Sysdig uruchamia AI Defense, by zarządzać działaniami agentów od punktu końcowego po chmurę

Sysdig uruchomił AI Defense — produkt do ochrony i nadzoru nad działaniem systemów w czasie rzeczywistym, zaprojektowany do analizowania aktywności agentów AI i interweniowania, gdy ich działania wykraczają poza zasady organizacji. Ogłoszenie z 4 listopada informuje o ogólnej dostępności produktu dla systemów macOS i Windows. Funkcja wglądu ma łączyć aktywność na służbowych komputerach pracowników z zasobami w chmurze, do których dostęp umożliwniają ich dane uwierzytelniające.

Produkt odpowiada na zmianę: AI nie tylko generuje odpowiedzi, ale też obsługuje oprogramowanie. Agent programistyczny może odczytywać pliki, wywoływać narzędzia, uruchamiać procesy i zmieniać infrastrukturę. Zabezpieczenie takiego procesu wymaga zrozumienia zarówno zadania, które — jak sądzi agent — wykonuje, jak i operacji faktycznie przeprowadzanych w tle.

Łączenie intencji agenta z danymi z systemu operacyjnego

Jak informuje Sysdig, AI Defense łączy instrumentację wewnątrz środowiska wykonawczego agenta — struktury, która go uruchamia — z telemetrią systemu operacyjnego. Instrumentacja tego środowiska rejestruje wywołania narzędzi, serwerów Model Context Protocol, umiejętności i wtyczek, w tym przekazywane im argumenty i cele. Obserwacja na poziomie systemu zapewnia osobny zapis procesów i aktywności będących skutkiem tych wywołań.

To rozróżnienie ma znaczenie, gdy relacja agenta jest niepełna lub gdy jego działanie zostało przejęte. Jedno zgłoszone wywołanie narzędzia może uruchomić kilka procesów, a połączenie lub umiejętność dodane w trakcie sesji mogą zmienić zakres możliwości agenta. Sysdig informuje o wstępnej obserwacji, według której na każde działanie odnotowane w dziennikach agenta przypadało około siedmiu procesów działających w tle; jest to ustalenie firmy, a nie uniwersalna proporcja dotycząca wszystkich agentów.

System uwzględnia także zakres uprawnień: ta sama operacja odczytu pliku może mieć różne konsekwencje w zależności od tego, czy użyte dane uwierzytelniające zapewniają dostęp do środowiska testowego, czy pozwalają zarządzać środowiskiem produkcyjnym. Graf działań ma łączyć sekwencję zdarzeń, osobę ponoszącą za nie odpowiedzialność, deklarowaną przez agenta aktywność oraz dostępne mu zasoby.

Zasady pozwalające zezwolić na działanie, wstrzymać je lub zablokować

Organizacje mogą najpierw uruchomić zasady w trybie alertów, a dopiero później włączyć ich egzekwowanie. Według Sysdig po ich włączeniu zasady mogą blokować niezweryfikowane narzędzia i połączenia, uniemożliwiać ryzykowny dostęp z użyciem danych uwierzytelniających lub wstrzymywać działanie do czasu uzyskania zgody człowieka. W opisie produktu wspomniano również o kończeniu procesu, jeśli działanie ominie wcześniejsze zabezpieczenie.

Mechanizmy te działają na różnych etapach sekwencji wykonywania. Uniemożliwienie dokończenia operacji różni się od wykrycia aktywności i zakończenia procesu już po jej wystąpieniu. W ogłoszeniu nie przedstawiono publicznej tabeli wskazującej, które zabezpieczenia zapobiegają działaniom w poszczególnych obsługiwanych systemach operacyjnych, środowiskach wykonawczych i zarządzanych platformach.

Szablony zasad obejmują mapowania do OWASP Top 10 for LLM Applications oraz ścieżki wyjątków dla programistów. Sysdig opisuje również zapisy sesji wskazujące, która zasada miała zastosowanie, na co zezwolono lub co zablokowano oraz kto zatwierdził wyjątek. Zapisy te mogą ułatwić dochodzenie i audyt bez konieczności odtwarzania przebiegu sesji po incydencie.

Co wnosi Fundacja Falco

Sysdig łączy produkt ze swoim doświadczeniem w dziedzinie ochrony środowisk chmurowych w czasie rzeczywistym oraz z projektem Falco, który pierwotnie stworzyła firma. Dokumentacja Falco opisuje monitorowanie zdarzeń jądra Linuksa i źródeł zdarzeń udostępnianych przez wtyczki, wzbogacanie zdarzeń o kontekst kontenerów i Kubernetes oraz stosowanie reguł do generowania alertów.

To podłoże pomaga wyjaśnić, dlaczego Sysdig kładzie nacisk na obserwację faktycznego wykonania, zamiast polegać wyłącznie na opisie przedstawionym przez system AI. Nie oznacza to, że sam otwartoźródłowy projekt Falco zapewnia wszystkie opisane funkcje nadzoru nad agentami i blokowania działań dostępne w AI Defense. Udokumentowaną architekturę wykrywania Falco należy rozpatrywać oddzielnie od komercyjnego produktu Sysdig.

Wśród środowisk agentów, które produkt ma obejmować ewidencją i pozwalać powiązać z konkretnym człowiekiem, w ogłoszeniu wymieniono Claude Code, Codex, GitHub Copilot i Cursor. Informacja o dostępności dla systemów macOS i Windows jest bardziej konkretna niż ogólny opis zakresu obejmującego Linuksa, Kubernetes i zarządzane platformy agentowe; organizacje będą musiały ustalić, jaka integracja ma zastosowanie w każdym środowisku.

Nadzór nad działaniem w czasie rzeczywistym uzupełnia testowanie modeli

W technicznym omówieniu współodpowiedzialności Sysdig przedstawia zabezpieczenia działające w czasie rzeczywistym jako dodatkową warstwę ochrony obejmującą pracę agenta. W praktyce różnica polega na tym, czy jedynie prosi się model o przestrzeganie ograniczenia, czy też egzekwuje się je, gdy oprogramowanie próbuje wykonać operację.

AI Defense przedstawiono jako rozwiązanie uzupełniające istniejące zabezpieczenia punktów końcowych, testowanie modeli i red teaming. Testy sprawdzają zachowanie modelu lub procesu w wybranych warunkach, natomiast nadzór w czasie rzeczywistym dotyczy działań podejmowanych podczas rzeczywistej sesji. Żaden z tych opisów nie dowodzi, że wdrożenie jest odporne na przejęcie, a skuteczność zależy od konfiguracji zasad i objęcia nadzorem ścieżki wykonywania działań.

Przypisywanie aktywności agentów i wydatków na AI

Poza kwestiami bezpieczeństwa Sysdig informuje, że AI Defense przypisuje wywołania modeli do agenta, zespołu i odpowiedzialnej osoby, także wtedy, gdy aktywność nie przechodzi przez scentralizowaną bramę AI. Może to pomóc organizacjom odróżnić kosztowne korzystanie z modeli przy rutynowych zadaniach od aktywności, która uzasadnia użycie bardziej zaawansowanego modelu.

Szersza koncepcja zakłada stworzenie wspólnej warstwy dowodowej na potrzeby bezpieczeństwa, nadzoru i zarządzania kosztami. W miarę jak agenci zyskują dostęp do większej liczby narzędzi i działają z użyciem rzeczywistych poświadczeń pracowników, ich wpływ zależy od tego, jakie działania mogą wykonywać. Sysdig AI Defense ma sprawić, by uprawnienia te były widoczne i możliwe do egzekwowania w chwili podejmowania działania.