Нати Хазут, генеральный директор и сооснователь Bold Security — серия интервью

Nati Hazut — генеральный директор и сооснователь Bold Security. Ранее он стал сооснователем SAM Seamless Network и Polyrize, где приобрёл опыт в области безопасности подключённых устройств, управления идентификацией, облачных разрешений и защиты данных. В Bold он применяет этот опыт для защиты взаимодействия сотрудников и ИИ-агентов с конфиденциальными корпоративными данными.

Bold Security разрабатывает технологии защиты данных на конечных устройствах. Они используют небольшие языковые модели, работающие непосредственно на устройствах, чтобы классифицировать конфиденциальную информацию и понимать, как её используют. Платформа позволяет специалистам по безопасности инструктировать пользователей, перенаправлять действия или блокировать рискованные операции в браузерах, настольных приложениях и ИИ-агентах. В этом интервью Хазут рассказывает о теневом ИИ, локальной обработке данных, автономных агентах и меняющихся границах защиты корпоративных данных.

Вы стали сооснователем SAM Seamless Network и Polyrize, а затем основали Bold Security вместе с Hadar Krasner и Omri Mallis. Какие изменения в корпоративной безопасности и сфере ИИ убедили вас в том, что нужно с нуля создать ещё одну компанию по кибербезопасности?

Главное, что изменил ИИ, — это место, где выполняется работа. На протяжении десятилетий наиболее чувствительные операции с корпоративными данными происходили в браузерах и SaaS-приложениях — именно на них и были нацелены средства защиты. Теперь всё больше работы выполняется непосредственно на устройстве: сотрудники составляют тексты в настольных ИИ-ассистентах, вставляют исходный код в нативные приложения, запускают агентов, которые напрямую взаимодействуют с файлами, приложениями и корпоративными системами на ноутбуке.

Эти изменения разрушили предположения, на которых строилась большая часть средств защиты. Проверка сетевого трафика видит только тот трафик, который проходит через неё, а настольные приложения шифруют свой трафик и обходят прокси-сервер. CASB видит разрешённые облачные приложения. DSPM видит данные, хранящиеся в облаке. Ни одно из этих решений не видит, как локальный файл передают в настольное ИИ-приложение или как агент перемещает данные без участия человека за клавиатурой.

Мы основали Bold, потому что конечное устройство — единственное место, где сходятся все эти элементы. Здесь можно видеть сами данные, сотрудника или агента, который с ними взаимодействует, его намерения и направление передачи информации. И можно принять меры, прежде чем конфиденциальные данные выйдут из-под контроля компании.

Теневой ИИ может проявляться в самых разных формах: от использования сотрудниками личных аккаунтов ChatGPT до настольных приложений, расширений для браузера, API, подключений по Model Context Protocol и всё более автономных агентов. Какие формы теневого ИИ сегодня труднее всего обнаруживать и контролировать специалистам по корпоративной безопасности?

Год назад всех беспокоил «теневой ИИ», но теперь этот разговор становится глубже. Специалисты по корпоративной безопасности начинают осознавать, что сотрудники осваивают новые ИИ-инструменты быстрее, чем когда-либо. Поэтому вопрос уже не столько в учёте инструментов, сколько в контроле над данными, которые через них проходят.

Разумеется, нельзя контролировать то, чего не видишь. А труднее всего заметить каналы, которые вообще не используют сетевой маршрут, за которым кто-либо следит. Настольные приложения считывают файлы непосредственно с устройства и шифруют свой трафик, поэтому он не проходит через инструменты, предназначенные для его проверки. Агенты получают доступ к корпоративной информации и продолжают её использовать, даже когда сотрудник не передаёт им данные каждый раз.

Все эти каналы открывают новые возможности для утечки данных, и главное — понять, какая информация по ним передаётся. Передача общедоступного документа в одобренный корпоративный аккаунт — не то же самое, что отправка базы данных клиентов или проприетарного исходного кода в личный аккаунт. Различить эти ситуации можно, только там, где находятся данные и выполняется действие. Поэтому именно в невидимой части теневого ИИ вопрос о данных стоит особенно остро.

