Σον Ρότσι, ανώτερος διευθυντής μάρκετινγκ προϊόντων και ανάλυσης αξίας στην Obsidian Security — σειρά συνεντεύξεων

Sean Roche, ανώτερος διευθυντής μάρκετινγκ προϊόντων και ανάλυσης επιχειρηματικής αξίας στην Obsidian Security, ηγείται διατμηματικών πρωτοβουλιών με επίκεντρο την ασφάλεια SaaS, την ασφάλεια AI και τη στρατηγική διάθεσης στην αγορά. Συνέβαλε καθοριστικά στη δημιουργία του πρώτου ενιαίου πλαισίου περιπτώσεων χρήσης της εταιρείας, συντονίζοντας τις πωλήσεις, το μάρκετινγκ και τις ομάδες επιτυχίας πελατών γύρω από μετρήσιμα επιχειρηματικά αποτελέσματα. Παράλληλα επέβλεψε την κυκλοφορία λύσεων ασφάλειας για παραγωγική AI και πράκτορες AI. Πριν από την Obsidian Security κατείχε ηγετικές θέσεις στις Forter, Aviatrix και Okta, με ειδίκευση στη συμβουλευτική επιχειρηματικής αξίας, στη στρατηγική τιμολόγησης, στην ανάλυση αξίας για τον πελάτη και στην ανάλυση απόδοσης επενδύσεων για ανώτατα στελέχη. Η εμπειρία του συνδυάζει κυβερνοασφάλεια, στρατηγική επιχειρησιακού λογισμικού και χρηματοοικονομική έρευνα, με εκτεταμένη πρακτική στη μετατροπή τεχνικών δυνατοτήτων σε μετρήσιμα επιχειρηματικά αποτελέσματα για εταιρικούς πελάτες.

Obsidian Security είναι εταιρεία κυβερνοασφάλειας που προστατεύει εφαρμογές SaaS, πράκτορες AI, ταυτότητες και εταιρικές διασυνδέσεις σε σύγχρονα περιβάλλοντα cloud. Η ενιαία πλατφόρμα της βοηθά οργανισμούς να εντοπίζουν απειλές, να διαχειρίζονται την κατάσταση ασφάλειας SaaS, να ελέγχουν την πρόσβαση στα δεδομένα και να παρακολουθούν επικίνδυνες δραστηριότητες σε κρίσιμες επιχειρηματικές εφαρμογές, όπως Microsoft 365, Salesforce (CRM ), Slack και άλλες υπηρεσίες cloud. Τα τελευταία χρόνια επεκτάθηκε στην ασφάλεια πρακτόρων AI, παρέχοντας ορατότητα στον τρόπο με τον οποίο αυτόνομα συστήματα AI αλληλεπιδρούν με πλατφόρμες SaaS, δεδομένα και ροές εργασίας σε πραγματικό χρόνο. Ιδρύθηκε από στελέχη ασφάλειας με εμπειρία στις CrowdStrike (CRWD ), Okta, Cylance και Carbon Black και τοποθετείται ως ολοκληρωμένη πλατφόρμα ασφάλειας SaaS και AI που αντιμετωπίζει την αυξανόμενη πολυπλοκότητα του cloud και των περιβαλλόντων με αυτόνομους πράκτορες AI.

Χτίσατε την καριέρα σας στη διασταύρωση επιχειρηματικής αξίας, στρατηγικής κινδύνου και ασφάλειας SaaS, ενώ σήμερα διευθύνετε την ανάλυση αξίας και το μάρκετινγκ προϊόντων στην Obsidian Security. Τι σας οδήγησε στην ασφάλεια των οικοσυστημάτων SaaS που αξιοποιούν AI και πώς διαφοροποιείται η προσέγγιση της Obsidian απέναντι σε νέες τεχνολογίες πρακτόρων, όπως το OpenClaws;

