und durch KI-Agenten blockieren können. In diesem Interview spricht Hazut über Schatten-KI, lokale KI, autonome Agenten und die sich wandelnden Grenzen des Schutzes von Unternehmensdaten.

Sie haben zuvor SAM Seamless Network und Polyrize mitgegründet, bevor Sie Bold Security gemeinsam mit Hadar Krasner und Omri Mallis ins Leben riefen. Welche Veränderungen in der Unternehmenssicherheit und bei KI haben Sie davon überzeugt, dass ein weiteres Sicherheitsunternehmen von Grund auf aufgebaut werden musste?

Die wichtigste Veränderung durch KI besteht darin, dass sich der Ort verlagert hat, an dem gearbeitet wird. Jahrzehntelang erledigten Menschen die sensibelsten Aufgaben mit Unternehmensdaten in Browsern und SaaS-Anwendungen – genau dort lag der Schwerpunkt der Sicherheitslösungen. Heute findet ein größerer Teil dieser Arbeit direkt auf dem Gerät statt: Menschen entwerfen Texte in einem KI-Assistenten für den Desktop, fügen Quellcode in eine native App ein und führen Agenten aus, die direkt auf Dateien, Anwendungen und Unternehmenssysteme auf dem Laptop zugreifen.

Dieser Wandel hat die Annahmen infrage gestellt, auf denen die meisten Sicherheitsprodukte beruhen. Die Netzwerküberwachung sieht nur den Datenverkehr, der über sie geleitet wird; Desktopanwendungen verschlüsseln ihren Datenverkehr und umgehen den Proxy. CASB erfasst genehmigte Cloud-Anwendungen. DSPM erfasst Daten, die in Cloud-Speichern liegen. Keines dieser Systeme sieht, wenn eine lokale Datei in eine KI-Desktopanwendung gelangt oder ein Agent Daten verschiebt, ohne dass eine Person an der Tastatur sitzt.

Wir haben Bold gegründet, weil am Endgerät alles zusammenläuft. Dort lassen sich die Daten erkennen, ebenso wie die Mitarbeitenden oder Agenten, die mit ihnen interagieren, ihre Absichten und der Weg, den die Informationen nehmen. Und man kann eingreifen, bevor sensible Daten der Kontrolle des Unternehmens entzogen werden.

Schatten-KI reicht von Mitarbeitenden, die persönliche ChatGPT-Konten nutzen, bis hin zu Desktopanwendungen, Browsererweiterungen, APIs, Verbindungen über das Model Context Protocol und zunehmend autonomen Agenten. Welche Formen von Schatten-KI sind für Sicherheitsteams in Unternehmen derzeit am schwierigsten zu erkennen und zu kontrollieren?

Vor einem Jahr machte sich jeder Sorgen wegen „Schatten-KI“, doch die Diskussion wird zunehmend differenzierter. Sicherheitsteams in Unternehmen erkennen zunehmend, dass Mitarbeitende neue KI-Tools schneller denn je einführen. Daher geht es weniger darum, die verwendeten Tools zu erfassen, als vielmehr darum, die Daten zu kontrollieren, die durch sie fließen.

Natürlich lässt sich nicht kontrollieren, was man nicht sehen kann. Am schwierigsten zu überwachen sind die Kanäle, die nie über einen Netzwerkpfad laufen, den jemand beobachtet. Desktopanwendungen lesen Dateien direkt vom Gerät und verschlüsseln ihren Datenverkehr. Deshalb wird nichts über die Tools geleitet, die diesen Datenverkehr prüfen sollen. Agenten haben Zugriff auf Unternehmensinformationen und nutzen sie fortlaufend, ohne dass ihnen Mitarbeitende jedes Mal etwas übergeben müssen.

All das sind neue Kanäle für die Datenexfiltration; entscheidend ist, welche Daten darüber übertragen werden. Ein öffentliches Dokument, das in ein genehmigtes Unternehmenskonto gelangt, ist nicht dasselbe wie eine Kundendatenbank oder proprietärer Quellcode, die in ein persönliches Konto übertragen werden. Dieser Unterschied ist nur dort erkennbar, wo sich die Daten befinden und die Handlung stattfindet. Gerade bei der Schatten-KI, die sich nicht erkennen lässt, ist die Frage nach den Daten also am wichtigsten.

Bold verfolgt einen Endgeräte-zuerst-Ansatz und führt KI lokal auf dem Gerät aus, statt sich hauptsächlich auf die Überwachung von Netzwerken oder Cloud-Diensten zu verlassen. Was kann ein Modell auf dem Gerät über eine KI-Interaktion erfassen, das mit herkömmlicher Verhinderung von Datenverlusten nicht möglich ist?

