Jacob Ideskog, CTO της Curity – Σειρά Συνεντεύξεων

Jacob Ideskog είναι ειδικός στην ταυτότητα και CTO στην Curity. Μεγαλύτερος μέρος του χρόνου του περνά εργαζόμενος με λύσεις ασφαλείας στο χώρο API και Web. Έχει εργαστεί με το σχεδιασμό και την υλοποίηση λύσεων OAuth και OpenID Connect για μεγάλες επιχειρηματικές εγκαταστάσεις, καθώς και για μικρές startups.

Curity είναι μια σύγχρονη πλατφόρμα διαχείρισης ταυτότητας και πρόσβασης (IAM) που βασίζεται στον Curity Identity Server, μια λύση που βασίζεται σε πρότυπα και σχεδιασμένη για να ασφαλίσει την αυθεντικοποίηση και την εξουσιοδότηση για εφαρμογές, API και ψηφιακές υπηρεσίες σε κλίμακα. Υποστηρίζει πρωτόκολλα όπως το OAuth 2.0 και το OpenID Connect για να κεντρώσει τις ροές σύνδεσης, να επιβάλλει πολιτικές πρόσβασης με λεπτομέρεια και να εκδίδει ασφαλείς tokens για ανθρώπινους χρήστες και μη ανθρώπινους πελάτες λογισμικού, συμπεριλαμβανομένων API και υπηρεσιών. Η πλατφόρμα σχεδιάστηκε για ευελιξία και κλιμάκωση, επιτρέποντας στις οργανώσεις να αναπτύσσουν σε cloud, υβριδικά ή εσωτερικά περιβάλλοντα, να ενσωματώνουν με υπάρχουσες συστήματα και να παρέχουν ασφαλείς, ομαλές εμπειρίες χρήστη χωρίς να βασίζονται σε προσαρμοσμένες υποδομές ασφαλείας.

Έχετε περάσει μεγάλο μέρος της καριέρας σας κατασκευάζοντας συστήματα ταυτότητας και ασφαλείας API, από την συν-ίδρυση της Curity μέχρι την ηγεσία της ως CTO κατά την άνοδο του cloud και τώρα του AI. Πώς έχει διαμορφώσει αυτό το ταξίδι την άποψή σας ότι οι πράκτορες AI πρέπει να αντιμετωπίζονται ως πρώτης τάξης ψηφιακές ταυτότητες και όχι απλά ως άλλο ένα κομμάτι λογισμικού;

Σε κάθε πεδίο της τεχνολογίας που έχω εργαστεί, ένα ζήτημα συνεχίζει να ανακύπτει. Ανεξάρτητα από το αν πρόκειται για υπολογιστική στο cloud ή τώρα για AI, αν το λογισμικό ενεργεί για λογαριασμό ενός ατόμου ή ενός άλλου συστήματος, υπάρχει ένα πρόβλημα ταυτότητας.

Με την μαζική υιοθέτηση των πράκτορων AI, αυτό το ζήτημα ενισχύεται. Η συμπεριφορά τους δεν είναι πλέον στενά προγραμματισμένη και λειτουργούν με ένα επίπεδο αυτονομίας που οι επιχειρήσεις δεν έχουν δει ποτέ πριν. Οι πράκτορες AI λαμβάνουν αποφάσεις, καλούν API και αλυσίδες ενεργειών σε διάφορα συστήματα – συχνά χωρίς άμεση ανθρώπινη εποπτεία. Αυτή η συμπεριφορά δημιουργεί προβλήματα ταυτότητας και πρόσβασης που είναι θεμελιωδώς διαφορετικά από το παραδοσιακό λογισμικό.

Η αντιμετώπιση των πράκτορων AI ως πρώτης τάξης ψηφιακών ταυτότητων είναι ο μόνος τρόπος για να αντιμετωπιστούν σωστά. Αν οι οργανώσεις τους αντιμετωπίζουν ως απλά μια διαδικασία ή ένα λογαριασμό υπηρεσίας, χάνουν την ορατότητα και τον έλεγχο πολύ γρήγορα – και αυτό είναι μια συνταγή για μια κρίση ασφαλείας.

