Liat Hayun, SVP Product Management & Research at Tenable – Интервью

Liat Hayun является вице-президентом по управлению продуктами и исследованиям в Tenable Cloud Security. До присоединения к Tenable Liat была сооснователем и генеральным директором Eureka Security, компании по безопасности данных, которую приобрела Tenable. До основания Eureka Security Liat более десяти лет руководила усилиями по кибербезопасности в израильском киберподразделении и в компании Palo Alto Networks. В качестве вице-президента по управлению продуктами в Palo Alto Networks Liat руководила разработкой Cortex XDR и управляемой службы охоты на угрозы компании.

Tenable – это американская компания по кибербезопасности, которая помогает организациям выявлять, понимать, расставлять приоритеты и устранять уязвимости безопасности во всей цифровой атакующей поверхности. Она наиболее известна своей платформой управления уязвимостями и инструментами, такими как широко используемый сканер уязвимостей Nessus, которые позволяют бизнесу получить представление о угрозах, охватывающих инфраструктуру ИТ, облако, OT/IoT и системы идентификации, и принять решительные меры для снижения риска, влияющего на бизнес. Решения Tenable предоставляют непрерывное обнаружение, расстановку приоритетов и информацию о угрозах для поддержки активного управления киберриском для десятков тысяч клиентов по всему миру.

Что фундаментально делает автономные агенты ИИ более опасными, чем традиционные модели ИИ, которые реагируют только на запросы пользователя, а не действуют самостоятельно?

Автономные агенты ИИ меняют природу риска, поскольку они могут инициировать задачи, получить доступ к системам, принимать решения и взаимодействовать с другими службами без надзора человека.

Эта независимость увеличивает скорость и масштаб потенциального воздействия, повышая вероятность раскрытия данных, нарушения работы и финансовых потерь. Агент ИИ может запросить хранилища данных, запустить рабочие процессы, вызвать API или изменить инфраструктуру в режиме реального времени. Если агент неправильно настроен или скомпрометирован, он может перемещаться по системам, используя предоставленные ему разрешения, часто быстрее, чем человек может обнаружить или вмешаться.

Согласно Отчету Tenable о рисках облачной и ИИ-безопасности 2026, 52% организаций уже имеют нечеловеческие идентификаторы с чрезмерными разрешениями, и почти половина из них неактивны, создавая широкий непроверенный доступ в производственных средах. Это означает, что многие ИИ-ориентированные процессы уже имеют доступ, который они не активно используют, но который могут использовать атакующие.

Атакующие все чаще используют так называемую проблему “замешанного заместителя”. Им не нужно компрометировать сам агент. Вместо этого они обманывают авторизованного агента, заставляя его выполнять действия от их имени, часто через косвенное внедрение запросов или манипулирование входными данными. Агент выполняет запрос, используя свои законные разрешения, эффективно выполняя работу атакующего. Когда автономные системы наследуют широкие разрешения или принимают на себя чрезмерно привилегированные роли, время между неправильной настройкой и эксплуатацией практически исчезает, создавая нулевую разницу в ИИ-пробеле.

Многие предприятия экспериментируют с агентами ИИ неформально. Какие первые конкретные шаги команды безопасности должны предпринять, чтобы оценить, действуют ли агентные ИИ уже внутри их среды?

Закрытие ИИ-пробела начинается с обнаружения, которое выходит за рамки традиционных инвентаризаций активов. Фаза экспериментов часто является самой опасной, поскольку организации не полностью знают, какой ИИ используется, как он настроен или какие разрешения ему предоставлены.

Агенты ИИ редко живут в одной, четко помеченной системе. Многие из них работают вне формального управления. Они появляются в инструментах разработчика, интеграциях SaaS, рабочих процессах автоматизации, расширениях браузера и облачных службах, что создает распределенную установку, увеличивающую слепые пятна и ограничивающую централизованный контроль. Это уже широко распространено, поскольку более 70% организаций интегрировали хотя бы один пакет ИИ или связанный с моделью, часто встраивая ИИ глубоко в приложения и инфраструктуру с ограниченным централизованным контролем.

Недавние исследования по Clawdbot показывают, что экспериментальные развертывания агентов могут представлять серьезные риски, когда возможности развертываются до того, как будут полностью поняты стандарты безопасности или настройки. Даже после окончания экспериментов и решения организациями, какие приложения ИИ принять, им все равно нужен строгий контроль над тем, как эти системы используются, какие разрешения они имеют, и как они взаимодействуют с критическими активами.

