Sysdig lancia AI Defense per governare le azioni degli agenti, dagli endpoint al cloud

Sysdig ha lanciato AI Defense, un prodotto per la sicurezza e la governance in fase di esecuzione, progettato per esaminare le attività degli agenti IA e intervenire quando le loro azioni superano i limiti stabiliti dalle policy di un’organizzazione. Annunciato il 4 novembre, il prodotto è disponibile a livello generale per macOS e Windows. La visibilità offerta è pensata per collegare le attività svolte sulle workstation dei dipendenti alle risorse cloud a cui possono accedere con le proprie credenziali.

Il prodotto risponde al passaggio da un’IA che fornisce risposte a un’IA che interagisce con i software. Un agente di programmazione può leggere file, richiamare strumenti, avviare processi e modificare infrastrutture. Per proteggere questo flusso di lavoro occorre comprendere sia quale attività l’agente ritiene di stare svolgendo, sia quali operazioni avvengono effettivamente al suo interno.

Collegare le intenzioni degli agenti alle evidenze del sistema operativo

Secondo Sysdig, AI Defense combina la strumentazione integrata nell’ambiente di esecuzione dell’agente — il framework che lo esegue — con la telemetria del sistema operativo. La strumentazione dell’ambiente di esecuzione registra le chiamate a strumenti, server Model Context Protocol, competenze e plugin, inclusi i relativi argomenti e obiettivi. Il monitoraggio a livello di sistema fornisce un registro separato dei processi e delle attività generati da tali chiamate.

Questa distinzione è importante quando il resoconto di un agente è incompleto o compromesso. Un’unica azione relativa a uno strumento, così come viene registrata, può avviare diversi processi; inoltre, una connessione o una competenza aggiunta durante una sessione può modificare ciò che l’agente è in grado di fare. Sysdig riferisce di aver osservato, in una fase iniziale, circa sette processi sottostanti per ogni azione registrata nei log degli agenti: si tratta di un risultato dell’azienda, non di un rapporto universale valido per tutti gli agenti.

Il sistema tiene conto anche dei privilegi: la stessa operazione di lettura di un file può avere conseguenze diverse a seconda che le credenziali utilizzate consentano di accedere a un ambiente di test oppure di amministrare l’ambiente di produzione. Il grafo delle azioni è progettato per collegare la sequenza degli eventi, la persona responsabile, le attività dichiarate dall’agente e le risorse a sua disposizione.

Policy per consentire, sospendere o bloccare un’azione

Le organizzazioni possono iniziare applicando le policy in modalità di avviso, prima di attivarne l’applicazione effettiva. Una volta attivate, secondo Sysdig, le policy possono bloccare strumenti e connessioni non verificati, impedire l’accesso rischioso alle credenziali o sospendere un’azione in attesa dell’approvazione di una persona. La presentazione descrive anche la possibilità di terminare un processo se un’azione supera un controllo precedente.

Questi meccanismi intervengono in momenti diversi della sequenza di esecuzione. Impedire il completamento di un’operazione è diverso dal rilevare un’attività e terminare un processo in un secondo momento. L’annuncio non fornisce una matrice pubblica che indichi quali controlli siano preventivi per ciascun sistema operativo, ambiente di esecuzione e piattaforma gestita supportati.

I modelli di policy includono mappature all’OWASP Top 10 for LLM Applications, con procedure per le eccezioni degli sviluppatori. Sysdig descrive inoltre registri di sessione che mostrano quale policy è stata applicata, che cosa è stato consentito o bloccato e chi ha approvato un’eccezione. Questi registri possono agevolare le indagini e le attività di audit, senza che i team debbano ricostruire una sessione dopo un incidente.

Cosa aggiunge la Falco Foundation

Sysdig collega il prodotto alla propria esperienza nella sicurezza in fase di esecuzione degli ambienti cloud-native e a Falco, il progetto open source che ha creato in origine. La documentazione di Falco descrive il monitoraggio degli eventi del kernel Linux e delle fonti di eventi fornite dai plugin, l’arricchimento degli eventi con il contesto di container e Kubernetes e l’applicazione di regole per generare avvisi.

Queste basi aiutano a capire perché Sysdig dia risalto all’esecuzione osservata, anziché affidarsi esclusivamente al resoconto di un sistema di IA. Ciò non significa che il progetto open source Falco offra da solo tutte le funzionalità di governance degli agenti o di blocco descritte per AI Defense. L’architettura di rilevamento documentata di Falco e il prodotto commerciale di Sysdig vanno considerati separatamente.

La presentazione cita Claude Code, Codex, GitHub Copilot e Cursor tra gli ambienti degli agenti che il prodotto mira a inventariare e ricondurre a una persona responsabile. L’indicazione della disponibilità per macOS e Windows è più precisa della descrizione più ampia della copertura, che si estende a Linux, Kubernetes e alle piattaforme gestite per gli agenti; le organizzazioni dovranno verificare quale integrazione sia applicabile a ciascun ambiente.

La governance in fase di esecuzione integra i test dei modelli

La discussione tecnica sulla responsabilità condivisa di Sysdig inquadra i controlli in fase di esecuzione come un livello di protezione che avvolge il lavoro svolto da un agente. La distinzione pratica è tra chiedere a un modello di rispettare un limite e farlo rispettare quando un software tenta un’operazione.

AI Defense è presentato come complemento alle soluzioni esistenti di protezione degli endpoint, ai test dei modelli e alle attività di red teaming. I test esaminano il comportamento di un modello o di un flusso di lavoro in condizioni selezionate; la governance in fase di esecuzione riguarda invece le azioni svolte durante una sessione effettiva. Nessuna delle due descrizioni dimostra che un’implementazione sia immune da compromissioni; l’efficacia dipende dalla configurazione delle policy e dalla copertura del percorso di esecuzione.

Attribuire le attività degli agenti e la spesa per l’IA

Oltre alla sicurezza, Sysdig afferma che AI Defense associa le chiamate ai modelli all’agente, al team e alla persona responsabili, comprese le attività che non transitano attraverso un gateway IA centralizzato. Questo potrebbe aiutare le organizzazioni a distinguere l’uso costoso dei modelli per attività di routine da quello per attività che richiedono un modello più capace.

La proposta più ampia consiste in un livello condiviso di evidenze per la sicurezza, la governance e la gestione dei costi. Man mano che gli agenti acquisiscono più strumenti e operano con le credenziali reali dei dipendenti, il loro impatto è determinato da ciò che possono eseguire. Sysdig AI Defense mira a rendere visibile e a far rispettare tale autorità nel momento stesso in cui viene esercitata.