Bold придерживается подхода, в основе которого — защита конечных устройств: ИИ работает непосредственно на устройстве, а не полагается преимущественно на мониторинг сети или облака. Что локальная модель может понять о взаимодействии с ИИ такого, чего не может традиционная система предотвращения утечек данных (DLP)?

Bold отличается в двух отношениях. Во-первых, мы используем ИИ для защиты конфиденциальных данных, не отправляя их для анализа в другой ИИ-сервис. Наши небольшие языковые модели работают непосредственно на устройстве и могут определять, какие данные являются конфиденциальными, кто к ним обращается и куда они передаются. Благодаря этому мы выявляем и пресекаем рискованные действия в реальном времени, не тратя время и средства на отправку всего массива данных в облако.

Во-вторых, мы охватываем каналы, которые остаются за пределами мониторинга традиционных средств защиты. Большинство решений на рынке по-прежнему сосредоточено на браузерах и сетевом трафике, хотя всё чаще конфиденциальные данные передаются через настольные ИИ-приложения, инструменты для программирования, терминалы и автономных агентов. Обычным DLP-решениям и средствам облачной защиты гораздо труднее видеть происходящее в этих каналах.

Работая на конечном устройстве, мы можем защищать данные во всех этих средах и вмешиваться до того, как конфиденциальная информация выйдет из-под контроля компании.

Ваша технология предназначена не только для определения того, к каким данным обращаются, но и для понимания контекста и намерений, стоящих за действием. Как вы отличаете правомерное использование конфиденциальной информации от поведения, которое действительно создаёт угрозу безопасности, не допуская при этом чрезмерного числа ложных срабатываний?

Здесь всё решает контекст. Нельзя считать каждую загрузку файла или каждое обращение агента к данным инцидентом безопасности — иначе никто не сможет работать.

Один и тот же файл в одном месте может быть вполне обычным, а в другом — представлять серьёзную проблему. Список клиентов уместен в инструменте поддержки, но его загрузка в личную учётную запись — уже реальная проблема. Исходный код должен храниться в репозитории, а не попадать в запрос к общедоступному ИИ-инструменту.

Инструмент, который лишь определяет, что содержимое соответствует правилу, должен либо помечать оба случая, либо не помечать ни один. Именно так возникают ложные срабатывания. Чтобы отличить обычное использование ИИ от реальной угрозы, нужно знать, что это за данные, кто их перемещает и куда они направляются.

ИИ-агенты требуют иной модели безопасности, поскольку программное обеспечение всё чаще получает доступ к файлам, вызывает инструменты, подключается через серверы MCP и выполняет действия при ограниченном участии человека. Как должна меняться защита конечных устройств, если с конфиденциальными корпоративными данными взаимодействует автономный агент, а не сотрудник?

Системы безопасности в основном создавались с расчётом на людей, но теперь агенты могут действовать со скоростью машины: открывать файлы, вызывать инструменты и перемещать данные без одобрения каждого шага человеком. Системы безопасности должны работать с той же скоростью. Многие продукты используют ИИ для анализа инцидентов постфактум. Мы используем его, чтобы выявлять и останавливать рискованные действия в режиме реального времени, в том числе происходящие за пределами браузера.

Агент может работать через настольное приложение, терминал или другой инструмент, который обнаружит при выполнении задачи. Система безопасности должна отслеживать данные и действия во всех этих средах независимо от того, кто за них отвечает — человек или агент.

Это также ставит вопрос, который командам безопасности раньше не приходилось задавать. Если произошло что-то рискованное, человек сделал это намеренно или агент допустил ошибку? В этих случаях нужны разные меры. Если сотрудник принимает неверное решение, его нужно проконсультировать. Если агент делает то, о чём его никто не просил, его нужно остановить.

Именно на конечном устройстве можно понять, в чём разница: там одновременно видны данные, процесс и выполняемое действие.

Многие компании в ответ на риски генеративного ИИ ограничили или запретили использование определённых инструментов. Как вы считаете, организации движутся к модели, при которой можно разрешить практически любой ИИ-инструмент, если установить ограничения на доступ к данным и на то, куда их можно передавать?