Σε όλη την καριέρα μου, το μεγαλύτερο κενό ήταν όσα δεν μπορούν να δουν οι μηχανισμοί ασφάλειας, γιατί εκεί συμβαίνουν οι πραγματικές παραβιάσεις. Το έχουμε δει σε περιστατικά όπου αποσυνδεδεμένα ή μη διαχειριζόμενα συστήματα δημιούργησαν έκθεση σε κίνδυνο που δεν εντόπισαν οι παραδοσιακοί έλεγχοι. Το έχω διαπιστώσει προσωπικά και με τις σύγχρονες διασυνδέσεις μεγάλων πλατφορμών: συνδέσεις εκτός της συνήθους ορατότητας ασφάλειας, που σε ορισμένες περιπτώσεις παρέμεναν ενεργές ακόμη και αφού η ομάδα IT πίστευε ότι τις είχε απενεργοποιήσει. Αυτές οι εμπειρίες έδειξαν πόσο μεγάλο μέρος του κινδύνου βρίσκεται στα σημεία σύνδεσης μεταξύ συστημάτων, όχι μόνο μέσα στα συστήματα που θεωρούμε προστατευμένα.

Η πραγματικότητα αυτή μετατοπίζεται από το shadow IT στο shadow AI. Νέα εργαλεία και ροές εργασίας με πράκτορες εμφανίζονται και εξαπλώνονται ταχύτερα απ’ όσο μπορούν να ακολουθήσουν οι στρατηγικές διακυβέρνησης. Πολλές προσεγγίσεις ασφάλειας προσπαθούν να συγκεντρώσουν και να θέσουν τα πάντα υπό ένα ενιαίο επίπεδο ελέγχου. Το μοντέλο αυτό όμως καταρρέει σε κατανεμημένα περιβάλλοντα, ιδίως όταν κρίσιμα δεδομένα και δραστηριότητες βρίσκονται μέσα σε εφαρμογές τρίτων που δεν μας ανήκουν και δεν μπορούμε να ελέγξουμε πλήρως.

Αυτό με οδήγησε στην ασφάλεια των οικοσυστημάτων SaaS που αξιοποιούν AI και εξηγεί γιατί η προσέγγιση της Obsidian είναι τόσο πειστική. Οι παραβιάσεις SaaS έχουν αυξηθεί κατά 300%, κι όμως οι περισσότεροι οργανισμοί εξακολουθούν να μη βλέπουν επαρκώς πώς χρησιμοποιούνται αυτές οι εφαρμογές. Σε αυτό το κενό εστιάζουμε, ώστε να κατανοείτε τι συμβαίνει πραγματικά στην επιχείρηση και πού υπάρχει έκθεση σε κίνδυνο. Καθώς ωριμάζουν τεχνολογίες όπως το OpenClaws, αυτή η προσέγγιση γίνεται σημαντικότερη. Ο κίνδυνος δεν αφορά μόνο το αν ένας πράκτορας έχει πρόσβαση σε συγκεκριμένα δεδομένα, αλλά και σε τι μπορεί να αποκτήσει πρόσβαση και πόσο γρήγορα μπορεί να ενεργήσει.

Συστήματα αυτόνομων πρακτόρων AI όπως το OpenClaws προσελκύουν μεγάλη προσοχή μετά το NVIDIA (NVDA ) GTC. Τι τα διαφοροποιεί ουσιαστικά από προηγούμενα εργαλεία AI ως προς τον κίνδυνο ασφάλειας;

Η κατανόηση των μη ανθρώπινων ταυτοτήτων και της προστασίας τους έχει γίνει κρίσιμη για τις ομάδες ασφάλειας, καθώς το 68% των περιστατικών ασφάλειας IT περιλαμβάνει πλέον ταυτότητες μηχανών και οι μισές από τις επιχειρήσεις που συμμετείχαν στην έρευνα έχουν υποστεί παραβίαση λόγω μη διαχειριζόμενων μη ανθρώπινων ταυτοτήτων. Ο κλάδος ασφάλειας εστίασε κυρίως στη διαχείριση της κατάστασης ασφάλειας SaaS και στη διακυβέρνηση ανθρώπινων ταυτοτήτων, ενώ οι μη ανθρώπινες ταυτότητες πολλαπλασιάζονταν στο παρασκήνιο. Με τη μαζική ανάπτυξη πρακτόρων AI με δικαιώματα διαχειριστή, το έλλειμμα διακυβέρνησης έγινε κρίσιμο.

