Sysdig bringt AI Defense zur Steuerung von Agentenaktionen vom Endgerät bis zur Cloud auf den Markt

Sysdig hat AI Defense auf den Markt gebracht, ein Produkt für Laufzeitsicherheit und Governance, das untersucht, was KI-Agenten tun, und eingreift, wenn ihre Aktionen die Richtlinien eines Unternehmens überschreiten. Mit der Ankündigung vom 4. November wurde das Produkt allgemein für macOS und Windows verfügbar. Die Transparenz soll Aktivitäten auf den Arbeitsgeräten von Beschäftigten mit den Cloud-Ressourcen verknüpfen, auf die ihre Zugangsdaten Zugriff ermöglichen.

Das Produkt trägt dem Wandel von KI Rechnung, die Antworten liefert, hin zu KI, die Software bedient. Ein Programmieragent kann Dateien lesen, Werkzeuge aufrufen, Prozesse starten und die Infrastruktur verändern. Um diesen Arbeitsablauf abzusichern, muss man sowohl verstehen, welche Aufgabe der Agent seiner Ansicht nach ausführt, als auch, welche Vorgänge tatsächlich im Hintergrund ablaufen.

Agentenabsichten mit Nachweisen auf Betriebssystemebene verknüpfen

Sysdig zufolge kombiniert AI Defense eine Instrumentierung innerhalb der Ausführungsumgebung eines Agenten – des Frameworks, in dem er läuft – mit Telemetriedaten des Betriebssystems. Die Instrumentierung der Ausführungsumgebung erfasst Aufrufe von Werkzeugen, Servern des Model Context Protocol, Skills und Plugins einschließlich ihrer Argumente und Ziele. Die Beobachtung auf Systemebene liefert eine separate Aufzeichnung der Prozesse und Aktivitäten, die durch diese Aufrufe ausgelöst werden.

Dieser Unterschied ist wichtig, wenn die Darstellung eines Agenten unvollständig oder manipuliert ist. Eine gemeldete Werkzeugaktion kann mehrere Prozesse starten, und eine während einer Sitzung hinzugefügte Verbindung oder ein hinzugefügter Skill kann verändern, wozu der Agent in der Lage ist. Sysdig berichtet von einer ersten Beobachtung, wonach auf jede in Agentenprotokollen erfasste Aktion ungefähr sieben zugrunde liegende Prozesse kamen. Dabei handelt es sich um eine Erkenntnis des Unternehmens, nicht um ein allgemeingültiges Verhältnis für alle Agenten.

Das System berücksichtigt auch die Berechtigungen: Derselbe Vorgang zum Lesen einer Datei kann je nach den Rechten der verwendeten Zugangsdaten unterschiedliche Folgen haben – je nachdem, ob sie Zugriff auf eine Testumgebung gewähren oder zur Verwaltung der Produktionsumgebung berechtigen. Ein Aktionsdiagramm soll die Abfolge der Ereignisse, die verantwortliche Person, die vom Agenten angegebene Tätigkeit und die erreichbaren Ressourcen miteinander verknüpfen.

Richtlinien, die Aktionen zulassen, anhalten oder blockieren

Unternehmen können Richtlinien zunächst im Warnmodus einsetzen, bevor sie deren Durchsetzung aktivieren. Nach der Aktivierung können diese Richtlinien laut Sysdig nicht geprüfte Werkzeuge und Verbindungen blockieren, riskante Zugriffe mit Zugangsdaten unterbinden oder eine Aktion bis zur menschlichen Freigabe anhalten. In der Produktankündigung wird außerdem beschrieben, wie ein Prozess beendet werden kann, wenn eine Aktion eine vorherige Kontrollmaßnahme umgeht.

Diese Mechanismen greifen an unterschiedlichen Punkten einer Ausführungssequenz. Einen Vorgang daran zu hindern, abgeschlossen zu werden, ist etwas anderes, als Aktivitäten zu erkennen und anschließend einen Prozess zu beenden. Die Ankündigung enthält keine öffentlich zugängliche Übersicht darüber, welche Kontrollen auf den einzelnen unterstützten Betriebssystemen, in den jeweiligen Ausführungsumgebungen und auf verwalteten Plattformen vorbeugend wirken.

