Ramutė Varnelytė, CEO van IPXO – Interview Series

Ramutė Varnelytė, CEO van IPXO, heeft meer dan 15 jaar commerciële leiderschapservaring en is in het begin van 2025 aangesteld om het bedrijf te leiden. In haar rol drijft zij strategische groei, operationele excellentie en marktpositionering, waardoor IPXO blijft vooraanstaan in innovatie op het gebied van IP-adresverhuur en -beheer.

IPXO, afkorting van Internet Protocol Exchange Organization, is in 2021 opgericht om de wereldwijde IPv4-schaarste aan te pakken door een dynamisch verhuur- en monetisatieplatform te creëren. Het is uitgegroeid tot de grootste volledig geautomatiseerde marktplaats voor IP-adresverhuur ter wereld. Het platform ondersteunt miljoenen IP-adressen wereldwijd, gesteund door sterke relaties met regionale internetregisters en een missie om een geünificeerd, efficiënt IP-ecosysteem te bouwen.

We zullen bespreken hoe IPXO gedragsgebaseerd risicoprofielen en machine learning gebruikt om onderscheid te maken tussen goedaardige AI-automatisering en kwaadaardige botactiviteit. Het gesprek zal de opkomst van AI-agents in internetverkeer, ISP-cyberbeveiligingsuitdagingen en strategieën voor het balanceren van beveiliging met operationele efficiëntie verkennen.

Welke trends hebben ertoe geleid dat u concludeert dat AI-agents – en niet alleen scrapingsbots – nu de verkeerspatronen in veel organisaties domineren?

Bots zijn overal, en ze overtreffen het verkeer van mensen aanzienlijk. Meer dan een derde van het botverkeer bestaat uit de zogenaamde “slechte bot”-aandeel, dat bijdraagt aan veel kwaadaardige activiteiten. De trend is duidelijk in verschillende incidentenrapporten: wanneer bedrijven ongebruikelijk of schadelijk verkeer onderzoeken, vreemde pieken in API-gebruik of andere onregelmatigheden, blijkt dat veel van deze geautomatiseerde systemen meer als AI-agents gedragen, omdat ze doen alsof ze verschillende browsers of apparaten zijn (user-agent spoofing), snel hun IP’s veranderen (snelle IP-rotatie), onconsistent zijn in vergelijking met typische scrapingsbotactiviteit, enz. Eigenlijk wijst het enorme volume verkeer, evenals de toegenomen complexiteit van hun acties, op AI-agents, in plaats van alleen eenvoudige bots.

Welke gedragsignalen worden gebruikt om IP-risicoprofielen op te bouwen – zoals verzoekfrequentie, headers of geografische patronen?

Het is mogelijk om een IP’s “reputatiescore” te evalueren zonder zelfs maar naar de daadwerkelijke inhoud van de verzoeken te kijken, maar alleen door te observeren hoe het zich in het netwerk gedraagt. Deze onregelmatige patronen zijn “inhoudsagnostisch”, wat betekent dat u geen daadwerkelijke gegevens nodig heeft. Metagegevens en specifiek gedrag zijn voldoende om een IP’s risicoprofiel te evalueren. Dit werkt ook op grote schaal, aangezien verdacht gedrag niet wordt verborgen door moderne encryptie zoals TLS 1.3 of ECH. Er is nog steeds heel veel observeerbaar gegevens dat eenvoudigweg niet wordt versleuteld.

Hoe onderscheidt uw systeem tussen goedaardige AI-automatisering en kwaadaardige activiteit, zoals scrapen, botnets of credential stuffing – vooral zonder de inhoud van de payload te inspecteren?

Het is belangrijk om te overwegen hoe de automatisering zich over een bepaalde periode gedraagt, en niet alleen wat voor inhoud het aanvraagt. De “goede” bots zijn meestal heel voorspelbaar, hebben een bepaalde structuur en stappen die ze volgen. Kwaadaardige bots daarentegen springen vaak onvoorspelbaar heen en weer, gebruiken wegwerp-identificatoren, houden een star “machine-achtig” tempo aan en verspreiden verzoeken over veel servers om detectie te vermijden. Het komt neer op uitgebreid gedragsmodellering, waarbij wordt geëvalueerd hoe het zich over de site verplaatst in de loop van de tijd.