Bold geht in zweierlei Hinsicht anders vor. Erstens setzen wir KI ein, um sensible Daten zu schützen, ohne diese zur Analyse an einen anderen KI-Dienst senden zu müssen. Unsere kleinen Sprachmodelle laufen direkt auf dem Gerät und können dort erkennen, welche Daten sensibel sind, wer darauf zugreift und wohin sie gelangen. So können wir riskante Handlungen in Echtzeit erkennen und unterbinden, ohne die Latenz und Kosten, die entstehen, wenn alles in die Cloud gesendet wird.

Zweitens gehen wir über die Kanäle hinaus, die herkömmliche Sicherheitstools überwachen. Der Großteil des Marktes konzentriert sich nach wie vor auf Browser und Netzwerkverkehr. Sensible Daten werden jedoch zunehmend über KI-Desktopanwendungen, Programmierwerkzeuge, Terminals und autonome Agenten verarbeitet. Herkömmliche DLP- und Cloud-Sicherheitsprodukte können diese viel schwerer erkennen.

Da wir direkt auf dem Endgerät arbeiten, können wir Daten in all diesen Umgebungen schützen und eingreifen, bevor sensible Informationen der Kontrolle des Unternehmens entzogen werden.

Ihre Technologie soll nicht nur erkennen, auf welche Daten zugegriffen wird, sondern auch den Kontext und die Absicht hinter einer Handlung verstehen. Wie unterscheiden Sie die legitime Nutzung sensibler Informationen von einem Verhalten, das tatsächlich ein Sicherheitsrisiko darstellt, ohne übermäßig viele Fehlalarme auszulösen?

Hier kommt es auf den Kontext an. Man kann nicht jeden Dateiupload und jeden Zugriff eines Agenten auf Daten als Sicherheitsvorfall behandeln, sonst kann niemand mehr arbeiten.

Dieselbe Datei kann an einem Ort alltäglich und an einem anderen ein ernstes Problem sein. Eine Kundenliste ist im Support-Tool erwartungsgemäß, in einem Upload auf ein persönliches Konto hingegen problematisch. Quellcode gehört ins Repository, nicht in eine Eingabeaufforderung für ein KI-Tool für Verbraucher.

Ein Tool, das lediglich erkennt, dass der Inhalt einer Regel entspricht, muss entweder beide Fälle melden oder keinen von beiden. So entstehen Fehlalarme. Wenn man weiß, um welche Daten es sich handelt, wer sie verschiebt und wohin sie gelangen, kann man normale KI-Nutzung von einem tatsächlichen Risiko unterscheiden.

KI-Agenten bringen ein anderes Sicherheitsmodell mit sich, denn Software kann zunehmend auf Dateien zugreifen, Tools aufrufen, Verbindungen über MCP-Server herstellen und mit begrenzter menschlicher Beteiligung Aktionen ausführen. Wie muss sich die Endgerätesicherheit weiterentwickeln, wenn der Akteur, der mit sensiblen Unternehmensdaten interagiert, ein autonomer Agent statt eines Mitarbeiters sein kann?

Sicherheit wurde größtenteils für Menschen konzipiert, doch Agenten können inzwischen mit Maschinengeschwindigkeit handeln, Dateien öffnen, Tools aufrufen und Daten verschieben, ohne dass jemand jeden Schritt genehmigt. Sicherheit muss im selben Tempo arbeiten. Viele Produkte nutzen KI, um Vorfälle im Nachhinein zu analysieren. Wir setzen sie ein, um riskante Aktionen in Echtzeit zu erkennen und zu stoppen – auch solche, die außerhalb des Browsers stattfinden.

Ein Agent könnte eine Desktop-Anwendung, ein Terminal oder ein anderes Tool nutzen, das er während der Ausführung einer Aufgabe entdeckt. Die Sicherheitsmaßnahmen müssen Daten und Aktionen über all diese Umgebungen hinweg verfolgen – unabhängig davon, ob ein Mensch oder ein Agent dafür verantwortlich ist.

Das wirft auch eine Frage auf, die sich Sicherheitsteams bislang nicht stellen mussten: War eine riskante Handlung beabsichtigt oder hat der Agent einen Fehler gemacht? Darauf muss man unterschiedlich reagieren. Trifft ein Mitarbeiter eine schlechte Entscheidung, sollte man ihn beraten. Tut ein Agent etwas, das niemand in Auftrag gegeben hat, muss man ihn stoppen.

