Refael Angel, współzałożyciel i CTO Akeyless – seria wywiadów

Refael Angel, współzałożyciel i CTO Akeyless, jest liderem w dziedzinie cyberbezpieczeństwa i inżynierii oprogramowania z głębokim doświadczeniem w zakresie bezpieczeństwa chmury, szyfrowania, uwierzytelniania maszyn i infrastruktury przedsiębiorstw. Od czasu współzałożenia Akeyless w 2018 roku pomógł zbudować firmę wokół nowoczesnego zarządzania sekretami i bezpieczeństwa tożsamości dla środowisk chmurowych. Przed Akeyless pracował jako starszy inżynier oprogramowania w dziale bezpieczeństwa w Intuit (INTU ), gdzie budował systemy do zarządzania kluczami szyfrowania w chmurze publicznej i uwierzytelniania maszyn, zdobywając doświadczenie w pracy z AWS, Go, Python, Java, PHP, Bash, Linux, Git i Jenkins. Wcześniej w swojej karierze Angel pełnił role inżynierskie w 3D Systems (DDD ) i Cimatron, rozwijając aplikacje CAD/CAM i oparte na systemie Windows przy użyciu C/C++, C#, WPF, MFC i wzorców projektowych zorientowanych obiektowo.

Akeyless to firma specjalizująca się w bezpieczeństwie tożsamości, skupiająca się na zabezpieczaniu maszyn, agentów AI i ludzi za pomocą platformy chmurowej opartej na kryptografii zero-knowledge. Jej platforma łączy zarządzanie sekretami, zarządzanie kluczami szyfrowania, zarządzanie cyklem życia certyfikatów, dostęp uprzywilejowany i bezpieczeństwo tożsamości maszyn, dając organizacjom ujednolicony sposób zarządzania poświadczeniami, kluczami, certyfikatami i dostępem w środowiskach hybrydowych, wielochmurowych, DevOps i AI. Pozycjonowanie firmy odzwierciedla szerszy trend w cyberbezpieczeństwie: w miarę jak obciążenia, usługi i agenci AI coraz częściej wykonują dostęp do systemu bez bezpośredniej interwencji ludzkiej, przedsiębiorstwa potrzebują silniejszych kontroli wokół nie-ludzkich tożsamości, krótkotrwałych poświadczeń, automatycznego obrotu i zarządzania czasu wykonywania.

Współzałożyłeś Akeyless w 2018 roku po budowaniu systemów zarządzania kluczami szyfrowania i uwierzytelniania maszyn w Intuit. Jaki brak w bezpieczeństwie chmury i zarządzaniu tożsamością przekonał Cię, że nadszedł czas, aby założyć Akeyless, i jak ewoluowała ta pierwotna wizja, gdy agenci AI wyszli na scenę jako nowa klasa cyfrowych tożsamości?

W Intuit byłem częścią zespołu budującego systemy zarządzania kluczami szyfrowania i uwierzytelniania maszyn w czasie, gdy Intuit był jednym z pierwszych dużych przedsiębiorstw, które przeniosło się do chmury. To, co stało się dla mnie jasne, to fakt, że każda organizacja, która przyjmie chmurę, w końcu będzie musiała zmierzyć się z tym samym problemem, który rozwiązywaliśmy wewnętrznie: jak zarządzać sekretami i kluczami w rozproszonej, dynamicznej infrastrukturze. Budowanie tego wewnętrznie pochłania ogromne zasoby inżynierskie, a nie ma sensu, aby każda firma odtwarzała to samo. Logicznym rozwiązaniem jest model SaaS.