Фаза обнаружения должна начаться с создания единого инвентаря того, где существует ИИ, на конечных точках, облачной инфраструктуре и внешних атакующих поверхностях. Это включает в себя определение библиотек ИИ, агентов, API, сервисов моделей и интеграций третьих сторон, не только внутренних систем, но и всего, что можно получить извне.

Далее команды должны绘нуть карту того, как эти агенты связаны и какие данные они доступны, какие идентификаторы они используют, какие разрешения они имеют, и какие системы они могут достичь. Видимость требует контекста, поскольку риск возникает из отношений.

Наконец, после эксперимента организации должны определить, какие из этих соединений создают достижимые пути к критическим активам и закрыть ИИ-пробел.

Как риски, такие как открытые поверхности управления или непроверенные навыки третьих сторон, сравниваются с более знакомыми угрозами, такими как атаки на цепочку поставок или эскалация привилегий?

Непроверенные навыки третьих сторон и открытые поверхности управления расширяют аналогичные риски, как компрометация цепочки поставок и эскалация привилегий, но с усиленной скоростью, масштабом и связностью.

Навыки агентов третьих сторон функционируют подобно зависимостям цепочки поставок программного обеспечения, и поверхность экспозиции уже несет значительный вес. Восемьдесят шесть процентов организаций размещают пакеты кода третьих сторон с уязвимостями критического уровня. Когда эти компоненты работают внутри автономных агентов ИИ, выполнение становится непрерывным и автоматизированным, устраняя время между компрометацией и воздействием.

Открытые поверхности управления расширяют слой риска идентификации и доступа, создавая новые операционные интерфейсы, которые несут повышенные разрешения. Восемнадцать процентов организаций уже разрешают службам ИИ принимать на себя чрезмерно привилегированные роли, предоставляя автоматизированным системам широкий охват по средам. Агентные ИИ связывают эти экспозиции в одну операционную цепь. Уязвимая зависимость, чрезмерные разрешения и открытые интерфейсы объединяются в достижимый путь атаки. Организации работают в среде с нулевой маржой ошибки, где экспозиция и эксплуатация почти мгновенно выравниваются.

С точки зрения защиты, как выглядит “хорошая гигиена” для организаций, развертывающих агенты ИИ с доступом к внутренним системам или чувствительным данным?

Хорошая гигиена начинается с того, что агенты ИИ рассматриваются как привилегированные цифровые акторы с реальной властью над системами и данными. Организациям нужна непрерывная видимость каждого агента, того, что он делает, и того, что он может достичь. Команды должны обеспечивать минимальные привилегии для идентификаторов машин и служб, удалять неактивный доступ и строго ограничивать разрешения. Каждый агент должен быть посвящен конкретному типу задачи, с разрешениями и доступом, ограниченными строго этой функцией.

Это важно, поскольку неиспользуемый доступ широко распространен. Почти половина идентификаторов с чрезмерными разрешениями неактивны, и более 70% ролей выполнения ИИ по умолчанию остаются неиспользованными. Эти условия создают готовые пути эскалации, которые несут риск без доставки ценности.

Команды безопасности также должны понимать отношения между инфраструктурой, хранилищами данных, API и приложениями. Отображение этих связей раскрывает токсичные комбинации экспозиции, такие как уязвимые рабочие нагрузки, достижимые через чрезмерно привилегированные агенты с доступом к чувствительным данным.

Сильная гигиена также требует непрерывного управления. Организации должны контролировать поведение агентов, контролировать интеграции, обеспечивать ограничения данных и регулярно проверять разрешения. Эти практики закрывают ИИ-пробел и удаляют достижимые пути атаки.

Что вы рекомендуете организациям делать, чтобы защитить поверхности атаки ИИ быстро, не замедляя инновации?

Организации могут защитить поверхности атаки ИИ, уменьшая экспозицию с скоростью и точностью.

Для этого первым приоритетом является определение, какие системы ИИ создают достижимые пути к критическим активам. Более 80% организаций запускают рабочие нагрузки с уязвимостями, которые уже были использованы в дикой природе. Риск уже существует внутри большинства сред. Команды безопасности должны сосредоточиться на связях, которые создают реальное воздействие.

Затем осознайте, что автоматизация позволяет масштабироваться. Непрерывное обнаружение, контекстная расстановка приоритетов и управляемое устранение позволяют командам снижать риск, сохраняя скорость разработки.

