Aviatrix lancia Clearance per contenere i carichi di lavoro cloud e IA compromessi

Aviatrix ha lanciato Clearance, una soluzione di sicurezza cloud progettata per limitare i danni che un carico di lavoro compromesso può causare, restringendo le destinazioni e gli altri carichi di lavoro che può raggiungere. La sua proposta centrale è tanto operativa quanto tecnica: i team di sicurezza possono testare una policy restrittiva sul traffico reale prima di consentirle di bloccare le connessioni in produzione.

Annunciato il 26 ottobre, Clearance combina il contenimento del traffico in uscita e laterale con un livello automatizzato di policy chiamato Aviatrix Active Defense. L’azienda rende inoltre disponibili alle imprese il contenimento del traffico in uscita, il contenimento laterale e la prevenzione delle intrusioni senza limiti al numero di carichi di lavoro, attraverso un programma temporaneo di risposta attivo dal 1° novembre 2026 al 1° maggio 2027.

Per le organizzazioni che implementano agenti IA insieme alle tradizionali applicazioni cloud, il problema di fondo ha conseguenze sempre più rilevanti. Un servizio sfruttato o un agente manipolato potrebbe già disporre di credenziali utili e accesso alla rete. Fermare la compromissione iniziale resta essenziale, ma le connessioni disponibili in seguito contribuiscono a determinare se la compromissione resta circoscritta o si propaga.

Negazione predefinita con un’anteprima delle conseguenze

Clearance funziona sulla piattaforma Aviatrix Containment Platform, basata sulla Cloud Native Security Fabric dell’azienda. Assegna ai carichi di lavoro un insieme esplicito di percorsi di comunicazione consentiti e nega per impostazione predefinita tutti gli altri.

Il contenimento del traffico in uscita disciplina le connessioni verso destinazioni esterne, definite tramite il dominio anziché soltanto tramite l’indirizzo di rete. Il contenimento laterale disciplina le comunicazioni tra carichi di lavoro in base alla loro identità, estendendo questo modello a più cloud e a risorse quali container, funzioni serverless, database e agenti IA.

La difficoltà dell’implementazione sta nel fatto che spesso è complicato elencare in modo esaustivo le dipendenze legittime di un’applicazione. Una regola che in fase di revisione sembra corretta può comunque interrompere un servizio di pagamento, un processo in background o un’integrazione usata di rado.

Clearance affronta questo rischio con un insieme di regole ombra. Inizialmente, una policy proposta viene eseguita in modalità di monitoraggio, parallelamente a quella attiva, mostrando il traffico che avrebbe negato senza bloccare tali connessioni. I team possono individuare i percorsi necessari, modificare le autorizzazioni e poi passare all’applicazione delle regole. Aviatrix afferma che sia l’applicazione delle regole sia il ripristino richiedono una sola operazione.

L’anteprima diventa così una fase importante del flusso di lavoro, non una garanzia che una modifica non possa causare un’interruzione del servizio. Il traffico osservato in un determinato periodo potrebbe non includere le elaborazioni di fine mese, il ripristino di emergenza o un’altra attività rara ma legittima. I team devono comunque scegliere periodi di osservazione ed eccezioni che rispecchino il funzionamento effettivo delle loro applicazioni.

Come si integra l’applicazione delle regole di rete nelle applicazioni cloud

Sul proprio sito web dedicato ai prodotti, Aviatrix descrive un inserimento trasparente a livello di VPC, che preserva gli indirizzi originali senza richiedere un agente sull’host, un SDK o modifiche al codice dell’applicazione. Afferma inoltre che le policy possono essere rappresentate tramite Terraform e risorse personalizzate di Kubernetes e orchestrate in gruppi di sicurezza e NetworkPolicy di Kubernetes nei casi in cui non sia necessario un gateway.

È un aspetto importante, perché l’infrastruttura cloud cambia più rapidamente di un elenco statico di indirizzi. Un container può essere spostato, una funzione può aumentare o ridurre la propria scala e un’applicazione può estendersi su più reti. Esprimere le intenzioni in relazione al carico di lavoro e alle destinazioni necessarie può rendere una policy più duratura rispetto a considerare ogni modifica di indirizzo una decisione di sicurezza a sé stante.

L’obiettivo pratico è chiudere i percorsi di comunicazione che un aggressore potrebbe sfruttare, senza costringere ogni team applicativo ad adottare una nuova integrazione. Il contenimento di rete, tuttavia, disciplina la connettività: anche una connessione consentita può veicolare attività dannose. È complementare all’applicazione delle patch, ai controlli delle identità, alla sicurezza delle applicazioni e al rilevamento delle minacce, e non rende superflui questi controlli.

