Nati Hazut, prezes i współzałożyciel Bold Security – seria wywiadów

Nati Hazut jest prezesem i współzałożycielem Bold Security. Wcześniej współtworzył SAM Seamless Network i Polyrize, zdobywając doświadczenie w zakresie bezpieczeństwa urządzeń połączonych z siecią, tożsamości, uprawnień w chmurze i ochrony danych. W Bold wykorzystuje te doświadczenia do zabezpieczania interakcji między pracownikami, agentami AI i wrażliwymi danymi przedsiębiorstwa.

Bold Security rozwija technologię ochrony danych na urządzeniach końcowych, która wykorzystuje małe modele językowe działające bezpośrednio na urządzeniach, by klasyfikować wrażliwe informacje i rozpoznawać sposób ich wykorzystania. Platforma zapewnia zespołom ds. bezpieczeństwa narzędzia, dzięki którym mogą instruować użytkowników, przekierowywać ich działania lub blokować ryzykowne czynności w przeglądarkach, aplikacjach komputerowych i agentach AI. W tym wywiadzie Hazut opowiada o niekontrolowanym wykorzystaniu AI, inteligencji działającej na urządzeniu, autonomicznych agentach i zmieniających się granicach bezpieczeństwa danych przedsiębiorstwa.

Współtworzył pan SAM Seamless Network i Polyrize, a następnie założył Bold Security razem z Hadarem Krasnerem i Omrim Mallisem. Jakie zmiany w obszarze bezpieczeństwa przedsiębiorstw i AI dostrzegł pan, które przekonały pana, że warto od podstaw zbudować kolejną firmę zajmującą się bezpieczeństwem?

Przede wszystkim AI zmieniła miejsce, w którym odbywa się praca. Przez dziesięciolecia najbardziej wrażliwe operacje wykonywane przez ludzi na danych firmowych odbywały się w przeglądarkach i aplikacjach SaaS — właśnie na nich koncentrował się cały stos zabezpieczeń. Dziś coraz więcej pracy odbywa się bezpośrednio na urządzeniu: ludzie tworzą treści w komputerowym asystencie AI, wklejają kod źródłowy do natywnej aplikacji i uruchamiają agentów, którzy bezpośrednio na laptopie uzyskują dostęp do plików, aplikacji i systemów firmowych.

Ta zmiana podważyła założenia, na których opierała się większość produktów zabezpieczających. Inspekcja sieci widzi tylko ruch, który przez nią przechodzi, a aplikacje komputerowe szyfrują własny ruch i omijają serwer proxy. CASB widzi zatwierdzone aplikacje chmurowe. DSPM widzi dane przechowywane w chmurze. Żadne z tych narzędzi nie widzi lokalnego pliku przesyłanego do komputerowej aplikacji AI ani agenta przenoszącego dane, gdy przy klawiaturze nie ma człowieka.

Założyliśmy Bold, ponieważ punkt końcowy to jedyne miejsce, w którym wszystkie te elementy się łączą. Można tam zobaczyć dane, pracownika lub agenta, który z nich korzysta, jego zamiary oraz miejsce, do którego trafiają informacje. Można też zareagować, zanim wrażliwe dane wymkną się spod kontroli firmy.

Nieautoryzowane wykorzystanie AI może obejmować zarówno pracowników korzystających z prywatnych kont ChatGPT, jak i aplikacje komputerowe, rozszerzenia przeglądarek, interfejsy API, połączenia Model Context Protocol oraz coraz bardziej autonomicznych agentów. Które z tych form najtrudniej jest obecnie wykrywać i kontrolować zespołom ds. bezpieczeństwa przedsiębiorstw?

Rok temu wszyscy obawiali się „niekontrolowanego wykorzystania AI”, ale dyskusja na ten temat staje się coraz bardziej pogłębiona. Zespoły ds. bezpieczeństwa przedsiębiorstw zaczynają rozumieć, że pracownicy wdrażają nowe narzędzia AI szybciej niż kiedykolwiek. Pytanie dotyczy więc już nie tyle sporządzenia wykazu narzędzi, ile kontrolowania przepływających przez nie danych.

Oczywiście nie da się kontrolować tego, czego nie widać. Najtrudniej dostrzec te kanały, które w ogóle nie korzystają z monitorowanej ścieżki sieciowej. Aplikacje komputerowe odczytują pliki bezpośrednio z urządzenia i szyfrują przesyłane dane, więc ruch nie przechodzi przez narzędzia stworzone do jego inspekcji. Agenci mają dostęp do informacji firmowych i nadal z nich korzystają, nawet jeśli pracownik za każdym razem nie przekazuje im żadnych danych.