Πολυάριθμες επιχειρήσεις είναι ενθουσιασμένες με τους πράκτορες AI αλλά παραμένουν κολλημένες στην πειραματική φάση. Από ότι βλέπετε στις πραγματικές αναπτύξεις, ποια είναι τα πιο κοινά κενά ταυτότητας και διακυβέρνησης που εμποδίζουν τις οργανώσεις από το να κλιμακώσουν τους πράκτορες με ασφάλεια;

Η περισσότερη πειραματική δραστηριότητα συμβαίνει σε απομονωμένα sandbox που αγνοούν τι συμβαίνει σε κλίμακα. Κατά τη διάρκεια των πρώτων πιλότων, οι ομάδες συχνά παρέχουν στους πράκτορες ευρείες API κλειδιά, κοινά διαπιστευτήρια ή γενικές άδειες cloud απλώς για να ξεκινήσουν τα πράγματα.

Αυτή η προσέγγιση καταρρέει την στιγμή που οι πράκτορες αναπτύσσονται πέρα από τους πιλότους. Αυτό συμβαίνει επειδή οι ομάδες ασφαλείας δεν μπορούν να δουν ποια δεδομένα έχει πρόσβαση ένας πράκτορας, τις ενέργειές του, ή αν μπορεί ή έχει υπερβεί τον προβλεπόμενο σκοπό του – είτε κατά λάθος είτε με κακόβουλη πρόθεση. Αυτά τα τυφλά σημεία καθιστούν αδύνατο να κυβερνήσουν τους πράκτορες με ασφάλεια, και αυτό είναι ο λόγος για τον οποίο πολλές οργανώσεις δυσκολεύονται να προχωρήσουν πέρα από τους πιλότους.

Έχετε υποστηρίξει ότι αυστηρά φραγμοί είναι απαραίτητοι για τους πράκτορες AI. Τι σημαίνει «καλή» σχεδίαση ταυτότητας για τους πράκτορες AI στην πράξη, και πού οι εταιρείες συνήθως κάνουν λάθος;

Η καλή σχεδίαση ταυτότητας ξεκινά από την αρχή του ελάχιστου προνομίου και των δικαιωμάτων που συνδέονται με σαφή πρόθεση. Κάθε πράκτορας AI πρέπει να έχει τη δική του ταυτότητα, στενά οριοθετημένες άδειες και σαφώς καθορισμένες σχέσεις εμπιστοσύνης (ρητοί κανόνες για ποια συστήματα επιτρέπεται να αλληλεπιδρά). Θεμελιωδώς, η πρόσβαση πρέπει να είναι δεσμευμένη σε σκοπό, περιορισμένη στο χρόνο και εύκολη να ανακληθεί.

Οι εταιρείες κάνουν λάθος όταν επαναχρησιμοποιούν υπάρχοντες λογαριασμούς υπηρεσιών ή υποθέτουν ότι οι εσωτερικοί πράκτορες είναι ασφαλείς από προεπιλογή. Αυτή η υπόθεση δεν ισχύει ενάντια σε πραγματικές απειλές. Οι κακόβουλοι παράγοντες ενεργά αναζητούν ακριβώς αυτά τα αδύναμα σημεία, και οι πράκτορες AI αυξάνουν δραματικά την πιθανή ζώνη επίδρασης όταν η σχεδίαση ταυτότητας είναι χαλαρή.

Η Curity έχει εργαστεί για πολύ καιρό με πρότυπα όπως το OAuth και το OpenID Connect. Πόσο κρίσιμα είναι τα ανοιχτά πρότυπα ταυτότητας για να κάνουν τους πράκτορες AI διαλειτουργικούς και ασφαλείς σε σύνθετα περιβάλλοντα επιχειρήσεων;

Τα ανοιχτά πρότυπα είναι απολύτως κρίσιμα. Οι επιχειρήσεις ήδη τρέχουν σύνθετες υποδομές διαχείρισης ταυτότητας που καλύπτουν πλατφόρμες cloud, υπηρεσίες SaaS και εσωτερικά API. Οι πράκτορες AI προσθέτουν ακόμη περισσότερη πολυπλοκότητα.

Χωρίς πρότυπα, κάθε πράκτορας γίνεται η δική του ολοκλήρωση και μια μόνιμη εξαίρεση ασφαλείας. Με πρότυπα όπως το OAuth και το OpenID Connect, οι πράκτορες μπορούν να αυθεντικοποιηθούν, να εξουσιοδοτηθούν και να ελεγχθούν όπως και κάθε άλλη εργασία. Αυτή είναι η μόνη προσέγγιση που μπορεί να διευκολύνει την ασφαλή κλιμάκωση σε πραγματικά περιβάλλοντα επιχειρήσεων.