Συστήματα όπως το OpenClaws αναδεικνύουν τόσο τις δυνατότητες όσο και τους κινδύνους της πραγματικά αυτόνομης AI. Είναι από τις πρώτες φορές που βλέπουμε AI να αφήνεται να λειτουργήσει στο πραγματικό περιβάλλον με ουσιαστική αυτονομία, έξω από μια στενά οριοθετημένη και εποπτευόμενη ροή εργασίας.

Όσο αυτές οι δυνατότητες γίνονται προσβάσιμες, μειώνεται το εμπόδιο για μη ειδικούς που θέλουν να αλληλεπιδράσουν με κρίσιμα συστήματα ή ενδεχομένως να τα εκμεταλλευτούν. Ήδη συνδέουν πράκτορες AI σε περιβάλλοντα SaaS μέσω κλειδιών API, εγγενών διασυνδέσεων και εφαρμογών τρίτων. Κάθε νέα ροή εργασίας με πράκτορες πολλαπλασιάζει τις διαδρομές πρόσβασης.

Η πρόσφατη παραβίαση της Vercel αναδεικνύει αυτή την αυξανόμενη απειλή. Όταν εξουσιοδοτείτε μια εφαρμογή τρίτου, εμπιστεύεστε σιωπηρά όλους όσοι επηρεάζουν την υποδομή της: τον πάροχο cloud, τους προγραμματιστές και τις δικές τους συνδεδεμένες υπηρεσίες. Οι περισσότεροι οργανισμοί δεν γνωρίζουν σε τι έχουν πραγματικά συναινέσει και η ανεξέλεγκτη χρήση αυτόνομων πρακτόρων AI εντείνει το πρόβλημα.

Πολλοί πράκτορες AI λειτουργούν χωρίς ουσιαστικό τεχνικό πλαίσιο που να περιορίζει τη συμπεριφορά τους. Αν λείπουν αναγνωρίσιμα ίχνη δραστηριότητας ή οι δικλείδες είναι αδύναμες, είναι δύσκολο να μάθουμε τι έκανε ο πράκτορας, τι άγγιξε και τι άλλαξε, παρά μόνο εκ των υστέρων. Αυτός ο συνδυασμός διαφοροποιεί ριζικά το προφίλ κινδύνου από τα παλαιότερα εργαλεία AI.

Έχετε περιγράψει το OpenClaws ως τεχνολογία που ενδέχεται να ανοίγει νέες επιφάνειες επίθεσης λόγω των ευρέων δικαιωμάτων και της αυτονομίας του. Μπορείτε να δώσετε ένα πραγματικό σενάριο στο οποίο ο κίνδυνος αυτός γίνεται απτός για μια επιχείρηση; 

Ο κίνδυνος του OpenClaws γίνεται απτός όταν οι πράκτορες μεταφέρονται από απομονωμένες εργασίες σε πραγματικά περιβάλλοντα παραγωγής, κάτι που ήδη συμβαίνει.

Οι περισσότεροι οργανισμοί εστιάζουν στο να έχει ο σωστός άνθρωπος πρόσβαση στον πράκτορα και εκείνος να συμπεριφέρεται όπως αναμένεται. Ελάχιστοι όμως σκέφτονται τι συμβαίνει όταν ένας πράκτορας αρχίζει να αλληλεπιδρά με άλλον.

Τότε η επιφάνεια επίθεσης επεκτείνεται δραματικά. Τα αποτελέσματα ενός συστήματος, όπως μηνύματα Slack ή αιτήματα Jira, ενεργοποιούν ενέργειες σε άλλο σύστημα. Η διοίκηση χάνει τον έλεγχο των αλληλεπιδράσεων και δεν μπορεί να διατηρήσει συνεπή ορατότητα και ίχνος ελέγχου. Οι πράκτορες συνδέονται ταυτόχρονα μέσω API SaaS, πολλά από τα οποία εξακολουθούν να μην έχουν κατάλληλες πύλες ή προστασίες.