Problemem było zaufanie. To jest najbardziej wrażliwy materiał, jaki posiada przedsiębiorstwo, a żadna poważna organizacja nie powierzy stronie trzeciej dostępu do niego. Tak więc wymóg był niemal sprzeczny: dostarczyć to jako SaaS dla skali i prostoty, a jednocześnie uczynić to architektonicznie niemożliwym dla dostawcy, aby kiedykolwiek zobaczyć dane klienta. To napięcie to właśnie dało życie kryptografii fragmentów rozproszonych (DFC). DFC pozwala nam uruchomić w pełni zarządzaną kontrolę SaaS, podczas gdy klient posiada fragment, którego nigdy nie posiadamy, więc matematycznie nie jesteśmy w stanie uzyskać dostępu do ich kluczy. To stało się podstawą modelu SaaS plus Zero-Knowledge, na którym opiera się Akeyless.

Pierwotna wizja dotyczyła zabezpieczania dostępu ludzi i maszyn w chmurze. Agenci AI są naturalnym i najbardziej ekstremalnym rozszerzeniem tego samego problemu. Są to nie-ludzkie tożsamości działające w skali i prędkości, z którymi żaden katalog nie został zaprojektowany, a ta sama podstawa Zero-Knowledge i tożsamościowa teraz rozciąga się bezpośrednio na nich.

Jesteś uznawany za architekta zastrzeżonej technologii szyfrowania Zero-Trust Akeyless. Jakie były największe wyzwania techniczne w budowaniu modelu bezpieczeństwa, który mógłby wyeliminować założenia zaufania, pozostając jednocześnie praktycznym dla dużych przedsiębiorstw?

Najtrudniejszą częścią było uczynienie “zaufaj nikomu” praktycznym, a nie akademickim. Większość schematów podzielonych kluczy lub udostępniania sekretów nadal montuje pełny klucz w pewnym momencie, zwykle wewnątrz jednego procesu, HSM lub enclave w momencie operacji kryptograficznej. To krótkie okno to właśnie to, co atakują, osoby złośliwe i scenariusze przymusowe prawne celują.

Z DFC klucz nigdy nie jest montowany, nie podczas tworzenia, nie w spoczynku i nie podczas użycia. Fragmenty są generowane niezależnie w oddzielnych dziedzinach zaufania, a operacje kryptograficzne są wykonywane jako obliczenia rozproszone, gdzie każdy posiadacz fragmentu oblicza swoją część lokalnie, a tylko częściowe wyniki są wymieniane. Wyzwaniem inżynierskim było osiągnięcie tego z opóźnieniem, przepustowością i niezawodnością, jakich wymagają duże przedsiębiorstwa w produkcji.

Drugim wyzwaniem, a jednym z najważniejszych, było umożliwienie ciągłego odświeżania fragmentów. Musieliśmy móc zastąpić każdy fragment nową wartością matematyczną, w każdym miejscu, podczas gdy podstawowy klucz, który reprezentują fragmenty, pozostaje niezmieniony, a proces kryptograficzny nie jest nigdy przerwany. To dodało bardzo znaczącą warstwę bezpieczeństwa do rozwiązania. Ponieważ odświeżanie, atakujący nie może już zbierać fragmentów cierpliwie w czasie. Fragment przechwycony w zeszłym tygodniu jest matematycznie niezwiązany z fragmentami, które istnieją dzisiaj, więc jest to szum, a nie przewaga. Aby dowiedzieć się czegoś o kluczu, przeciwnik musiałby naruszyć każde położenie fragmentu jednocześnie, w ramach jednego okna odświeżania, a to wymaganie staje się wykładniczo trudniejsze wraz ze wzrostem liczby lokalizacji, dziedzin zaufania i częstotliwości odświeżania. Połączone z progiem wszystko-lub-nic, gdzie 100 procent fragmentów jest potrzebne, aby ujawnić coś, a każdy ścisły podzbiór nie ujawnia żadnych informacji, odświeżanie zmienia model bezpieczeństwa z gwarancji statycznej w czasie.

