Aviatrix lansează Clearance pentru a limita propagarea atacurilor în sarcinile de lucru compromise din cloud și din sistemele de IA

Aviatrix a lansat Clearance, o soluție de securitate pentru cloud concepută să limiteze daunele pe care le poate provoca o sarcină de lucru compromisă, restricționând destinațiile și celelalte sarcini de lucru la care poate ajunge. Propunerea sa centrală este la fel de mult operațională pe cât este tehnică: echipele de securitate pot testa o politică restrictivă pe baza traficului real înainte de a-i permite să blocheze conexiunile din mediul de producție.

Anunțată pe 26 octombrie, Clearance combină limitarea traficului de ieșire și a celui lateral cu un nivel automatizat de politici, numit Aviatrix Active Defense. De asemenea, compania pune la dispoziția întreprinderilor măsurile de limitare a traficului de ieșire și a celui lateral, precum și prevenirea intruziunilor, fără o limită a numărului de sarcini de lucru, printr-un program temporar de răspuns, derulat între 1 noiembrie 2026 și 1 mai 2027.

Pentru organizațiile care implementează agenți de IA alături de aplicații cloud convenționale, problema de fond devine tot mai importantă. Un serviciu exploatat sau un agent manipulat poate avea deja acreditări utile și acces la rețea. Oprirea compromiterii inițiale rămâne esențială, însă conexiunile disponibile ulterior contribuie la stabilirea măsurii în care compromiterea rămâne localizată sau se extinde.

Refuz implicit, cu o previzualizare a consecințelor

Clearance funcționează pe Aviatrix Containment Platform, construită pe Cloud Native Security Fabric a companiei. Soluția oferă sarcinilor de lucru un set explicit de căi de comunicare permise, iar celelalte căi sunt refuzate în mod implicit.

Limitarea traficului de ieșire reglementează conexiunile către destinații externe, definite prin domeniu, nu doar prin adresă de rețea. Limitarea traficului lateral reglementează comunicarea dintre sarcinile de lucru pe baza identității, extinzând acest model la mai multe medii cloud și la resurse precum containere, funcții fără server, baze de date și agenți de IA.

Provocarea implementării constă în faptul că dependențele legitime ale aplicațiilor sunt adesea greu de enumerat în întregime. O regulă care pare corectă în timpul verificării poate totuși să întrerupă un serviciu de plăți, o activitate de fundal sau o integrare folosită rar.

Clearance abordează acest risc printr-un set de reguli în umbră. Mai întâi, o politică propusă rulează în modul de monitorizare, alături de politica activă, și arată ce trafic ar fi blocat, fără să întrerupă aceste conexiuni. Echipele pot identifica traseele necesare, pot revizui permisiunile, apoi pot activa aplicarea politicii. Potrivit Aviatrix, atât activarea aplicării, cât și revenirea la configurația anterioară necesită o singură acțiune.

Astfel, previzualizarea devine o parte importantă a fluxului de lucru, nu o garanție că o modificare nu poate provoca o întrerupere. Este posibil ca traficul observat într-o anumită perioadă să nu includă procesările de la sfârșitul lunii, recuperarea în caz de dezastru sau o altă activitate rară, dar legitimă. Echipele trebuie în continuare să aleagă perioade de observare și excepții care să reflecte modul real de funcționare a aplicațiilor lor.

Cum se integrează aplicarea politicilor de rețea în aplicațiile cloud

Pe site-ul produsului, Aviatrix descrie inserarea transparentă la nivelul VPC, care păstrează adresele originale fără a necesita un agent pe gazdă, un SDK sau modificări ale codului aplicației. Compania mai spune că politicile pot fi reprezentate prin Terraform și resurse personalizate Kubernetes și orchestrate în grupuri de securitate și Kubernetes NetworkPolicy acolo unde nu este necesar un gateway.

Acest lucru contează deoarece infrastructura cloud se schimbă mai rapid decât o listă statică de adrese. Un container se poate muta, o funcție își poate mări sau reduce capacitatea, iar o aplicație se poate extinde pe mai multe rețele. Definirea intenției în raport cu sarcina de lucru și destinațiile necesare acesteia poate face o politică mai durabilă decât tratarea fiecărei schimbări de adresă ca pe o decizie de securitate distinctă.

Scopul practic este închiderea căilor de comunicare pe care le-ar putea folosi un atacator, fără a obliga fiecare echipă de aplicații să adopte o nouă integrare. Totuși, limitarea comunicațiilor la nivel de rețea reglementează conectivitatea: o conexiune permisă poate transporta în continuare activități dăunătoare. Aceasta completează aplicarea de patch-uri, controalele de identitate, securitatea aplicațiilor și detectarea amenințărilor, fără a face inutile aceste măsuri.