Η μέση επιχείρηση χρησιμοποιεί ήδη εκατοντάδες πράκτορες, αριθμός που αυξήθηκε σχεδόν 100 φορές μέσα στον τελευταίο χρόνο. Όταν οι ομάδες το εξετάζουν, το 38% εμφανίζει μεσαίο, υψηλό ή κρίσιμο κίνδυνο. Οι περισσότεροι δεν έχουν καταγεγραμμένο υπεύθυνο, αρκετοί δημιουργήθηκαν από λογαριασμούς που δεν υπάρχουν πλέον, αλλά διατηρούν ενεργές συνδέσεις σε συστήματα παραγωγής και μηδενικό ιστορικό εκτέλεσης.

Η κάλυψη του κενού απαιτεί βαθιά ορατότητα μέσα στις εφαρμογές, ώστε να κατανοούμε τι επιτρέπουν πραγματικά αυτά τα διαπιστευτήρια σε κάθε σύστημα και σύνολο δεδομένων, για οποιονδήποτε μπορεί να τα χρησιμοποιήσει ώστε να καλέσει μια ενέργεια. Χωρίς το κατάλληλο πλαίσιο βλέπουμε μόνο τη μισή εικόνα. Οι ηγέτες πρέπει επίσης να μετακινηθούν από την ανίχνευση στην επιβολή ελέγχων κατά την εκτέλεση: να αποκλείουν ενέργειες τη στιγμή που εκτελούνται, πριν ολοκληρωθούν, όχι αφού προκληθεί ζημιά.

Πολλοί οργανισμοί θεωρούν ότι διαθέτουν ήδη επαρκή ασφάλεια SaaS. Πού καταρρέει αυτή η παραδοχή όταν εμφανίζεται η AI με αυτόνομους πράκτορες;

Πολλοί οργανισμοί πιστεύουν ότι έχουν ήδη «λύσει» την ασφάλεια SaaS, αλλά η ταχύτερη υιοθέτηση αυτόνομων πρακτόρων AI αμφισβητεί αυτή την πεποίθηση. Η ασφάλεια SaaS συχνά αντιμετωπίζεται ως μια υποχρέωση που ολοκληρώνεται: εγκρίθηκε ο προϋπολογισμός, εγκαταστάθηκε το εργαλείο, άρα το πρόβλημα θεωρείται λυμένο. Στην πράξη όμως τα API που στηρίζουν αυτά τα περιβάλλοντα δεν έχουν τεθεί ποτέ πλήρως υπό έλεγχο. Οι επιχειρήσεις έχουν πολύ περιορισμένη ορατότητα στο τι συμβαίνει στο επίπεδο API και ποιοι πόροι SaaS επικοινωνούν μεταξύ τους.

Έτσι δημιουργείται ένα δομικό τυφλό σημείο. Μπορεί να προστατεύουν ταυτότητες και τερματικές συσκευές, αλλά συχνά δεν βλέπουν καθαρά πώς προσπελαύνονται τα δεδομένα SaaS και ποιες ενέργειες γίνονται σε αυτά μέσω API. Πολλοί οργανισμοί συνεχίζουν να συνδέονται μέσω του ανοιχτού διαδικτύου απευθείας σε κρίσιμα συστήματα χωρίς να κατανοούν πλήρως την κλίμακα ή τη συμπεριφορά των υποκείμενων αλληλεπιδράσεων API.

Η AI με αυτόνομους πράκτορες αποκαλύπτει αυτό το κενό, δημιουργώντας προκλήσεις ταχύτερα απ’ όσο οι ομάδες μπορούν να τις αντιμετωπίσουν και επιταχύνοντας τη συζήτηση για τα API.