Wszystkie te kanały umożliwiają nową formę eksfiltracji danych, a najważniejsze jest to, co przez nie przepływa. Przesłanie publicznego dokumentu na zatwierdzone konto firmowe to nie to samo co przesłanie bazy danych klientów lub zastrzeżonego kodu źródłowego na konto prywatne. Różnicę tę widać tylko tam, gdzie znajdują się dane i gdzie wykonywane jest działanie. Dlatego właśnie w przypadku niekontrolowanego wykorzystania AI, którego nie widać, kwestia danych ma największe znaczenie.

Bold stawia przede wszystkim na urządzenia końcowe, uruchamiając AI lokalnie na urządzeniu, zamiast polegać głównie na monitorowaniu sieci lub chmury. Co model działający na urządzeniu może zrozumieć w kontekście interakcji z AI, czego nie potrafią tradycyjne rozwiązania do zapobiegania utracie danych (DLP)?

Bold działa inaczej na dwa sposoby. Po pierwsze, wykorzystujemy AI do ochrony wrażliwych danych, nie wysyłając ich do innej usługi AI w celu analizy. Nasze małe modele językowe działają bezpośrednio na urządzeniu, gdzie mogą rozpoznawać, które dane są wrażliwe, kto uzyskuje do nich dostęp i dokąd są przesyłane. Dzięki temu możemy identyfikować i blokować ryzykowne działania w czasie rzeczywistym, bez opóźnień i kosztów związanych z wysyłaniem wszystkiego do chmury.

Po drugie, wykraczamy poza kanały monitorowane przez tradycyjne narzędzia bezpieczeństwa. Większość rynku nadal koncentruje się na przeglądarkach i ruchu sieciowym, ale coraz częściej wrażliwe dane przepływają przez komputerowe aplikacje AI, narzędzia programistyczne, terminale i autonomicznych agentów. Konwencjonalne rozwiązania DLP i produkty do zabezpieczania chmury znacznie trudniej monitorują te kanały.

Działając na urządzeniu końcowym, możemy chronić dane we wszystkich tych środowiskach i reagować, zanim wrażliwe informacje wymkną się spod kontroli firmy.

Wasza technologia została zaprojektowana tak, by rozpoznawać nie tylko to, do jakich danych uzyskuje się dostęp, lecz także kontekst i intencje stojące za danym działaniem. Jak odróżniacie uzasadnione wykorzystanie wrażliwych informacji od zachowań stanowiących rzeczywiste zagrożenie dla bezpieczeństwa, nie generując przy tym nadmiernej liczby fałszywych alarmów?

Wszystko zależy tu od kontekstu. Nie można traktować każdego przesłania pliku ani każdego dostępu agenta do danych jako incydentu bezpieczeństwa, bo wtedy nikt nie byłby w stanie wykonać żadnej pracy.

Ten sam plik może być czymś zupełnie zwyczajnym w jednym miejscu, a w innym stanowić poważny problem. Lista klientów jest czymś oczekiwanym w narzędziu do obsługi klienta, ale jej przesłanie na konto osobiste stanowi realny problem. Kod źródłowy powinien znajdować się w repozytorium, a nie w poleceniu wprowadzonym do konsumenckiego narzędzia AI.

Narzędzie, które wie jedynie, że zawartość pasuje do reguły, musi oznaczyć oba przypadki albo żaden z nich. Stąd biorą się fałszywe alarmy. Aby odróżnić zwykłe korzystanie z AI od realnego zagrożenia, trzeba wiedzieć, jakie to dane, kto je przesyła i dokąd trafiają.

Agenci AI wprowadzają inny model bezpieczeństwa, ponieważ oprogramowanie może coraz częściej uzyskiwać dostęp do plików, wywoływać narzędzia, łączyć się za pośrednictwem serwerów MCP i podejmować działania przy ograniczonym udziale człowieka. Jak powinno ewoluować bezpieczeństwo urządzeń końcowych, skoro podmiotem mającym kontakt z wrażliwymi danymi firmowymi może być autonomiczny agent, a nie pracownik?

Zabezpieczenia tworzono w dużej mierze z myślą o ludziach, ale agenci mogą teraz działać z szybkością maszyn: otwierać pliki, wywoływać narzędzia i przesyłać dane bez konieczności uzyskiwania czyjejś zgody na każdym kroku. Zabezpieczenia muszą działać w tym samym tempie. Wiele produktów wykorzystuje AI do analizowania incydentów po fakcie. My używamy jej, by rozpoznawać ryzykowne działania i zapobiegać im w czasie rzeczywistym, także wtedy, gdy odbywają się poza przeglądarką.

Agent może działać za pośrednictwem aplikacji komputerowej, terminala lub innego narzędzia, które znajdzie podczas wykonywania zadania. Zabezpieczenia muszą śledzić przepływ danych i działania w różnych środowiskach, niezależnie od tego, czy odpowiada za nie człowiek, czy agent.