Active Defense adaugă întreținerea automatizată a politicilor

Aviatrix Active Defense este nivelul autonom al soluției. Potrivit anunțului, agenții săi construiesc un model al mediului clientului, elaborează politicile de care au nevoie aplicațiile, le evaluează în modul de monitorizare și le mențin actualizate pe măsură ce se schimbă sarcinile de lucru. Echipa de securitate poate în continuare să citească și să editeze politicile rezultate.

„Nu puteți rezolva problema prin aplicarea de patch-uri sau prin detectare în timpul pe care îl aveți la dispoziție, iar acest ciclu de aplicare a patch-urilor se suprapune peste perioada de înghețare a modificărilor de sărbători”, a declarat în anunț Doug Merritt, CEO-ul Aviatrix, explicând decizia companiei de a oferi o măsură temporară de protecție prin limitarea propagării, în timp ce clienții evaluează și actualizează sistemele.

Site-ul precizează o distincție importantă privind disponibilitatea: Active Defense este disponibil gratuit, în acces timpuriu, partenerilor de proiectare care folosesc Aviatrix Enterprise, iar lansarea sa pentru Aviatrix Cloud este planificată. Acest lucru trebuie diferențiat de disponibilitatea controalelor de limitare a propagării din Clearance. Pagina mai precizează că automatizarea funcționează în limitele stabilite de echipe și nu modifică regulile scrise de oameni.

Beneficiul potențial constă în reducerea muncii manuale necesare pentru a transforma comportamentul aplicațiilor în politici care pot fi aplicate. Cerința operațională aferentă este să se păstreze claritatea responsabilităților: regulile redactate automat au nevoie de un proces bine definit de revizuire și aprobare pentru aplicare, mai ales atunci când comportamentul observat al unei aplicații poate include deja conexiuni nedorite.

De ce agenții IA sporesc importanța posibilității de conectare

Tehnologia mai amplă a Aviatrix pentru securizarea sarcinilor de lucru cu IA folosește date despre fluxurile de rețea, jurnale DNS și inventare ale activelor din cloud pentru a descoperi agenți, puncte terminale ale modelelor și infrastructura asociată. Compania prezintă această abordare ca pe o modalitate prin care echipele de securitate pot identifica utilizarea IA fără a depinde în totalitate de dezvoltatorii care instrumentează aplicațiile.

Descoperirea și izolarea rezolvă probleme diferite. Descoperirea ajută la stabilirea sistemelor existente și a conexiunilor acestora. Izolarea determină care dintre aceste conexiuni rămân posibile după aplicarea unei politici.

Să luăm exemplul unui agent care are nevoie de un furnizor de modele și de un serviciu intern aprobat. Restricționarea căilor sale de rețea poate reduce numărul destinațiilor disponibile pentru furtul de date sau pentru obținerea unui acces suplimentar în cazul compromiterii agentului. Aceasta nu demonstrează că solicitările, raționamentul sau acțiunile autorizate ale agentului sunt sigure; pentru acestea sunt necesare controale la alte niveluri.

Această distincție clarifică relevanța produsului pentru IA. Clearance se concentrează pe limitarea resurselor la care un agent poate ajunge prin rețea, în timp ce Active Defense folosește automatizarea pentru a ajuta la menținerea acestor limite.

Programul gratuit și disponibilitatea standard

Aviatrix afirmă că toate companiile sunt eligibile pentru programul său de răspuns, care acoperă izolarea traficului de ieșire, izolarea laterală și prevenirea intruziunilor în întregul mediu, fără o limită a numărului de sarcini de lucru, în perioada 1 noiembrie–1 mai. Înscrierile prin AWS Marketplace se deschid la 1 noiembrie 2026.

Echipele pot începe cu o evaluare gratuită a izolării. Site-ul face distincția între o autoevaluare inițială, completată în browser și care oferă rezultate preliminare, și o evaluare ulterioară a arhitecturii, bazată pe datele clientului. Prin urmare, scorul inițial ar trebui considerat un punct de pornire pentru investigație, nu un inventar măsurat al tuturor resurselor accesibile.

În oferta standard, Clearance include o evaluare și 15 sarcini de lucru în modul de monitorizare sau de aplicare a politicilor, fără limită de timp. Capacitatea suplimentară se tarifează per sarcină de lucru, iar prețurile pot fi solicitate de la Aviatrix. Anunțul precizează că cele două controale de izolare sunt furnizate prin Aviatrix Cloud și sunt disponibile și pe Aviatrix Enterprise.

Lansarea vizează un obstacol persistent în securitatea întreprinderilor: organizațiile sunt adesea de acord că sarcinile de lucru ar trebui să aibă acces mai limitat, dar ezită să aplice restricții atunci când consecințele sunt incerte. Importanța Clearance constă în faptul că leagă acest obiectiv de securitate de un proces operațional etapizat — observarea politicii propuse, rezolvarea dependențelor, aplicarea politicii și păstrarea unei modalități clare de revenire.