Τι κάνει τους πράκτορες AI θεμελιωδώς διαφορετικούς από προηγούμενες μη ανθρώπινες ταυτότητες από την άποψη της ασφαλείας;

Η βασική διαφορά μεταξύ των σύγχρονων πράκτορων AI και των παλαιότερων μη ανθρώπινων ταυτότητων (ΜΗΤ) είναι η αυτονομία. Ένας παραδοσιακός λογαριασμός υπηρεσίας κάνει ακριβώς αυτό που του λέει ο κώδικας, δεσμευμένος στενά στο καθήκον του. Ένας πράκτορας AI ερμηνεύει οδηγίες, προσαρμόζει τη συμπεριφορά του και λαμβάνει ενέργειες που δεν είχαν προγραμματιστεί ποτέ ρητά – αυξάνοντας τον πιθανό κίνδυνο αν δεν υπάρχουν κατάλληλοι φραγμοί.

Ένα μικρό σφάλμα ταυτότητας ή πρόσβασης μπορεί να γίνει γρήγορα καταστροφή, επειδή ένας πράκτορας μπορεί να ενεργήσει με ταχύτητα και σε πολλά συστήματα. Από την άποψη της ασφαλείας, αυτό παρουσιάζει έναν σημαντικό κίνδυνο.

Πόσο σημαντικά είναι τα ίχνη ελέγχου και η καταγραφή βασισμένη στην ταυτότητα για τη διακυβέρνηση των πράκτορων AI, ιδιαίτερα σε ρυθμιζόμενους τομείς;

Τα ίχνη ελέγχου δεν πρέπει να είναι «ωραία να έχεις». Πρέπει να είναι χτισμένα από την αρχή. Σε ρυθμιζόμενους περιβάλλοντες, οι οργανώσεις αναμένεται να απαντήσουν σε απλές αλλά κρίσιμες ερωτήσεις: τι είχε πρόσβαση ο πράκτορας, πότε συνέβη και ποιος τον εξουσιοδότησε;

Η καταγραφή βασισμένη στην ταυτότητα είναι ο μόνος αξιόπιστος τρόπος για να λάβουν αυτό το επίπεδο ευθύνης. Παίζει επίσης κρίσιμο ρόλο στην αντιμετώπιση περιστατικών ασφαλείας. Χωρίς σαφείς πλαισιωμένες πληροφορίες ταυτότητας, είναι σχεδόν αδύνατο να γνωρίσετε αν ένα πρόβλημα προήλθε από έναν δυσλειτουργικό πράκτορα, μια παραβιασμένη ταυτότητα ή απλώς μια κακή προτροπή προς το μοντέλο.

Τι πραγματικούς κινδύνους βλέπετε να αναδυθούν όταν οι οργανώσεις αναπτύσσουν υπερβολικά προνομιούχους ή κακώς παρακολουθούμενους πράκτορες AI στην παραγωγή;

Ένας κοινός κίνδυνος είναι η σιωπηλή συλλογή δεδομένων. Ένας υπερβολικά προνομιούχος πράκτορας μπορεί να τραβήξει ευαίσθητα δεδομένα από πολλά συστήματα (εγγραφές πελατών, εσωτερικά έγγραφα, καταγραφές) και στη συνέχεια να εκθέσει αυτά τα δεδομένα μέσω προτροπών, περιλήψεων ή εξωτερικών διασυνδέσεων.

Ένας άλλος κίνδυνος είναι οι πράκτορες με διοικητική πρόσβαση που κάνουν μεγάλες αλλαγές με ταχύτητα μηχανής, προκαλώντας πολύ μεγαλύτερη ζημιά από ό,τι ένας άνθρωπος θα μπορούσε σε σύντομο χρονικό διάστημα. Αυτό μπορεί να περιλαμβάνει την τροποποίηση πόρων cloud, την απενεργοποίηση ελέγχων ασφαλείας ή την ενεργοποίηση αυτοματοποιημένων εργασιών χωρίς εποπτεία.

Αυτά τα περιστατικά μπορεί να είναι κακόβουλα, αλλά δεν είναι απαραίτητα κακόβουλα. Ένας υπερβολικά προνομιούχος ή κακώς παρακολουθούμενος πράκτορας μπορεί απλώς να λειτουργεί με παλιές ή λανθασμένες υποθέσεις, ενισχύοντας λάθη σε πολλά συστήματα πριν κανείς το παρατηρήσει.