Πώς πρέπει οι επιχειρήσεις να προσεγγίζουν τη διακυβέρνηση αυτόνομων πρακτόρων AI που μπορούν να προσπελαύνουν και να μετακινούν δεδομένα και να ενεργούν πάνω σε αυτά σε πολλά συστήματα;  

Κανένας ηγέτης δεν θέλει να επιβραδύνει σήμερα την υιοθέτηση AI, ιδίως όταν αυξάνεται η πίεση για ταχύτερη πρόοδο και μετρήσιμα αποτελέσματα, ενώ στις αξιολογήσεις χρησιμοποιείται ακόμη και η κατανάλωση token. Συχνά οι εντολές έρχονται απευθείας από την κορυφή. Οι διευθύνοντες σύμβουλοι αναφέρουν την πρόοδο σε διοικητικά συμβούλια ή ακόμη και σε δημόσιους ενδιαφερόμενους, εντείνοντας την πίεση για γρήγορη υιοθέτηση. Όταν η στάση «AI με κάθε κόστος» γίνεται ο κανόνας, οι λανθασμένες ρυθμίσεις και τα υπερβολικά δικαιώματα δεν μπορούν ρεαλιστικά να διορθωθούν αρκετά γρήγορα μέσω των παραδοσιακών κύκλων διακυβέρνησης.

Τα συστήματα πρακτόρων όμως δεν περιμένουν τη διόρθωση. Ανακαλύπτουν συστήματα, συνδέουν ενέργειες σε ακολουθίες και εκτελούν ροές εργασίας σε πολλές εφαρμογές SaaS μέσα σε δευτερόλεπτα, ολοκληρώνοντας συχνά δέκα ή περισσότερα βήματα πριν προλάβει ένας άνθρωπος να το αντιληφθεί, πόσο μάλλον να παρέμβει.

Γι’ αυτό η διακυβέρνηση δεν αφορά πλέον μόνο τον έγκαιρο εντοπισμό προβλημάτων στον κύκλο ανάπτυξης, αλλά όλο και περισσότερο τον έλεγχο τη στιγμή που ο πράκτορας ενεργεί. Οι υπεύθυνοι ασφάλειας δεν μπορούν να τον κυβερνήσουν αποτελεσματικά αν ο έλεγχος έρχεται μόνο μετά την κατάχρηση.

Σε έναν κόσμο αυτόνομων αποφάσεων σε συστήματα SaaS, η μόνη βιώσιμη προστασία από αυτές τις απειλές είναι η διακυβέρνηση κατά την εκτέλεση. Απαιτεί μετάβαση από την ανίχνευση μετά την ενέργεια στον εντοπισμό και αποκλεισμό κλιμάκωσης προνομίων, υπερβολικής πρόσβασης σε δεδομένα και παραβιάσεων πολιτικής πριν επηρεάσουν τον οργανισμό. Οι έλεγχοι πρέπει να ακολουθούν τα πρότυπα OWASP και τις βέλτιστες πρακτικές του κλάδου, ώστε οι πράκτορες να λειτουργούν μέσα σε σαφή και εφαρμόσιμα όρια. Έτσι οι ομάδες ακολουθούν τον ρυθμό υιοθέτησης AI χωρίς να υπονομεύουν την καινοτομία.

Από τεχνική άποψη, ποιες ευπάθειες που εισάγουν οι αυτόνομοι πράκτορες AI στα περιβάλλοντα SaaS παραβλέπονται περισσότερο;

Όταν ένας οργανισμός υιοθετεί νέο εργαλείο SaaS, συχνά διαπιστώνει ότι λειτουργίες AI προστέθηκαν αθόρυβα ή ενεργοποιήθηκαν από προεπιλογή. Συχνά δεν διαθέτουν τις ίδιες δυνατότητες ρύθμισης και ελέγχου που έχουν συνηθίσει οι ομάδες ασφάλειας στις παραδοσιακές λειτουργίες SaaS. Όταν γίνεται μια ενέργεια, είναι δύσκολο να διακρίνουμε αν την ξεκίνησε άνθρωπος ή αυτόνομος πράκτορας. Σε πολλές περιπτώσεις οι επιχειρήσεις δεν μπορούν καν να απενεργοποιήσουν την AI, επειδή είναι ενσωματωμένη στην ίδια την εφαρμογή SaaS.