Zu den Richtlinienvorlagen gehören Zuordnungen zum OWASP Top 10 for LLM Applications sowie Ausnahmeregelungen für Entwickler. Sysdig beschreibt außerdem Sitzungsprotokolle, aus denen hervorgeht, welche Richtlinie angewendet wurde, was erlaubt oder blockiert wurde und wer eine Ausnahme genehmigt hat. Diese Aufzeichnungen können Untersuchungen und Prüfungen unterstützen, ohne dass Teams eine Sitzung nach einem Vorfall rekonstruieren müssen.

Was die Falco Foundation beiträgt

Sysdig stellt eine Verbindung zwischen dem Produkt, seiner Erfahrung mit cloudnativer Laufzeitsicherheit und Falco her, dem Open-Source-Projekt, das das Unternehmen ursprünglich entwickelt hat. In der Falco-Dokumentation wird beschrieben, wie Linux-Kernelereignisse und von Plugins bereitgestellte Ereignisquellen beobachtet, Ereignisse um den Kontext von Containern und Kubernetes ergänzt und mithilfe von Regeln Warnmeldungen erzeugt werden.

Diese Grundlage erklärt, warum Sysdig die beobachtete Ausführung betont, anstatt sich allein auf die Darstellung eines KI-Systems zu verlassen. Das bedeutet nicht, dass das Open-Source-Projekt Falco selbst alle in AI Defense beschriebenen Funktionen für die Governance von Agenten oder zum Blockieren von Aktionen bereitstellt. Falcos dokumentierte Erkennungsarchitektur und Sysdigs kommerzielles Produkt sind getrennt voneinander zu betrachten.

Die Veröffentlichung nennt Claude Code, Codex, GitHub Copilot und Cursor als Agentenumgebungen, die erfasst und einem menschlichen Verantwortlichen zugeordnet werden sollen. Die Angabe zur Verfügbarkeit für macOS und Windows ist konkreter als die allgemeinere Beschreibung der Abdeckung von Linux, Kubernetes und verwalteten Agentenplattformen. Unternehmen müssen für jede Umgebung die passende Integration einrichten.

Governance zur Laufzeit ergänzt Modelltests

In Sysdigs technischer Erläuterung der geteilten Verantwortung werden Laufzeitkontrollen als zusätzliche Schutzebene für die von einem Agenten ausgeführten Aufgaben dargestellt. Entscheidend ist der Unterschied zwischen der Aufforderung an ein Modell, eine Grenze einzuhalten, und der Durchsetzung dieser Grenze, wenn eine Software versucht, einen Vorgang auszuführen.

AI Defense ist als Ergänzung zu bestehendem Endgeräteschutz, Modelltests und Red-Team-Tests positioniert. Bei Tests wird untersucht, wie sich ein Modell oder Arbeitsablauf unter ausgewählten Bedingungen verhält; die Governance zur Laufzeit befasst sich mit Aktionen während einer tatsächlichen Sitzung. Keine der beiden Beschreibungen belegt, dass eine Bereitstellung vor Kompromittierung sicher ist. Die Wirksamkeit hängt von der Konfiguration der Richtlinien und der Abdeckung des Ausführungspfads ab.

Agentenaktivitäten und KI-Ausgaben zuordnen

Über den Sicherheitsbereich hinaus ordnet Sysdig zufolge AI Defense Modellaufrufe dem jeweiligen Agenten, Team und Verantwortlichen zu – auch Aktivitäten, die nicht über ein zentrales KI-Gateway laufen. So könnten Unternehmen unterscheiden, ob ein teures Modell für Routineaufgaben eingesetzt wird oder ob eine Aktivität den Einsatz eines leistungsfähigeren Modells rechtfertigt.

Der weiter gefasste Ansatz besteht in einer gemeinsamen Nachweisgrundlage für Sicherheit, Governance und Kostenmanagement. Je mehr Tools Agenten nutzen und je häufiger sie mit den echten Zugangsdaten von Mitarbeitenden arbeiten, desto mehr hängt ihre Wirkung davon ab, was sie ausführen können. Sysdig AI Defense soll diese Befugnisse direkt am Ort der Ausführung sichtbar und durchsetzbar machen.