Am Endgerät lässt sich der Unterschied erkennen, denn dort kommen Daten, Prozess und Aktion zusammen.

Viele Unternehmen haben auf die Risiken generativer KI reagiert, indem sie bestimmte Tools eingeschränkt oder verboten haben. Glauben Sie, dass Unternehmen auf ein Modell zusteuern, bei dem praktisch jedes KI-Tool zugelassen werden kann, solange es Kontrollen dafür gibt, auf welche Daten es zugreifen und wohin diese Daten gelangen dürfen?

Pauschale Verbote werden das Problem nicht lösen. Mitarbeiter können innerhalb von Sekunden ein neues KI-Tool finden und nutzen, und die meisten versuchen nicht, Sicherheitsvorkehrungen zu umgehen. Sie wollen ihre Arbeit schneller erledigen.

Die wichtigere Frage ist, was mit den Unternehmensdaten geschieht, wenn sie diese Tools nutzen.

Wenn jemand ein persönliches KI-Konto für unproblematische Aufgaben nutzt, kann man ihn vielleicht einfach auf das Unternehmenskonto verweisen. Wenn die Person jedoch gerade Quellcode, Kundeninformationen oder Zugangsdaten an einen Ort senden will, den das Unternehmen nicht zulässt, muss die Sicherheitsabteilung eingreifen.

Ich denke, die Entwicklung geht in diese Richtung: den Menschen Spielraum bei der KI-Nutzung geben, aber die Daten schützen. Wissen, worauf zugegriffen wird, wohin die Daten gelangen und wann ein Eingreifen erforderlich ist.

Der lokale Betrieb von KI kann Vorteile in Bezug auf Latenz und Datenschutz bieten, doch Endgeräte verfügen nur über begrenzte Rechenleistung und Speicherkapazität. Welche technischen Abwägungen mussten Sie bei der Entwicklung von Modellen treffen, die Daten semantisch klassifizieren und direkt auf den Geräten der Mitarbeiter in Echtzeit Schutzmaßnahmen durchsetzen können?

Man kann nicht ein riesiges Modell auf den Laptop eines Mitarbeiters packen, dessen Prozessor und Arbeitsspeicher auslasten und das dann Sicherheit nennen. Wenn ein Sicherheitsprodukt die Nutzung des Computers zur Qual macht, werden die Mitarbeiter es hassen und die IT-Abteilung wird es abschalten.

Es gibt also echte Zielkonflikte. Das Modell muss Daten gut genug verstehen, um zwischen harmlosen und sensiblen Inhalten zu unterscheiden. Zugleich muss es schnell, klein und zuverlässig genug sein, um kontinuierlich im Hintergrund zu laufen.

Zu Beginn ging es darum, Modelle zu entwickeln, die verschiedene Datentypen auf unterschiedlichen Computern zuverlässig klassifizieren können, ohne diese auszubremsen. Diese Entwicklungsarbeit haben wir bereits geleistet, sodass unsere Kunden solche Abwägungen nicht selbst treffen müssen.

Die Benutzerfreundlichkeit hatte während der gesamten Entwicklung für uns höchste Priorität. Unser Produkt benötigt etwa 20 % der Rechenressourcen, die die herkömmlichen Agenten unserer etablierten Wettbewerber ohne KI verbrauchen, und trifft Entscheidungen lokal, sobald eine Aktion ausgeführt wird. Sensible Daten müssen das Gerät nicht verlassen, nur damit festgestellt werden kann, ob sie sensibel sind.

Bold kann KI-Tools, Konten und Agentenaktivitäten erkennen und bei riskanten Aktionen warnen, Nutzer umleiten oder diese blockieren. Wie entscheiden Sie, wann das System einen Nutzer lediglich warnen und wann es eine Aktion automatisch stoppen sollte?

Stellen Sie sich vor, wie ein guter Kollege damit umgehen würde. Wenn Sie gerade einen Entwurf in Ihr persönliches ChatGPT einfügen wollen, würde er sich zu Ihnen beugen und sagen: „Hey, dafür haben wir ein Unternehmenskonto.“ Wenn Sie gerade die Kundendatenbank auf Ihr persönliches Drive hochladen wollen, würde er Sie am Arm packen.

Wir versuchen, genauso vorzugehen, und stellen fest, dass Coaching Nutzer in mindestens 90 % der Fälle wirksam auf die sichere Alternative umlenkt. Meistens handelt es sich um Personen, die versehentlich im falschen Konto angemeldet sind, oder um Personen, die nicht wissen, welche Richtlinien das Unternehmen dazu hat, wohin Daten gelangen dürfen.