Η ασάφεια δημιουργεί μεγάλο τυφλό σημείο για ασφάλεια και διακυβέρνηση. Αν μια ενσωματωμένη λειτουργία AI αποφασίζει για λογαριασμό χρήστη, συχνά δεν υπάρχει σαφής τρόπος να εντοπιστεί η πρόθεση, να κατανοηθεί η λογική της απόφασης ή έστω να επιβεβαιωθεί τι ενεργοποίησε μια συγκεκριμένη ενέργεια.

Ο κίνδυνος γίνεται εντονότερος αν εξετάσουμε την αλυσίδα εφοδιασμού AI μέσα στο SaaS. Οι ενσωματωμένες λειτουργίες εξαρτώνται συχνά από μοντέλα, υπηρεσίες και διασυνδέσεις τρίτων σε προηγούμενα στάδια της αλυσίδας. Αν κάποιο μέρος παραβιαστεί, υποβαθμιστεί ή χειραγωγηθεί, η AI μέσα στο SaaS μπορεί να μετατρέψει αξιόπιστες επιχειρηματικές εφαρμογές σε ενεργά μέρη μιας διαδρομής επίθεσης.

Η ίδια η στρώση AI έχει γίνει ξεχωριστή αλυσίδα εφοδιασμού, εισάγοντας νέα κατηγορία κινδύνου που απαιτεί αυτοτελή παρακολούθηση και διακυβέρνηση. Χωρίς ορατότητα στη συμπεριφορά αυτών των ενσωματωμένων συστημάτων και στα δεδομένα από τα οποία εξαρτώνται, οι οργανισμοί αγνοούν ένα αυξανόμενο μέρος της επιφάνειας επίθεσης SaaS.

Έχετε εργαστεί εκτενώς στην ποσοτικοποίηση επιχειρηματικής αξίας και κινδύνου. Πώς πρέπει οι οργανισμοί να μετρούν την οικονομική έκθεση και τον κίνδυνο φήμης που συνδέονται με απροστάτευτους πράκτορες AI;  

Αν ένας πράκτορας AI χρησιμοποιηθεί καταχρηστικά ή προκαλέσει παραβίαση, η άμεση συνέπεια δεν είναι μόνο το περιστατικό αλλά και η αντίδραση της οργάνωσης. Επιβραδύνεται ο ρυθμός με τον οποίο η επιχείρηση είναι πρόθυμη να υιοθετήσει και να επεκτείνει την AI, καθώς η διοίκηση γίνεται επιφυλακτικότερη. Όταν χαθεί η εμπιστοσύνη, είναι πολύ δυσκολότερο να επανεκκινήσει ο μηχανισμός καινοτομίας που αρχικά παρήγαγε αξία.

Αυτό δεν περιορίζεται στις εσωτερικές ομάδες αλλά φτάνει και στους εξωτερικούς ενδιαφερόμενους. Διοικητικά συμβούλια, πελάτες και μέτοχοι περιμένουν υπεύθυνη ανάπτυξη. Κάθε αποτυχία αυτόνομων πρακτόρων γίνεται γρήγορα ζήτημα ευθύνης για τα συμφέροντα που έχουν ανατεθεί στην επιχείρηση και ζήτημα φήμης. Όταν η ασφάλεια δεν ενσωματώνεται από τον σχεδιασμό, οι οργανισμοί αναγκάζονται να συζητούν εκ των υστέρων για έλεγχο και προστασία, επιβραδύνοντας αναπόφευκτα τη λήψη αποφάσεων.

Υπάρχει και μια δομική οικονομική έκθεση που συχνά παραβλέπεται. Όσο μεγαλώνει η αντιλαμβανόμενη έκταση πιθανής ζημιάς από πράκτορες AI, οι εταιρείες γίνονται πιο συντηρητικές στην κατανομή κεφαλαίων. Κάποιες κρατούν χρήματα σε αναμονή ή αναβάλλουν επενδύσεις για να προστατευτούν από πιθανά περιστατικά.

