Aviatrix lanceert Clearance om gecompromitteerde cloud- en AI-workloads in te dammen

Aviatrix heeft Clearance gelanceerd, een beveiligingsoplossing voor de cloud die de schade door een gecompromitteerde workload moet beperken door de bestemmingen en andere workloads waartoe deze toegang heeft, in te perken. De kernbelofte is zowel operationeel als technisch: beveiligingsteams kunnen een restrictief beleid toetsen aan werkelijk netwerkverkeer voordat ze toestaan dat het productieverbindingen blokkeert.

Clearance werd op 26 oktober aangekondigd en combineert indamming van uitgaand en lateraal verkeer met een geautomatiseerde beleidslaag genaamd Aviatrix Active Defense. Het bedrijf stelt indamming van uitgaand en lateraal verkeer en inbraakpreventie bovendien zonder limiet aan het aantal workloads beschikbaar voor ondernemingen, via een tijdelijk responsprogramma dat loopt van 1 november 2026 tot 1 mei 2027.

Voor organisaties die AI-agents inzetten naast conventionele cloudapplicaties, wordt het onderliggende probleem steeds ingrijpender. Een uitgebuite service of gemanipuleerde agent beschikt mogelijk al over bruikbare inloggegevens en netwerktoegang. Het blijft essentieel om de eerste inbreuk te stoppen, maar de verbindingen waarover een aanvaller daarna kan beschikken, bepalen mede of de inbreuk lokaal blijft of zich verspreidt.

Standaard blokkeren, met inzicht in de gevolgen vooraf

Clearance draait op het Aviatrix Containment Platform, dat is gebouwd op het Cloud Native Security Fabric van het bedrijf. Het geeft workloads een expliciete set toegestane communicatiepaden; alle andere paden worden standaard geblokkeerd.

Indamming van uitgaand verkeer regelt verbindingen met externe bestemmingen, die worden aangeduid op basis van domeinnaam en niet alleen op basis van netwerkadres. Laterale indamming regelt de communicatie tussen workloads op basis van identiteit en breidt dit model uit naar verschillende clouds en resources zoals containers, serverless-functies, databases en AI-agents.

De uitdaging bij de implementatie is dat legitieme afhankelijkheden tussen applicaties vaak moeilijk volledig in kaart te brengen zijn. Een regel die tijdens een beoordeling correct lijkt, kan nog altijd een betaalservice, een achtergrondtaak of een zelden gebruikte integratie verstoren.

Clearance ondervangt dat risico met een schaduwregelset. Een voorgesteld beleid draait eerst in de monitorstand naast het actieve beleid. Zo wordt zichtbaar welk verkeer het zou hebben geblokkeerd, zonder die verbindingen daadwerkelijk te blokkeren. Teams kunnen de benodigde paden vaststellen, machtigingen aanpassen en vervolgens handhaving inschakelen. Volgens Aviatrix zijn voor zowel het inschakelen van handhaving als het terugdraaien ervan slechts één handeling nodig.

Daardoor is de preview een belangrijk onderdeel van de workflow, maar geen garantie dat een wijziging geen storing veroorzaakt. Verkeer dat gedurende een bepaalde periode wordt waargenomen, omvat mogelijk geen maandafsluitende verwerking, herstel na een calamiteit of andere zeldzame maar legitieme activiteit. Teams moeten nog steeds observatieperioden en uitzonderingen kiezen die aansluiten bij de manier waarop hun applicaties daadwerkelijk werken.

Hoe netwerkhandhaving aansluit op cloudapplicaties

Op de productwebsite beschrijft Aviatrix een transparante invoeging op VPC-niveau, waarbij oorspronkelijke adressen behouden blijven en geen hostagent, SDK of wijziging in de applicatiecode nodig is. Het bedrijf zegt ook dat beleid kan worden vastgelegd met Terraform en aangepaste Kubernetes-resources, en kan worden doorgevoerd naar beveiligingsgroepen en Kubernetes NetworkPolicy wanneer een gateway niet nodig is.

Dat is belangrijk omdat cloudinfrastructuur sneller verandert dan een statische lijst met adressen. Een container kan worden verplaatst, een functie kan worden opgeschaald en een applicatie kan meerdere netwerken omvatten. Door het beleid af te stemmen op de workload en de bestemmingen die deze nodig heeft, kan het duurzamer worden dan wanneer elke adreswijziging als een afzonderlijke beveiligingsbeslissing wordt behandeld.

Het praktische doel is communicatiepaden af te sluiten die een aanvaller zou kunnen gebruiken, zonder elk applicatieteam te dwingen een nieuwe integratie te implementeren. Netwerkindamming regelt echter de connectiviteit: ook via een toegestane verbinding kan schadelijke activiteit plaatsvinden. Deze aanpak vormt een aanvulling op patchbeheer, identiteitsbeheer, applicatiebeveiliging en detectie, maar maakt die maatregelen niet overbodig.