Pojawia się też pytanie, którego zespoły ds. bezpieczeństwa wcześniej nie musiały sobie zadawać. Gdy dochodzi do ryzykownej sytuacji, czy dana osoba zrobiła to celowo, czy agent popełnił błąd? W obu przypadkach trzeba zareagować inaczej. Jeśli pracownik podejmuje złą decyzję, należy go przeszkolić. Jeśli agent robi coś, czego nikt mu nie zlecił, trzeba go zatrzymać.

Różnicę można dostrzec na urządzeniu końcowym, ponieważ to właśnie tam spotykają się dane, proces i działanie.

Wiele przedsiębiorstw zareagowało na zagrożenia związane z generatywną AI, ograniczając dostęp do niektórych narzędzi lub całkowicie go zakazując. Czy uważa Pan, że organizacje zmierzają ku modelowi, w którym można dopuścić praktycznie każde narzędzie AI, o ile istnieją zabezpieczenia dotyczące danych, do których ma dostęp, i miejsc, do których te dane mogą trafiać?

Całkowite zakazy nie rozwiążą tego problemu. Pracownicy mogą znaleźć nowe narzędzie AI i zacząć z niego korzystać w ciągu kilku sekund, a większość z nich nie próbuje obchodzić zabezpieczeń. Chcą po prostu szybciej wykonywać swoją pracę.

Ważniejsze pytanie brzmi: co dzieje się z firmowymi danymi, gdy pracownicy korzystają z tych narzędzi?

Jeśli ktoś korzysta z osobistego konta AI do nieszkodliwych zadań, być może wystarczy wskazać mu konto firmowe. Jeśli jednak zamierza wysłać kod źródłowy, informacje o klientach lub dane uwierzytelniające w miejsce, na które firma nie zezwala, zabezpieczenia muszą zadziałać.

Myślę, że właśnie w tym kierunku zmierzamy. Pozwolić ludziom korzystać z AI, ale objąć dane zabezpieczeniami. Wiedzieć, do czego ktoś uzyskuje dostęp, dokąd dane trafiają i kiedy trzeba interweniować.

Uruchamianie AI lokalnie może przynieść korzyści pod względem opóźnień i prywatności, ale urządzenia końcowe mają ograniczone zasoby obliczeniowe i pamięć. Na jakie kompromisy techniczne trzeba było pójść podczas tworzenia modeli, które umożliwiają semantyczną klasyfikację danych i egzekwowanie zasad w czasie rzeczywistym bezpośrednio na urządzeniach pracowników?

Nie można umieścić ogromnego modelu na czyimś laptopie, zużyć większości jego mocy procesora i pamięci, a potem twierdzić, że to zabezpieczenie. Jeśli produkt ochronny sprawia, że korzystanie z komputera staje się uciążliwe, pracownicy będą go nienawidzić, a dział IT go wyłączy.

Kompromisy są więc bardzo realne. Model musi na tyle dobrze rozumieć dane, by odróżniać treści nieszkodliwe od wrażliwych, a jednocześnie być na tyle szybki, mały i niezawodny, by działać nieustannie w tle.

Początkowo trzeba było stworzyć modele, które zapewniałyby użyteczną klasyfikację na różnych typach komputerów, nie spowalniając ich. Mamy już za sobą te prace inżynieryjne, więc klienci nie muszą sami dokonywać takich kompromisów.

Podczas całego procesu tworzenia produktu naszym najwyższym priorytetem było doświadczenie użytkownika. Nasz produkt zużywa około 20% zasobów obliczeniowych wykorzystywanych przez nieoparte na AI agenty konkurencji starszego typu, a jednocześnie podejmuje decyzje lokalnie, w chwili wykonywania działania. Wrażliwe dane nie muszą opuszczać urządzenia tylko po to, by ustalić, czy są wrażliwe.

Bold potrafi wykrywać narzędzia AI, konta i aktywność agentów, a także instruować użytkowników, przekierowywać ich działania lub blokować ryzykowne czynności. Jak ustalacie, kiedy system powinien jedynie ostrzec użytkownika, a kiedy automatycznie zatrzymać działanie?

Pomyśl o tym, jak postąpiłby dobry współpracownik. Gdybyś miał wkleić wersję roboczą do swojego prywatnego konta ChatGPT, pochyliłby się nad tobą i powiedział: „Hej, mamy do tego konto firmowe”. Gdybyś miał przesłać bazę danych klientów na swój osobisty Dysk, złapałby cię za rękę.