Kunt u uitleggen hoe bestaande ISPs worstelen om groeiend proxyverkeer aan te pakken en tegelijkertijd sterke verdedigingen tegen cyberaanvallen te handhaven?

Moderne protocollen verbergen meer verbindingdetails voor verbeterde privacy, dus het wordt moeilijker en duurder voor ISPs om het type verkeer te evalueren en het correct te classificeren. Aangezien het moeilijker is om te zien wat er binnenin zit, vertrouwen ISPs meer op het gedrag van het verkeer, in plaats van op de inhoud. De worsteling ligt in de gedwongen verschuiving van het veranderen van hun methoden van het vertrouwen op verkeersinspectie, wat de operationele kosten heeft verhoogd, en het integreren van nieuwe dreigingsinformatiehulpmiddelen om de nieuwe aanpak te passen.

Wat zijn de beveiligingscompromissen die ISPs tegenkomen als ze de beperkingen versoepelen om AI-agentverkeer te accommoderen?

Het versoepelen van filters kan valse positieven en wrijving verminderen, om de agents glad te laten draaien. Maar dit kan ook het aantal bedreigingen en aanvallen verhogen, aangezien het “slechte bot”-aandeel al een aanzienlijk deel van het verkeer uitmaakt. Soepelere filters betekenen hogere risico’s. Een manier om een compromis te vinden tussen de twee zou de risicogewogen poortaanpak kunnen zijn. Bijvoorbeeld, als er verdacht verkeer is, kan de eerste stap zijn om het te vertragen, in plaats van het volledig te blokkeren. Meer genuanceerde controles moeten worden ingesteld.

Wat zijn de kerntechnologieën die uw real-time risicobeperking aandrijven – gebruikt u machine learning, dreigingsinformatiefeeds of gedragsanomaliedetectie?

We gebruiken een gezonde mix van live datamonitoring en -evaluatie, machine learning en verschillende dreigingsinformatiehulpmiddelen. Het doel is om snel onregelmatigheden in gedrag te detecteren, de intentie van het verkeer te begrijpen en of er redenen zijn om aan te nemen dat het schadelijk is; als dat zo is, markeert u hoge risicogeallen en gaat u er dienovereenkomstig mee om.

Hoe integreert uw systeem met bestaande ISP- of ondernemings-SOC-werkprocessen – kan het automatisch waarschuwingen of mitigatie activeren?

Ja, ons systeem stuurt waarschuwingen naar bestaande werkprocessen en blokkeert bepaalde bedreigingen op netwerkniveau. Het kan in verschillende modi werken, afhankelijk van risicotolerantie.

Heeft dit profilsysteem enkele verrassende aanvalspatronen of misbruikgevallen onthuld tijdens vroege tests of implementaties?

Ja, er zijn er verschillende geweest. Een voorbeeld in de industrie kan “hallucinatiekruipen” zijn, wanneer LLM’s niet-bestaande URL’s verzinnen en vervolgens proberen ze op te halen. Of plotselinge stijgingen van verzoeken, die exact op hetzelfde tijdsinterval herhalen, zoals 15 minuten of een uur. Al deze patronen zijn nuttig voor ons om gedragsvolging verder te verfijnen en valse positieven te verminderen.

Wat zijn de gevolgen voor de privacy en beveiliging van het opbouwen van gedragsgebaseerde profielen zonder de versleutelde inhoud te inspecteren – vooral onder wereldwijde gegevensbeschermingswetten?

Gedragsmetagegevens kunnen als persoonsgegevens worden beschouwd, maar er zijn uitzonderingen, bijvoorbeeld als het belang legitiem is, gerechtvaardigd kan worden en noodzakelijk is voor beveiligingsmonitoring. Dat gezegd hebbende, moet het belang in het toegang krijgen tot en de hoeveelheid geretaineerde gegevens evenredig zijn met de risico’s die worden geëvalueerd.

Hoe voorkomt u valse positieven die goedaardige automatisering, zoals onderzoeks crawlers of whitelisted AI-agents, als cyberbedreigingen markeren?

We testen nieuwe waarborgen en regels voordat we ze implementeren, evalueren meerdere signalen voordat we actie ondernemen, gebruiken ook eerst zachte uitdagingen om de legitimiteit van het verkeer te testen, in plaats van het volledig te blokkeren. Het is een meerlagig controlelijst, dat constant wordt verfijnd.

Bedankt voor het geweldige interview, lezers die meer willen leren, moeten IPXO bezoeken.