CrowdStrike torjuu luvattomia tekoälyagentteja sisäpiiriuhkien tunnistuksella

CrowdStrike ilmoitti 4. marraskuuta 2026 Fal.Con Europessa Barcelonassa lisäävänsä Agent Insider Threat Detectionin Falcon Next-Gen SIEMiin Q4:llä. Ilmoituksen mukaan tämä myöhemmin saataville tuleva ominaisuus täydentää jo yleisesti saatavilla olevia koordinoituja moniagenttitutkintoja ja yhdistää käyttäytymiseen perustuvat hälytykset eri osa-alueet kattavaan tutkintaan ja reagointiin.

Kohteena on yrityskäyttöön tarkoitettu agentti, jolla on järjestelmätason pääsy arkaluonteisiin tietoihin ja itsenäinen kyky toimia niiden perusteella. Jos agenttia manipuloidaan tai sen toiminta poikkeaa sille tarkoitetusta ilman, että se rikkoo sääntöä, käytäntöihin ja lokeihin perustuvilla työkaluilla ei ole havaittavanaan nimenomaista rikkomusta. Niiden voi myös olla vaikea erottaa agentin toimintaa sitä käyttävän henkilön toiminnasta, jolloin käyttäytymiseen liittyvä ongelma voi yksittäisten tapahtumien tasolla näyttää asianmukaiselta.

Agent Insider Threat Detection on suunniteltu oppimaan kunkin tekoälyagentin ja sen omistajan tavanomainen käyttäytyminen ja ilmoittamaan sitten poikkeamista silloinkin, kun käytäntöjä ei rikota. Se lisää tämän riskin pisteytykseen, jonka Falcon Next-Gen SIEM muodostaa omistajalle ja isäntäkoneelle, ja ohjaa poikkeavan toiminnan suoraan koordinoituun tutkintaan. Näin hälytyksen aiheena ei ole enää vain rikottu sääntö, vaan myös käyttäytymisen muutos, ja tutkintaan sisällytetään tiedot käyttäjän tunnisteesta ja isäntäkoneesta.

Koordinoidut tutkinnat nyt yleisesti saatavilla

Nyt yleisesti saatavilla olevat tutkinnat esiteltiin 2. syyskuuta 2026 Fal.Con-tapahtumassa Las Vegasissa. Charlotte AI lähettää asiantuntijoiden kouluttamia agentteja samanaikaisesti päätelaite-, identiteetti-, SaaS-, pilvi- ja verkkoympäristöihin. Agentit työskentelevät yhteisen kontekstikerroksen pohjalta erillisten selvitysten sijaan ja päätyvät sitten yhteiseen arvioon, jonka päättely ja perustelut ovat nähtävissä.

Tämä rakenne ratkaisee eri osa-alueita kattavien tutkintojen tietojen kokoamiseen liittyvän ongelman. Analyytikot voivat tarkastella agenttien päättelyä sen sijaan, että kokoaisivat havaintoja käsin eri osa-alueiden erillisistä selvityksistä. Yhteisen kontekstin ansiosta yhden agentin saamat tiedot voivat myös auttaa muita samassa tutkinnassa työskenteleviä agentteja.

Havaitsemisesta ja tutkinnasta siirrytään reagointiin, johon kuuluu Falcon Guardianin tekoälyn hätäpysäytyskytkin, joka lopettaa agentin toiminnan. Analyytikot voivat myös keskeyttää tai pysäyttää kesken tehtävän toimivan Charlotte AI- tai AgentWorks-agentin agentin keskeytystoiminnolla. Tällä hallintakeinolla pyritään estämään luvaton toiminta ja hallitsemattomasti kasvavat kulut.

Ihmisen hallintakeinot ja havaitsemisen seuraava vaihe

Charlotte Agentic SOAR on saatavilla yhtenä hallinnoituna työtilana agenteille, työnkuluille ja mukautetuille sovelluksille. Sen autonomian asetukset ulottuvat ihmisen hyväksynnästä täysin autonomiseen suorittamiseen. Ihmisen valvontaan perustuvat tarkistuspisteet keskeyttävät agentin, kun se käyttää arkaluonteista työkalua, ja luovat toimenpidepyynnön. Analyytikot voivat hyväksyä toiminnon, hylätä sen ja kirjata perustelun tai tarkastella agentin koko toimintaketjua. Näin työkalujen käyttöön syntyy tarkastettavissa oleva päätöksentekopiste silloin, kun käyttö edellyttää tiukempaa valvontaa.

Samalle Q4:n tuotesuunnitelmalle on listattu useita muita hallintakeinoja. Tekoälyekosysteemin tunnistuksilla on tarkoitus kattaa LLM-rajapintojen väärinkäyttö, varastetut API-avaimet sekä koodausavustajien, MCP-palvelinten ja agenttikehysten vaarantuminen. Hyväksyntäporttien suunnitellaan ulottuvan yksittäisistä työkalukutsuista kokonaisiin agentteihin, sovelluksiin ja työnkulkuihin.

AI Credit Visibility and Control on suunniteltu tarjoamaan reaaliaikainen näkymä kulutukseen, mahdollisuus pysäyttää toiminta kesken suorituksen sekä päätös siitä, nostetaanko agentin rajoitusta vai evätäänkö korotus, kun agentti saavuttaa enimmäisrajansa. Näin kulujen hallinta tuodaan tietoturvahyväksyntöjen rinnalle, jotta ylläpitäjät voivat keskeyttää autonomisen työn, kun resurssien kulutus kasvaa kohtuuttomaksi.

Myöhempi kokonaisuus, agenttien suojakaiteet käytäntöpoikkeamia vastaan, on määrä julkaista tilikauden 2028 ensimmäisellä neljänneksellä. Falcon Guardian tarkastaisi Charlotte AI:n ja AgentWorksin vuorovaikutusta käytäntöpoikkeamien, luvattomien työkalukutsujen ja sallittujen rajojen ylittävän tietojen käytön varalta. Julkaisemattomia palveluja ja ominaisuuksia kehitetään edelleen, ja ne voivat muuttua. Nämä nimet ja aikataulut kuvaavat siis tuotesuunnitelmaa eivätkä tällä hetkellä saatavilla olevia ominaisuuksia.

Julkaisussa agenttien tietoturvaan liittyvä työnkulku rakentuu vaiheittain: koordinoidut tutkinnat ja käyttäjän hallintakeinot ovat saatavilla nyt, käyttäytymisen tunnistus on merkitty Q4:lle ja käytäntöpoikkeamia ehkäisevät suojakaiteet tulevat myöhemmin. Puolustajien kannalta tämä tarkoittaa käytännön eroa sen välillä, että agentin toimintaa tarkastellaan tai se pysäytetään, ja sen välillä, että tunnistetaan hienovarainen käyttäytymisen muutos, jonka pitäisi käynnistää reagointi.