Letztlich entscheidet der Kunde, wo eine Sperre greifen soll, und jedes Unternehmen zieht diese Grenze anders. Unsere Aufgabe ist es, ihm den nötigen Kontext und die Sicherheit zu geben, die richtige Entscheidung zu treffen. Bei komplexeren riskanten Abläufen bedeutet das, den zuvor besprochenen Kontext heranzuziehen und ihn an der bisherigen Aktivität des Nutzers und sogar an der seiner Vergleichsgruppe zu messen.

Deine berufliche Laufbahn führte vom Schutz vernetzter Geräte bei SAM über Identitäts- und Cloud-Berechtigungen bei Polyrize bis hin zum Schutz der Interaktionen zwischen Menschen, KI-Agenten und Unternehmensdaten bei Bold. Wie hat sich dein Verständnis der grundlegenden Sicherheitsgrenze über diese drei Generationen der Cybersicherheit hinweg verändert?

Mein Verständnis der Grundlagen ist klarer geworden. Der gemeinsame Nenner ist, Sicherheit dorthin zu bringen, wo die Aktionen stattfinden, und sie skalierbar zu machen.

Bei SAM haben wir Router mit sehr begrenzten Ressourcen mit Sicherheitslösungen auf Unternehmensniveau ausgestattet. Dadurch haben wir gelernt, fortschrittliche Technologien effizient an den Netzwerkrand zu bringen. Bei Polyrize konzentrierten wir uns darauf, Daten in Cloud- und SaaS-Umgebungen durch mehr Transparenz und ein Management der Sicherheitslage zu schützen. Zu verstehen, wo Risiken bestehen, ist entscheidend, reicht aber nicht unbedingt aus, um eine riskante Aktion zu verhindern.

Bold vereint diese Erkenntnisse. Wir bringen Intelligenz auf das Endgerät, wo Menschen und KI-Agenten mit Daten interagieren, und geben Sicherheitsteams den nötigen Kontext, um Risiken zu verstehen und in Echtzeit einzugreifen.

Netzwerk- und Cloud-Sicherheit sind weiterhin wichtig, doch am Endgerät lassen sich Aktivitäten über Desktop-Anwendungen, lokale Dateien, persönliche Konten und auf dem Gerät ausgeführte Agenten hinweg erkennen. Ich habe gelernt, dass es ebenso wichtig ist, wo und wann Sicherheit greift, wie intelligent sie ist.

Wenn du drei bis fünf Jahre in die Zukunft blickst und bedenkst, dass Beschäftigte zunehmend autonom mit KI-Agenten zusammenarbeiten: Was wird deiner Meinung nach aus dem Endgerät im Unternehmen? Könnte es so weit kommen, dass jedes Gerät im Grunde über eine eigene intelligente Sicherheitsebene verfügt, die kontinuierlich entscheidet, welche Menschen und Agenten mit bestimmten Daten interagieren dürfen?

Ich denke, genau darauf läuft es hinaus.

Das Endgerät wird zu einer intelligenten Sicherheitsebene, die die darauf gespeicherten Daten versteht, erkennt, ob eine Person oder ein Agent mit ihnen interagiert, und lokal entscheidet, was geschehen soll und was nicht.

Das wird umso wichtiger, je autonomer die Agenten werden. Eine Person könnte gleichzeitig mehrere Agenten in ihrem Auftrag einsetzen, die mit Dateien, Anwendungen und Unternehmenssystemen arbeiten. Sicherheit kann nicht davon abhängen, dass diese Person jeden einzelnen Schritt genehmigt, denn zunehmend wird sie nicht mehr zusehen.

Die Daten müssen weiterhin geschützt werden, doch die Zahl der Akteure, die darauf zugreifen, wird weit über eine einzelne Person an der Tastatur hinausgehen. Sicherheitssysteme müssen mit Agenten kommunizieren, Entscheidungen treffen und autonom auf laufende Aktionen reagieren. Diejenigen, die diese Systeme bedienen, werden zunehmend die Kontrollen und Entscheidungen überwachen, statt jedes einzelne Ereignis zu prüfen. Am Endgerät können diese Entscheidungen getroffen werden, während die Daten noch unter der Kontrolle des Unternehmens stehen.

Vielen Dank für das großartige Interview. Leserinnen und Leser, die mehr über den Schutz von Endgerätedaten und die sichere Einführung von KI in Unternehmen erfahren möchten, sollten Bold Security besuchen.