Staramy się postępować tak samo i widzimy, że takie wskazówki są skuteczne w co najmniej 90% przypadków i pomagają skierować użytkowników ku bezpieczniejszej alternatywie. Najczęściej ktoś przypadkowo korzysta z niewłaściwego konta albo nie zna firmowych zasad dotyczących tego, gdzie można przechowywać dane.

Ostateczna decyzja o tym, co blokować, należy do klienta, a każda firma wyznacza tę granicę inaczej. Naszym zadaniem jest dostarczyć mu kontekstu i pewności, by mógł podjąć właściwą decyzję. W przypadku bardziej złożonych, ryzykownych działań oznacza to uwzględnienie kontekstu, o którym rozmawialiśmy wcześniej, oraz ocenę go na tle historii danego użytkownika, a nawet osób z jego grupy zawodowej.

Twoja kariera obejmuje ochronę połączonych urządzeń w SAM, zarządzanie tożsamością i uprawnieniami w chmurze w Polyrize, a obecnie ochronę interakcji między ludźmi, agentami AI i danymi przedsiębiorstw w Bold. Jak na przestrzeni tych trzech etapów rozwoju cyberbezpieczeństwa zmieniło się twoje spojrzenie na podstawowe granice bezpieczeństwa?

Moje rozumienie podstawowych zagadnień stało się bardziej precyzyjne. Wspólnym mianownikiem jest przybliżanie zabezpieczeń do miejsca, w którym dochodzi do działania, i zapewnianie ich skuteczności na dużą skalę.

W SAM zapewniliśmy routerom zabezpieczenia klasy korporacyjnej, mimo bardzo ograniczonych zasobów. Dzięki temu nauczyliśmy się efektywnie wdrażać zaawansowane technologie na urządzeniach brzegowych. W Polyrize skupiliśmy się na ochronie danych w środowiskach chmurowych i SaaS poprzez zapewnianie widoczności oraz zarządzanie poziomem bezpieczeństwa. Rozpoznanie zagrożeń jest niezbędne, ale nie zawsze pozwala zapobiec ryzykownemu działaniu.

Bold łączy te doświadczenia. Umieszczamy inteligentne mechanizmy na urządzeniu końcowym, gdzie ludzie i agenci AI wchodzą w interakcję z danymi, i dostarczamy zespołom ds. bezpieczeństwa kontekstu, który pozwala im ocenić ryzyko i zareagować w czasie rzeczywistym.

Bezpieczeństwo sieci i chmury nadal ma znaczenie, ale urządzenie końcowe zapewnia wgląd w aktywność za pośrednictwem aplikacji komputerowych, plików lokalnych, kont prywatnych i agentów działających na urządzeniu. Zrozumiałem, że miejsce i czas działania zabezpieczeń są równie ważne jak ich inteligencja.

Jak twoim zdaniem będzie wyglądać firmowe urządzenie końcowe za trzy do pięciu lat, gdy pracownicy będą współpracować z coraz bardziej autonomicznymi agentami AI? Czy dojdziemy do sytuacji, w której każde urządzenie będzie miało własną, inteligentną warstwę zabezpieczeń, nieustannie decydującą, którzy ludzie i agenci mogą wchodzić w interakcję z określonymi danymi?

Myślę, że właśnie w tym kierunku zmierzamy.

Urządzenie końcowe staje się inteligentną warstwą zabezpieczeń, która rozumie przechowywane na nim dane, rozpoznaje, czy korzysta z nich człowiek, czy agent, i lokalnie decyduje, co powinno, a co nie powinno się wydarzyć.

To staje się coraz ważniejsze w miarę wzrostu autonomii agentów. Jedna osoba może mieć jednocześnie kilka agentów działających w jej imieniu, pracujących z plikami, aplikacjami i systemami firmowymi. Bezpieczeństwo nie może zależeć od zatwierdzania każdego kroku przez tę osobę, ponieważ z czasem nie będzie ona już nadzorować wszystkich działań.

Dane nadal trzeba chronić, ale liczba podmiotów uzyskujących do nich dostęp znacznie przekroczy liczbę osób siedzących przy klawiaturze. Systemy bezpieczeństwa będą musiały komunikować się z agentami, podejmować decyzje i autonomicznie reagować na bieżące działania. Osoby obsługujące te systemy będą coraz częściej nadzorować mechanizmy kontroli i podejmowane decyzje, zamiast analizować każde pojedyncze zdarzenie. To na urządzeniu końcowym można podejmować takie decyzje, gdy dane wciąż pozostają pod kontrolą firmy.

Dziękujemy za świetny wywiad. Czytelnicy, którzy chcą dowiedzieć się więcej o ochronie danych na urządzeniach końcowych i bezpiecznym wdrażaniu AI w przedsiębiorstwach, powinni odwiedzić Bold Security.