Active Defense automatiseert het onderhoud van beleid

Aviatrix Active Defense is de autonome laag van de oplossing. Volgens de aankondiging bouwen de agents ervan een model van de omgeving van de klant op, stellen ze een eerste versie op van het beleid dat applicaties nodig hebben, beoordelen ze dat in de monitorstand en houden ze het actueel wanneer workloads veranderen. De resulterende beleidsregels blijven leesbaar en bewerkbaar voor het beveiligingsteam.

‘Je kunt dit niet oplossen door te patchen of te detecteren binnen de tijd die je hebt, en deze patchcyclus valt samen met de wijzigingsstop tijdens de feestdagen’, zei Aviatrix-CEO Doug Merritt in de aankondiging. Hij lichtte daarmee toe waarom het bedrijf een tijdelijke aanvullende vorm van indamming aanbiedt, terwijl klanten hun systemen beoordelen en patchen.

De website maakt daarnaast een belangrijk onderscheid in beschikbaarheid: Active Defense is gratis beschikbaar als vroege toegang voor ontwerppartners die Aviatrix Enterprise gebruiken en is gepland voor Aviatrix Cloud. Dit moet worden onderscheiden van de beschikbaarheid van de indammingsfuncties van Clearance. De pagina vermeldt ook dat de automatisering werkt binnen de door het team vastgestelde randvoorwaarden en geen door mensen geschreven regels aanpast.

Het mogelijke voordeel is dat er minder handmatig werk nodig is om applicatiegedrag om te zetten in afdwingbaar beleid. De bijbehorende operationele vereiste is dat duidelijk blijft wie waarvoor verantwoordelijk is: automatisch opgestelde regels moeten een vastgelegd proces voor beoordeling en invoering doorlopen, vooral wanneer het waargenomen gedrag van een applicatie mogelijk al ongewenste verbindingen omvat.

Waarom AI-agenten bereikbaarheid belangrijker maken

De bredere beveiligingstechnologie van Aviatrix voor AI-workloads gebruikt netwerkstroomgegevens, DNS-logboeken en een inventaris van cloudassets om agenten, modeleindpunten en bijbehorende infrastructuur te ontdekken. Het bedrijf beschrijft dit als een manier waarop beveiligingsteams AI-gebruik kunnen opsporen zonder volledig afhankelijk te zijn van ontwikkelaars die applicaties instrumenteren.

Opsporing en insluiting lossen verschillende problemen op. Opsporing helpt vast te stellen welke systemen er zijn en waarmee ze verbinding maken. Insluiting bepaalt welke van die verbindingen mogelijk blijven zodra een beleid wordt afgedwongen.

Neem een agent die een modelprovider en één goedgekeurde interne dienst nodig heeft. Door de netwerkpaden ervan te beperken, kan het aantal bestemmingen waar gegevens naartoe kunnen worden gestolen of van waaruit verdere toegang kan worden verkregen, afnemen als die agent wordt gecompromitteerd. Dit toont niet aan dat de prompts, redeneringen of toegestane acties van de agent veilig zijn; daarvoor zijn controles op andere lagen nodig.

Dit onderscheid maakt de relevantie van het product voor AI concreet. Clearance draait om het begrenzen van wat een agent via het netwerk kan bereiken, terwijl Active Defense automatisering inzet om die grenzen te helpen handhaven.

Het gratis programma en de reguliere beschikbaarheid

Aviatrix zegt dat alle ondernemingen in aanmerking komen voor het responsprogramma, dat uitgaande insluiting, laterale insluiting en inbraakpreventie in hun volledige omgeving omvat, zonder limiet op het aantal workloads, van 1 november tot en met 1 mei. Aanmelding via AWS Marketplace opent op 1 november 2026.

Teams kunnen beginnen met een gratis insluitingsbeoordeling. De website maakt onderscheid tussen een eerste zelfscore via de browser, die voorlopige resultaten oplevert, en een daaropvolgende architectuurbeoordeling op basis van klantgegevens. De eerste score moet daarom worden gezien als een startpunt voor nader onderzoek, niet als een inventarisatie op basis van metingen van alle bereikbare resources.

In het standaardaanbod omvat Clearance een beoordeling en 15 workloads in bewakings- of afdwingingsmodus, zonder tijdslimiet. Extra capaciteit wordt per workload geprijsd; de prijzen zijn verkrijgbaar bij Aviatrix. Volgens de aankondiging worden de twee insluitingsmaatregelen geleverd via Aviatrix Cloud en zijn ze ook beschikbaar op Aviatrix Enterprise.

De introductie is gericht op een hardnekkig obstakel voor de beveiliging van ondernemingen: organisaties zijn het er vaak over eens dat workloads minder toegang zouden moeten hebben, maar aarzelen om beperkingen af te dwingen wanneer de gevolgen onzeker zijn. De betekenis van Clearance ligt in het verbinden van dat beveiligingsdoel met een gefaseerd operationeel proces: het voorgestelde beleid observeren, afhankelijkheden in kaart brengen, het beleid afdwingen en een duidelijke weg terug behouden.