Sysdig lanserer AI Defense for å styre agenthandlinger fra endepunkt til sky

Sysdig har lansert AI Defense, et produkt for kjøretidssikkerhet og styring som er utviklet for å undersøke hva AI-agenter gjør, og gripe inn når handlingene deres bryter med en organisasjons retningslinjer. Kunngjøringen 4. november gjør produktet allment tilgjengelig for macOS og Windows. Løsningen skal gi innsyn som kobler aktivitet på ansattes arbeidsstasjoner til skyressursene påloggingsinformasjonen deres gir tilgang til.

Produktet tar sikte på å håndtere overgangen fra AI som produserer svar, til AI som betjener programvare. En kodeagent kan lese filer, bruke verktøy, starte prosesser og endre infrastruktur. For å sikre denne arbeidsflyten må man forstå både hvilken oppgave agenten tror den utfører, og hvilke operasjoner som faktisk foregår i bakgrunnen.

Koble agentens hensikt til bevis fra operativsystemet

Ifølge Sysdig kombinerer AI Defense instrumentering i agentens kjørerammeverk – rammeverket som kjører agenten – med telemetri fra operativsystemet. Instrumenteringen i kjørerammeverket registrerer kall til verktøy, Model Context Protocol-servere, ferdigheter og programtillegg, inkludert argumentene og målene for kallene. Observasjon på systemnivå gir en separat oversikt over prosessene og aktiviteten disse kallene fører til.

Dette skillet er viktig når agentens egen redegjørelse er ufullstendig eller kompromittert. Én rapportert verktøyhandling kan starte flere prosesser, og en tilkobling eller ferdighet som legges til under en økt, kan endre hva agenten er i stand til å gjøre. Sysdig rapporterer at de i en tidlig observasjon fant omtrent sju underliggende prosesser for hver handling i agentloggene. Dette er et funn fra selskapet, ikke et universelt forholdstall som gjelder alle agenter.

Systemet tar også hensyn til hvilke tilganger som gjelder: Den samme filoperasjonen kan få ulike konsekvenser, avhengig av om den aktuelle påloggingsinformasjonen gir tilgang til et testmiljø eller administratorrettigheter i produksjonsmiljøet. En handlingsgraf skal koble sammen hendelsesforløpet, den ansvarlige personen, agentens oppgitte aktivitet og ressursene den har tilgang til.

Retningslinjer som tillater, setter på pause eller blokkerer handlinger

Organisasjoner kan først sette retningslinjer i varslingsmodus før de aktiverer håndheving. Når håndhevingen er aktivert, kan retningslinjene ifølge Sysdig blokkere verktøy og tilkoblinger som ikke er kontrollert, stanse risikofylt bruk av påloggingsinformasjon eller sette en handling på vent til et menneske har godkjent den. Produktlanseringen beskriver også hvordan en prosess kan avsluttes hvis en handling kommer seg forbi en tidligere kontroll.

Disse mekanismene brukes på ulike trinn i en utførelsessekvens. Å hindre at en operasjon fullføres er noe annet enn å oppdage aktivitet og avslutte en prosess etterpå. Kunngjøringen inneholder ingen offentlig oversikt som viser hvilke kontroller som forebygger handlinger på hvert av de støttede operativsystemene, kjørerammeverkene og de administrerte plattformene.

Malene for retningslinjer inneholder koblinger til OWASP Top 10 for LLM Applications, med unntaksrutiner for utviklere. Sysdig beskriver også øktlogger som viser hvilken retningslinje som gjaldt, hva som ble tillatt eller blokkert, og hvem som godkjente et unntak. Disse loggene kan støtte undersøkelser og revisjonsarbeid uten at team må rekonstruere en økt etter en hendelse.

Hva Falco Foundation tilfører

Sysdig knytter produktet til sin historie innen skybasert kjøretidssikkerhet og Falco, åpen kildekode-prosjektet selskapet opprinnelig utviklet. Dokumentasjonen for Falco beskriver hvordan løsningen observerer hendelser i Linux-kjernen og hendelseskilder fra programtillegg, beriker hendelsene med kontekst fra containere og Kubernetes og bruker regler til å generere varsler.

Dette grunnlaget bidrar til å forklare hvorfor Sysdig legger vekt på observert kjøring, i stedet for å stole utelukkende på AI-systemets egen beskrivelse. Det betyr ikke at åpen kildekode-prosjektet Falco i seg selv tilbyr alle funksjonene for agentstyring og blokkering som beskrives for AI Defense. Falcos dokumenterte arkitektur for trusseldeteksjon og Sysdigs kommersielle produkt bør forstås hver for seg.

I produktlanseringen nevnes Claude Code, Codex, GitHub Copilot og Cursor blant agentmiljøene løsningen skal kartlegge og knytte til en ansvarlig person. Opplysningen om tilgjengelighet for macOS og Windows er mer konkret enn den bredere beskrivelsen av dekning som også omfatter Linux, Kubernetes og administrerte agentplattformer. Organisasjoner må fastslå hvilken integrasjon som gjelder for hvert miljø.

Styring ved kjøretid supplerer testing av modeller

Sysdigs tekniske gjennomgang av delt ansvar beskriver kontroller ved kjøretid som et lag rundt arbeidet agenten utfører. I praksis er forskjellen at man enten ber en modell om å overholde en grense, eller håndhever grensen når programvaren forsøker å utføre en operasjon.

AI Defense presenteres som et supplement til eksisterende endepunktbeskyttelse, modelltesting og red teaming. Testing undersøker hvordan en modell eller arbeidsflyt oppfører seg under utvalgte forhold, mens styring ved kjøretid håndterer handlinger under en faktisk økt. Ingen av beskrivelsene fastslår at en utrulling er immun mot kompromittering, og hvor effektiv løsningen er, avhenger av hvordan retningslinjene er konfigurert, og hvor godt utførelsesbanen er dekket.

Sporing av agentaktivitet og AI-kostnader

Utover sikkerhet sier Sysdig at AI Defense knytter modellkall til agenten, teamet og personen som er ansvarlig, også aktivitet som ikke går gjennom en sentralisert AI-gateway. Dette kan hjelpe organisasjoner med å skille kostbar modellbruk i rutinearbeid fra aktivitet som tilsier bruk av en mer kapabel modell.

Den overordnede visjonen er et felles dokumentasjonslag for sikkerhet, styring og kostnadskontroll. Etter hvert som agenter får tilgang til flere verktøy og opererer med ekte medarbeiderlegitimasjon, avgjøres påvirkningen deres av hva de kan utføre. Sysdig AI Defense skal gjøre denne myndigheten synlig og mulig å håndheve idet handlingen utføres.