Хотя ограничения политики защищают принятие, доступ по мере необходимости, контролируемые потоки данных и контролируемые интеграции помогают организациям управлять активностью ИИ, сохраняя инновации.

Вместе эти шаги уменьшают ИИ-пробел, удаляя высокорисковый доступ и небезопасные соединения. Быстрое уменьшение экспозиции защищает системы, позволяя принятию ИИ двигаться вперед.

Каким образом руководители служб информационной безопасности должны думать об идентификации, разрешениях и объеме при предоставлении агентам ИИ доступа к производственным системам?

Руководители служб информационной безопасности должны рассматривать агентов ИИ как высокоскоростные нечеловеческие идентификаторы с операционной властью над системами и данными.

Решения об доступе должны сосредоточиться на точности. Разрешения должны соответствовать конкретным задачам, оставаться ограниченными во времени и подвергаться постоянному обзору. Чрезмерные разрешения расширяют охват и увеличивают воздействие, когда системы взаимодействуют на скорости машины.

Руководители служб безопасности также нуждаются в ясном представлении о реальном охвате. Разрешения, в сочетании с сетевыми путями, доступом к данным и интеграциями служб, определяют, что может фактически сделать агент. Понимание этих отношений раскрывает потенциальную экспозицию до того, как она станет воздействием.

Идентификация связывает инфраструктуру, данные и приложения через ИИ-пробел. Точное проектирование разрешений ограничивает радиус взрыва и сохраняет контроль. Когда время от обнаружения экспозиции до эксплуатации практически равно нулю, управление идентификацией определяет, насколько безопасно ИИ работает в производстве.

Ожидаете ли вы, что агентные ИИ заставят пересмотреть существующие рамки безопасности или сегодняшние модели могут быть адаптированы для обработки этих новых рисков?

Принципы безопасности остаются последовательными, но операционные модели эволюционируют. Агентные ИИ связывают системы, идентификаторы и данные в динамические среды, которые меняются непрерывно и работают на скорости машины. В отличие от человеческих операторов, агенты не применяют суждение к своим действиям или различают между подходящими и неподходящими запросами. Они выполняют на основе инструкций и разрешений, что увеличивает важность строгого контроля и управления.

Риск возникает из отношений между инфраструктурой, цепочками поставок программного обеспечения и слоями идентификации. Организации наследуют экспозицию быстрее, чем циклы устранения могут идти в ногу. Автоматическое развертывание и автоматическая эксплуатация сжимают время реагирования и увеличивают операционное давление.

Рамки безопасности должны сосредоточиться на видимости экспозиции и уменьшении. Команды требуют непрерывного представления о том, что существует, как системы связаны и какие пути ведут к критическим активам.

Определяющей задачей является управление взаимосвязанным риском через ИИ-пробел. Программы безопасности преуспевают, постоянно снижая достижимую экспозицию и сохраняя контроль в сложных средах.

Взглянув вперед, какие области исследований безопасности агентных ИИ, по вашему мнению, заслуживают более пристального внимания, когда эти инструменты переходят от экспериментальных к миссионно-kritическим?

Несколько областей исследований будут формировать будущее безопасности агентных ИИ.

Во-первых, рост экосистем нечеловеческих идентификаторов требует более глубокого анализа. Организации быстро расширяют идентификаторы машин, которые работают над инфраструктурой, данными и службами. Понимание закономерностей привилегий, поведения и управления жизненным циклом будет иметь решающее значение.

Во-вторых, исследования должны продвинуться в моделировании путей атак с несколькими шагами. Системы ИИ связывают цепочки поставок программного обеспечения, облачную инфраструктуру и слои идентификации. Отображение того, как эти элементы взаимодействуют, улучшит прогнозирование и расстановку приоритетов риска.

В-третьих, управление автономным принятием решений требует большего внимания. Команды безопасности нуждаются в видимости того, как агенты получают доступ, обрабатывают и передают чувствительные данные во времени.

Наконец, скорость эксплуатации продолжает ускоряться. Изучение того, как атакующие и защитники работают на скорости машины, будет формировать стратегии реагирования.

Будущая безопасность зависит от понимания и уменьшения ИИ-пробела. Исследования должны сосредоточиться на контроле взаимосвязанной экспозиции по всей атакующей поверхности.

Спасибо за отличное интервью, читателям, которые хотят узнать больше, следует посетить Tenable.