Αλλά, από την άποψη του επιτιθέμενου, μια παραβιασμένη ταυτότητα πράκτορα είναι εξαιρετικά πολύτιμη. Επιτρέπει την πλευρική κίνηση σε API και υπηρεσίες, συχνά με ένα επίπεδο πρόσβασης που δεν θα είχε ποτέ ένας άνθρωπος. Χωρίς ισχυρούς ελέγχους ταυτότητας και παρακολούθηση, οι οργανώσεις συχνά ανακαλύπτουν αυτές τις αποτυχίες μόνο μετά από πραγματική ζημιά.

Για τις εταιρείες που μεταβαίνουν από πιλότους σε πραγματικές αναπτύξεις πράκτορων AI, ποιες αποφάσεις ταυτότητας και πρόσβασης πρέπει να ληφθούν από νωρίς για να αποφευχθούν δαπανηρές ανασχεδιασμοί αργότερα;

Οι οργανώσεις πρέπει να αποφασίσουν από νωρίς πώς οι πράκτορες θα λάβουν ταυτότητες, πώς θα εγκριθούν οι άδειες και πώς θα αναθεωρηθεί η πρόσβαση με τον καιρό, ορίζοντας τα όρια ταυτότητας από την αρχή.

Η εισαγωγή ελέγχων ταυτότητας αναδρομικά είναι σχεδόν πάντα προβληματική. Οι πράκτορες είναι συχνά ενσωματωμένοι βαθιά σε ροές εργασίας που χρησιμοποιούν κοινά διαπιστευτήρια ή ευρείες ρόλους, οπότε η στενότερη πρόσβαση μετά την αρχική ολοκλήρωση σπάει τις υποθέσεις που βασίζεται το σύστημα. Αυτό τελικά προκαλεί την αποτυχία των ροών εργασίας και υπονόμευε την εμπιστοσύνη στη τεχνολογία. Είναι πολύ φθηνότερο, όχι μόνο ασφαλέστερο, να σχεδιαστεί μια σωστή ταυτότητα, πεδία και όρια πρόσβασης από την αρχή.

Πού η ολοκλήρωση ταυτότητας γίνεται πιο συχνά σημείο συμφόρησης όταν αναπτύσσεται ο πράκτορας AI, και ποια είναι οι βέλτιστες πρακτικές για τη μείωση της τριβής;

Η διαχείριση ταυτότητας μπορεί να γίνει σημείο συμφόρησης, αλλά μόνο όταν αντιμετωπίζεται ως κάτι που προστίθεται εκ των υστέρων. Οι ομάδες εστιάζουν πρώτα στην κατασκευή εντυπωσιακών ικανοτήτων πράκτορα και στη συνέχεια να συνειδητοποιήσουν ότι πρέπει να ολοκληρωθούν με συστήματα IAM, πύλες API και πλατφόρμες καταγραφής για να είναι πραγματικά ασφαλείς.

Η καλύτερη προσέγγιση είναι να αρχίσετε με μια σαφή κατανόηση και σωστή υλοποίηση πλατφορμών ταυτότητας και στη συνέχεια να σχεδιάσετε τους πράκτορες να ταιριάζουν μέσα σε αυτές. Οι οργανώσεις πρέπει να επαναχρησιμοποιούν υπάρχοντα πρότυπα και υποδομές αντί να τις παρακάμπτουν. Η επιλογή μιας τέτοιας συντόμευσης θα προκαλέσει αναπόφευκτα προβλήματα στο μέλλον. Όταν η ταυτότητα είναι χτισμένη από την αρχή, επιταχύνει την ανάπτυξη αντί να την επιβραδύνει.

Για τους ηγέτες ασφαλείας και μηχανικής που θέλουν να ενσωματώσουν τους πράκτορες AI αλλά είναι ανήσυχοι για τη διακυβέρνηση και τον κίνδυνο, ποια θα ήταν η συμβουλή σας καθώς σχεδιάζουν το δρόμο τους;

Αργήστε αρκετά για να πάρει τις βάσεις σωστά. Οι πράκτορες AI πρέπει να αντιμετωπίζονται ως ταυτότητες και έτσι πρέπει να εφαρμόσετε την ίδια διακυβέρνηση που αναμένετε για τους ανθρώπους, και να επιμένετε στην ορατότητα από την αρχή. Αν μια οργάνωση κάνει αυτό, τότε η κλιμάκωση των πράκτορων AI γίνεται ένα άσκημα ασφαλείας, όχι ένα τυφλό και επικίνδυνο άλμα πίστης.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να επισκεφθούν Curity.