Active Defense aggiunge la manutenzione automatizzata delle policy

Aviatrix Active Defense è il livello autonomo della soluzione. Secondo l’annuncio, i suoi agenti creano un modello dell’ambiente del cliente, elaborano le policy necessarie alle applicazioni, le valutano in modalità di monitoraggio e le mantengono aggiornate man mano che i carichi di lavoro cambiano. Le policy risultanti restano leggibili e modificabili dal team di sicurezza.

«Non è possibile risolvere il problema applicando patch o rilevando le minacce nel tempo a disposizione, e questo ciclo di patch si scontra con il blocco delle modifiche previsto durante le festività», ha dichiarato nell’annuncio Doug Merritt, CEO di Aviatrix, spiegando la decisione dell’azienda di offrire una misura temporanea di contenimento mentre i clienti valutano e aggiornano i sistemi.

Il sito web chiarisce un’importante differenza in termini di disponibilità: Active Defense è disponibile gratuitamente in accesso anticipato per i partner di progettazione che utilizzano Aviatrix Enterprise ed è previsto per Aviatrix Cloud. Questa disponibilità va distinta da quella dei controlli di contenimento di Clearance. La pagina afferma inoltre che l’automazione opera entro i limiti definiti dai team e non modifica le regole scritte dalle persone.

Il possibile vantaggio consiste nel ridurre il lavoro manuale necessario per tradurre il comportamento delle applicazioni in regole applicabili. Il corrispondente requisito operativo è mantenere chiara la titolarità: le regole redatte automaticamente devono essere sottoposte a un processo definito di revisione e approvazione, soprattutto quando il comportamento osservato di un’applicazione potrebbe già includere connessioni indesiderate.

Perché gli agenti IA rendono più importante la raggiungibilità

La più ampia tecnologia di sicurezza dei carichi di lavoro IA di Aviatrix utilizza dati sui flussi di rete, log DNS e inventari delle risorse cloud per individuare agenti, endpoint dei modelli e infrastrutture correlate. L’azienda la descrive come una soluzione che consente ai team di sicurezza di identificare l’uso dell’IA senza dipendere interamente dagli sviluppatori per strumentare le applicazioni.

Individuazione e contenimento risolvono problemi diversi. L’individuazione aiuta a stabilire quali sistemi esistono e a quali sistemi si connettono. Il contenimento determina quali di queste connessioni restano possibili una volta applicata una policy.

Si consideri un agente che ha bisogno di un fornitore di modelli e di un servizio interno approvato. Limitare i suoi percorsi di rete può ridurre il numero di destinazioni disponibili per sottrarre dati o ottenere ulteriore accesso nel caso in cui l’agente venga compromesso. Ciò non dimostra che i prompt, il ragionamento o le azioni autorizzate dell’agente siano sicuri: per questi aspetti servono controlli a livello diverso.

Questa distinzione rende concreto il legame del prodotto con l’IA. Clearance serve a circoscrivere ciò che un agente può raggiungere attraverso la rete, mentre Active Defense utilizza l’automazione per contribuire a mantenere questi limiti.

Il programma gratuito e la disponibilità standard

Aviatrix afferma che tutte le aziende possono accedere al suo programma di risposta, che copre il contenimento del traffico in uscita, il contenimento laterale e la prevenzione delle intrusioni nell’intero ambiente, senza limiti al numero di carichi di lavoro, dal 1° novembre al 1° maggio. Le iscrizioni tramite AWS Marketplace aprono il 1° novembre 2026.

I team possono iniziare con una Valutazione del contenimento gratuita. Il sito distingue un’autovalutazione iniziale basata sul browser, che fornisce risultati provvisori, da una successiva valutazione dell’architettura che utilizza i dati dei clienti. Il punteggio iniziale va quindi inteso come punto di partenza per un’indagine, non come un inventario misurato di tutte le risorse raggiungibili.

Nell’offerta standard, Clearance include una valutazione e 15 carichi di lavoro in modalità di monitoraggio o applicazione, senza limiti di tempo. La capacità aggiuntiva è tariffata per carico di lavoro; i prezzi sono disponibili presso Aviatrix. L’annuncio afferma che i due controlli di contenimento sono forniti tramite Aviatrix Cloud e sono disponibili anche su Aviatrix Enterprise.

Il lancio punta a superare un ostacolo persistente nella sicurezza aziendale: spesso le organizzazioni concordano sulla necessità di ridurre gli accessi dei carichi di lavoro, ma esitano ad applicare restrizioni quando le conseguenze sono incerte. La rilevanza di Clearance sta nel collegare questo obiettivo di sicurezza a un processo operativo graduale: osservare la policy proposta, risolvere le dipendenze, applicarla e mantenere un percorso chiaro per tornare indietro.