Η ασφάλεια των πρακτόρων AI γίνεται έτσι λιγότερο μια καθαρή άσκηση μείωσης κινδύνου και περισσότερο συζήτηση για έσοδα και ανάπτυξη. Όσοι μπορούν να αναπτύξουν AI με εμπιστοσύνη, γνωρίζοντας ότι οι πράκτορες κυβερνώνται και παραμένουν μέσα σε όρια, προχωρούν γρηγορότερα. Όσοι δεν έχουν αυτή την εμπιστοσύνη επιβραδύνουν φυσικά. Το 2026 η σύνδεση ταχύτητας και εμπιστοσύνης εξελίσσεται σε εξαιρετικά ισχυρό πλεονέκτημα.

Υπάρχει σαφής ένταση ανάμεσα στη γρήγορη υιοθέτηση AI και την υπεύθυνη ανάπτυξή της. Πώς μοιάζει μια ισορροπημένη στρατηγική για επιχειρήσεις που θέλουν να καινοτομούν χωρίς να αυξάνουν το προφίλ κινδύνου τους;  

Ένα από τα μεγαλύτερα σημερινά κενά ανάμεσα στην υιοθέτηση AI και την υπεύθυνη ανάπτυξή της είναι η επικοινωνία. Πολλές επιχειρήσεις χρησιμοποιούν ενεργά AI σε SaaS, αλλά δεν εξηγούν πάντα ξεκάθαρα και με συνέπεια προς τα έξω πώς τη χρησιμοποιούν και ποιες προστασίες εφαρμόζουν. Η έλλειψη διαφάνειας μπορεί να αυξήσει τον κίνδυνο, αφήνοντας πελάτες και συνεργάτες να υποθέτουν το χειρότερο αντί να κατανοούν τους πραγματικούς ελέγχους.

Μια πιο ισορροπημένη προσέγγιση εντάσσει την υπεύθυνη χρήση AI στην πρόταση αξίας, όχι μόνο στην εσωτερική συμμόρφωση. Οι επιχειρήσεις μπορούν να εξηγήσουν σαφέστερα πώς κυβερνάται η AI, τι επιτρέπεται και τι όχι, και ποιες προστασίες ισχύουν όταν αλληλεπιδρά με ευαίσθητα συστήματα. Αυτή η σαφήνεια δημιουργεί εμπιστοσύνη και βοηθά την ασφαλή επέκταση της χρήσης AI.

Όσες εταιρείες εξηγούν καθαρά τη χρήση AI στα περιβάλλοντα SaaS και αποδεικνύουν ότι ελέγχεται με δομημένο και παρατηρήσιμο τρόπο μπορούν να καινοτομούν γρηγορότερα χωρίς αύξηση του αντιλαμβανόμενου κινδύνου.

Καθώς περισσότερες επιχειρήσεις πειραματίζονται με αυτόνομους πράκτορες AI, ποια άμεσα βήματα πρέπει να κάνουν σήμερα οι ομάδες ασφάλειας για να αποφύγουν την επόμενη παραβίαση που θα γίνει πρωτοσέλιδο;  

Η AI με αυτόνομους πράκτορες δεν εισάγει μόνο νέα κατηγορία κινδύνου αλλά επιταχύνει και κινδύνους που οι οργανισμοί δεν βλέπουν. Πράγματι, το shadow AI προσθέτει επιπλέον 670.000 δολάρια στο μέσο κόστος παραβίασης. Το βασικό ζήτημα όμως είναι η ορατότητα. Όταν δεν γνωρίζουν πού χρησιμοποιείται η AI και πώς αλληλεπιδρά με συστήματα, οι οργανισμοί χρειάζονται περισσότερο χρόνο για να εντοπίσουν και να περιορίσουν περιστατικά. Έτσι αυξάνονται άμεσα οι οικονομικές και κανονιστικές συνέπειες.