Wiele organizacji ściga się, aby wdrożyć agenty AI, a jednak bezpieczeństwo tożsamości często pozostaje pomysłem pobocznym. Jakie są najczęstsze błędy, które firmy popełniają, gdy dają agentom AI dostęp do systemów przedsiębiorstw i wrażliwych danych?

Największym błędem jest traktowanie agenta jak konta usługi i wręczanie mu statycznego, długotrwałego klucza API. To poświadczenie staje się trwałym, zbieranym aktywem siedzącym wewnątrz nie-deterministycznego, wstrzykiwanego podpowiedzi aktora.

Inne powszechne błędy, które widzę, to: przyznawanie stałych uprawnień zamiast tylko w czasie dostępu, poleganie na grubych rolach opartych na uprawnieniach, które opisują, do czego agent może dotrzeć, ale nigdy nie mówią, co zamierza zrobić, dawanie agentom bezpośrednich ścieżek sieciowych do baz danych i API, tak aby naruszenie stało się ruchem bocznym, oraz brak łańcucha audytu, który łączy działanie agenta z powiązaną promocją i wyzwaniem. Każdy z nich jest próbą przerobienia kontroli ery ludzkiej na coś, co nie zachowuje się jak ludzie.

Akeyless argumentował, że agenci AI wymagają fundamentalnie innego modelu tożsamości niż ludzie lub tradycyjne obciążenia maszynowe. Co sprawia, że agenci AI są szczególnie trudni do zabezpieczenia w porównaniu z istniejącymi ramami IAM i PAM?

Podstawowy błąd polega na traktowaniu agentów AI jako nowego rodzaju użytkownika lub nawet nowego rodzaju konta usługi i zakładaniu, że mogą być onboardingowane i zarządzane jak tożsamości ludzkie. To błąd kategorii, z kilku powiązanych powodów.

Tożsamości agentów nie są wyliczalne. Konkretny wystąpień, które chcesz zarządzać, zwykle nie istnieje jeszcze, a do czasu, gdy istnieje, już zniknął. Agent może uruchomić się na Lambdzie, działać przez 800 milisekund i zniknąć, zanim jakiś skaner zauważy go, lub wygenerować łańcuchy pod-agentów w VM, kontenerach i serwerless, które kończą się w sekundach. Rejestrowanie ich w katalogu to traktowanie duchów jako mieszkańców: do czasu, gdy wpis zostanie zatwierdzony, jednostka, którą opisuje, już zniknęła.

Prawidłowa kotwica to nie agent, ale tożsamość wykonywania, którą już wydaje runtime, IAM chmury, token konta usługi Kubernetes, OIDC federacji i standardy takie jak SPIFFE/SPIRE, które są już udowodnione w produkcji i między-substratowe. Autoryzacja będzie wyrażana jako relacje między metodami autoryzacji a systemami docelowymi, a nie między nazwanymi tożsamościami i zakresami. A środkiem ciężkości będzie warstwa egzekwowania w czasie wykonywania, bramka, która pośredniczy w każdej akcji, klasyfikuje intencję, wstrzykuje efemeryczne poświadczenia, maskuje wrażliwe odpowiedzi i produkuje pełną łańcuch forensyczny. Tożsamość nadal ma znaczenie, ale spada za egzekwowanie, a nie przed nim. To warstwa egzekwowania w czasie wykonywania, siedząca na tej samej platformie, która już zarządza dostępem ludzi i maszyn, jest tym, co uważam, że każde przedsiębiorstwo uruchamiające agenty w produkcji ostatecznie będzie potrzebować.

Istnieje rosnąca dyskusja wokół architektur “bezsekretowych” dla systemów AI. Jak definiujesz uwierzytelnianie bezsekretowe, i dlaczego uważasz, że statyczne poświadczenia i klucze API stają się niewykonalne w erze autonomicznych agentów?

