CrowdStrike vizează agenții IA neautorizați cu ajutorul detectării amenințărilor interne

CrowdStrike a anunțat pe 4 noiembrie 2026, la Fal.Con Europe, în Barcelona, că va adăuga Agent Insider Threat Detection la Falcon Next-Gen SIEM în trimestrul 4. Anunțul asociază această capabilitate viitoare cu investigații coordonate cu mai mulți agenți, disponibile în general, conectând alertele comportamentale cu investigarea și răspunsul în mai multe domenii.

Scenariul vizat este cel al unui agent de întreprindere care are acces la nivel de sistem la date sensibile și libertatea de a acționa asupra lor. Dacă agentul este manipulat sau se abate de la comportamentul prevăzut fără să încalce vreo regulă, instrumentele bazate pe politici și jurnale nu au o încălcare explicită pe care să o detecteze. De asemenea, le poate fi greu să distingă acțiunile agentului de cele ale persoanei care îl operează, astfel că o problemă de comportament poate părea legitimă la nivelul evenimentelor individuale.

Agent Insider Threat Detection este conceput să învețe comportamentul normal al fiecărui agent IA și al proprietarului acestuia, apoi să semnaleze abaterile chiar și atunci când nu este încălcată nicio politică. Sistemul adaugă riscul respectiv la scorul pe care Falcon Next-Gen SIEM îl calculează pentru proprietar și gazdă și direcționează comportamentul anormal direct către o investigație coordonată. Astfel, declanșatorul nu mai este doar încălcarea unei reguli, ci și o schimbare de comportament, iar contextul privind identitatea și gazda este inclus în investigație.

Investigațiile coordonate devin disponibile pe scară largă

Investigațiile, disponibile acum pe scară largă, au fost prezentate pe 2 septembrie 2026, la Fal.Con, în Las Vegas. Charlotte AI trimite simultan agenți instruiți de experți în domeniile endpointurilor, identității, SaaS, cloudului și rețelelor. Aceștia lucrează pe baza unui strat de context comun, în loc să desfășoare investigații separate, apoi ajung împreună la un verdict, însoțit de raționamente și justificări vizibile.

Această abordare rezolvă problema reunirii informațiilor în investigațiile care acoperă mai multe domenii. Analiștii pot examina raționamentele agenților, în loc să reunească manual constatările din domenii diferite, iar contextul comun le permite informațiilor aflate de un agent să le fie utile celorlalți care lucrează la aceeași investigație.

Detectarea și investigarea alimentează un strat de răspuns care include Falcon Guardian AI Kill Switch, capabil să încheie activitatea unui agent. Analiștii au la dispoziție și Agent Interruption, pentru a pune pe pauză sau a opri în timpul unei sarcini un agent Charlotte AI sau AgentWorks aflat în execuție; această măsură de control este menită să prevină acțiunile neautorizate și cheltuielile necontrolate.

Mecanisme de control uman și următoarea etapă a detectării

Charlotte Agentic SOAR este disponibil ca spațiu de lucru unificat, cu guvernanță centralizată, pentru agenți, fluxuri de lucru și aplicații personalizate. Setările privind autonomia variază de la aprobarea umană până la execuția complet autonomă. Mecanismele de control cu intervenție umană pun agentul pe pauză atunci când acesta apelează un instrument sensibil și generează o Action Request. Analiștii pot aproba acțiunea, o pot respinge indicând un motiv documentat sau pot examina întreaga trasă a agentului, creând astfel un punct de decizie verificabil pentru instrumentele care necesită un control mai strict.

Pentru aceeași foaie de parcurs din trimestrul 4 sunt menționate mai multe măsuri de control conexe. AI Ecosystem Detections este conceput pentru a acoperi utilizarea abuzivă a API-urilor LLM, cheile API furate și compromiterea asistenților de programare, a serverelor MCP și a cadrelor de lucru pentru agenți. Se preconizează extinderea mecanismelor de aprobare de la apelurile individuale ale instrumentelor la agenți, aplicații și fluxuri de lucru întregi.

AI Credit Visibility and Control este conceput pentru a oferi vizibilitate în timp real asupra consumului, a opri execuția în curs și a permite luarea unor decizii privind majorarea sau refuzarea limitelor atunci când un agent își atinge plafonul. Astfel, mecanismele de control al cheltuielilor se adaugă celor de aprobare pentru securitate, oferindu-le administratorilor posibilitatea de a întrerupe activitatea autonomă atunci când consumul de resurse devine inacceptabil.

O funcționalitate ulterioară, Policy-Drift Agent Guardrails, este programată pentru primul trimestru al anului fiscal 2028. Falcon Guardian ar urma să monitorizeze interacțiunile Charlotte AI și AgentWorks pentru a detecta abaterile de la politici, apelurile neautorizate ale instrumentelor și accesul la date în afara limitelor permise. Serviciile și funcționalitățile nelansate sunt încă în dezvoltare și pot suferi modificări; prin urmare, denumirile și termenele indicate fac parte dintr-o foaie de parcurs, nu descriu disponibilitatea actuală.

Lansarea construiește treptat un flux de lucru pentru securitatea agenților: investigațiile coordonate și mecanismele de control pentru operatori sunt disponibile acum, detectarea comportamentală este prevăzută pentru trimestrul 4, iar măsurile de protecție împotriva abaterilor de la politici sunt planificate pentru o etapă ulterioară. Pentru echipele de apărare, rămâne o distincție practică între examinarea sau oprirea acțiunii unui agent și identificarea schimbării subtile de comportament care ar trebui să declanșeze răspunsul.