Το πρώτο βήμα είναι η ορατότητα σε ολόκληρη την επιχείρηση. Οι ομάδες ασφάλειας χρειάζονται σαφή εικόνα τόσο της εγκεκριμένης όσο και της μη εγκεκριμένης χρήσης AI, όχι μόνο ανά εφαρμογή αλλά και στις ροές εργασίας όπου η AI λαμβάνει ή επηρεάζει αποφάσεις.

Στη συνέχεια πρέπει να μετατρέψουν αυτή τη γνώση σε εφαρμόσιμη πολιτική και να την ενσωματώσουν στα συστήματα όπου γίνεται πραγματικά η εργασία. Χρειάζεται συμφωνία με την επιχείρηση για τον τρόπο χρήσης AI και μετάβαση από τα έγγραφα σε τεχνικούς ελέγχους σε τερματικές συσκευές, πλατφόρμες SaaS και συστήματα πρακτόρων. Όσο νωρίτερα μπαίνουν οι έλεγχοι στη διαδρομή εκτέλεσης, τόσο μειώνεται η πιθανότητα δαπανηρών περιστατικών shadow AI και αυτόνομων πρακτόρων που είναι δύσκολο να περιοριστούν.

Πώς βλέπετε να εξελίσσεται η ασφάλεια καθώς τα συστήματα αυτόνομων πρακτόρων AI ενσωματώνονται βαθύτερα στις εταιρικές υποδομές;

Οι οργανισμοί θα χρειαστούν ασφάλεια σχεδιασμένη εξαρχής για AI, ώστε να αντιμετωπίζουν απειλές που αξιοποιούν AI. Τα συστήματα πρέπει να λειτουργούν με ταχύτητα μηχανής, αναδιαμορφώνοντας ουσιαστικά τις λειτουργίες ασφάλειας. Οι άνθρωποι θα παραμείνουν στη διαδικασία αλλά θα στραφούν στη στρατηγική εποπτεία, προσφέροντας κατανόηση του πλαισίου και κρίση που η AI ακόμη δεν διαθέτει.

Θα αλλάξει και η δομή των ομάδων ασφάλειας. Δεν θα μικρύνουν απαραίτητα, αλλά το πεδίο τους θα διευρυνθεί σημαντικά: ένας επαγγελματίας θα μπορεί να ευθύνεται για πολύ μεγαλύτερη επιφάνεια μέσω αυτοματοποίησης και εργαλείων AI.

Στα περιβάλλοντα πρακτόρων, η παρακολούθηση και η ανίχνευση δεν αρκούν. Χρειάζονται πραγματικοί μηχανισμοί επιβολής, συστήματα σαν διακόπτες: ενεργοποίηση ή απενεργοποίηση δυνατοτήτων, περιορισμός συμπεριφοράς σε πραγματικό χρόνο και απομόνωση συστημάτων που δυσλειτουργούν ή μπορεί να θέσουν σε κίνδυνο την ευρύτερη επιχείρηση. Ο κίνδυνος στην αλυσίδα εφοδιασμού AI είναι υπερβολικά μεγάλος για να λείπουν μηχανισμοί έκτακτης διακοπής από την αρχιτεκτονική.

Η AI θα συνεχίσει να επιταχύνεται, ενδεχομένως ξεπερνώντας την ανθρώπινη ταχύτητα και ικανότητα. Η συζήτηση όμως δεν μπορεί να εστιάζει μόνο στον κίνδυνο· πρέπει να περιλαμβάνει και την ευκαιρία. Είναι σαν την ανατροφή παιδιών: η AI θα μεγαλώσει και θα κάνει λάθη, αλλά μπορεί και να μας ξεπεράσει. Νικητές θα είναι όσοι υιοθετούν AI σε μεγάλη κλίμακα, χτίζοντας παράλληλα τους ελέγχους για ασφαλή και αξιόπιστη ανάπτυξη.

Ευχαριστώ για την εξαιρετική συνέντευξη. Οι αναγνώστες που θέλουν να μάθουν περισσότερα μπορούν να επισκεφθούν την Obsidian Security.