Uwierzytelnianie bezsekretowe oznacza, że agent nigdy nie posiada poświadczenia. Zamiast wręczania agentowi klucz, który musi przechowywać i przedstawiać, agent uwierzytelnia się za pomocą swojej rodzimej tożsamości wykonywania, a krótkotrwałe, tylko-w-czasie poświadczenie jest wstrzykiwane do sesji pośredniczącej w momencie wykonywania, a następnie niszczone, gdy sesja kończy się. Agent nigdy go nie widzi.

Statyczne poświadczenia i klucze API stają się niewykonalne z prostego powodu: sekret, który agent posiada, jest sekretem, który atakujący może ukraść. W świecie, w którym aktor posiadający poświadczenie może być wstrzykiwany podpowiedzi lub halucynować, długotrwały klucz staje się przeciekiem klucza. Usuń poświadczenie z agenta, a naruszony agent nie ma nic do przecieku. To jest cały punkt tego, co nazywamy SecretlessAI.

Jak agenci AI zyskują możliwość planowania, wykonywania akcji i interakcji z wieloma systemami niezależnie, jakie nowe wektory ataków najbardziej Cię niepokoją w ciągu najbliższych trzech do pięciu lat?

Wektory, które mnie najbardziej niepokoją, wszystkie wynikają z faktu, że agenci mogą planować i działać w systemach niezależnie. Wstrzyknięcie podpowiedzi, które przejmuje intencję agenta w trakcie zadania, jest najbardziej oczywistym, ponieważ tożsamość pozostaje ważna, nawet jeśli zachowanie staje się szkodliwe. Poza tym martwię się o przekazywanie władzy między agentami, gdzie władza jest przekazywana w łańcuchu bez jasnej odpowiedzialności, ruch boczny przez agenty, które mają bezpośredni zasięg sieciowy, oraz wykradanie danych, gdzie agent z nadmiernymi uprawnieniami ściąga o wiele więcej, niż wymaga jego zadanie.

Wspólnym wątkiem jest to, że poświadczenie i rola mogą być doskonale legalne, podczas gdy akcja nie jest. Obrony, które sprawdzają tylko uprawnienia, a nie cel, nie złapią żadnego z nich. Dlatego egzekwowanie świadomej intencji na bramce, na każdej akcji, jest kontrolą, która, uważam, będzie najważniejsza.

Patrząc w przyszłość, uważasz, że przedsiębiorstwa ostatecznie będą wymagać dedykowanej warstwy tożsamości dla agentów AI, podobnie jak dostawcy tożsamości stali się niezbędni dla użytkowników ludzkich, i jaki będzie wyglądał ten przyszły układ architektoniczny?

Tak, ale nie będzie wyglądał jak model dostawcy tożsamości dla ludzi po prostu przemianowany na agenty. Próba zbudowania katalogu agentów to budowanie katalogu dla duchów, tożsamości, które znikają, zanim skończysz je rejestrować.

Warstwa tożsamości agenta, której się spodziewam, kotwiczy tożsamość do wykonywania, które już wydaje runtime, IAM chmury, token konta usługi Kubernetes, federacja OIDC i standardy takie jak SPIFFE/SPIRE, które są już udowodnione w produkcji i między-substratowe. Autoryzacja będzie wyrażana jako relacje między metodami autoryzacji a systemami docelowymi, a nie między nazwanymi tożsamościami i zakresami. A środkiem ciężkości będzie warstwa egzekwowania w czasie wykonywania, bramka, która pośredniczy w każdej akcji, klasyfikuje intencję, wstrzykuje efemeryczne poświadczenia, maskuje wrażliwe odpowiedzi i produkuje pełną łańcuch forensyczny. Tożsamość nadal ma znaczenie, ale spada za egzekwowanie, a nie przed nim. To warstwa egzekwowania w czasie wykonywania, siedząca na tej samej platformie, która już zarządza dostępem ludzi i maszyn, jest tym, co uważam, że każde przedsiębiorstwo uruchamiające agenty w produkcji ostatecznie będzie potrzebować.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Akeyless.