Тотальные запреты эту проблему не решат. Сотрудники могут за несколько секунд найти новый ИИ-инструмент и начать им пользоваться, причём большинство из них не пытаются обойти меры безопасности. Они просто хотят быстрее справляться со своей работой.

Лучше спросить, что происходит с корпоративными данными, когда сотрудники пользуются такими инструментами.

Если кто-то использует личную учётную запись в ИИ-сервисе для безобидной задачи, возможно, достаточно подсказать ему, что лучше воспользоваться корпоративной учётной записью. Но если человек собирается отправить исходный код, данные клиентов или учётные данные туда, куда компания запрещает их передавать, службе безопасности нужно вмешаться.

Думаю, именно к этому всё и движется: дать людям возможность пользоваться ИИ, но установить ограничения на работу с данными. Нужно знать, к каким данным обращаются, куда их передают и когда необходимо вмешаться.

Использование ИИ локально может снизить задержки и повысить конфиденциальность, но вычислительные ресурсы и память конечных устройств ограничены. С какими техническими компромиссами вы столкнулись, создавая модели, способные семантически классифицировать данные и применять меры защиты в реальном времени непосредственно на устройствах сотрудников?

Нельзя установить на чей-то ноутбук огромную модель, полностью загрузить процессор и память, а потом назвать это защитой. Если из-за вашего продукта пользоваться компьютером станет невыносимо, сотрудники его возненавидят, а ИТ-отдел его отключит.

Так что компромиссы здесь вполне реальны. Модель должна достаточно хорошо понимать данные, чтобы отличать безобидные сведения от конфиденциальных, но при этом быть достаточно быстрой, компактной и надёжной для непрерывной фоновой работы.

На начальном этапе нужно было создать модели, способные обеспечивать полезную классификацию на компьютерах разных типов, не замедляя их работу. Мы уже выполнили эту инженерную работу, поэтому клиентам не приходится самостоятельно идти на такие компромиссы.

На протяжении всей разработки нашим главным приоритетом было удобство для пользователя. Наш продукт использует около 20% вычислительных ресурсов, которые потребляют агенты конкурентов, работающие без ИИ и основанные на традиционных технологиях, при этом принимает решения локально в момент выполнения действия. Чтобы определить, являются ли данные конфиденциальными, их не нужно передавать за пределы устройства.

Bold может выявлять ИИ-инструменты, учётные записи и действия агентов, а также консультировать пользователей, перенаправлять их к безопасным вариантам или блокировать рискованные действия. Как вы определяете, когда системе достаточно предупредить пользователя, а когда нужно автоматически остановить действие?

Представьте, как поступил бы хороший коллега. Если бы вы собирались вставить черновик в личную учётную запись ChatGPT, он наклонился бы к вам и сказал: «Эй, для этого у нас есть корпоративная учётная запись». А если бы вы собирались загрузить базу данных клиентов в личный Drive, он схватил бы вас за руку.

Мы стараемся действовать так же и видим, что в не менее чем 90% случаев разъяснительная работа помогает переключить пользователей на безопасную альтернативу. Обычно кто-то по ошибке вошёл не в ту учётную запись или не знает, какие правила компании определяют, куда можно передавать данные.

Решение о том, что блокировать, в конечном счёте принимает заказчик, и каждая компания проводит эту границу по-своему. Наша задача — дать заказчикам контекст и уверенность, чтобы они могли принять правильное решение. В более сложных случаях с рискованными действиями это означает учитывать контекст, о котором мы говорили ранее, и сопоставлять его с историей действий самого пользователя и даже его коллег.

Ваша карьера охватила несколько этапов: от защиты подключённых устройств в SAM до работы с идентификацией и облачными разрешениями в Polyrize, а теперь — до защиты взаимодействия людей, ИИ-агентов и корпоративных данных в Bold. Как менялось ваше представление о главной границе безопасности на протяжении этих трёх поколений кибербезопасности?

Моё понимание основ стало более чётким. Общий принцип — обеспечивать безопасность там, где происходит действие, и делать это в масштабе.

В SAM мы обеспечили маршрутизаторы корпоративным уровнем защиты, несмотря на крайне ограниченные ресурсы. Это научило нас эффективно переносить передовые технологии на периферийные устройства. В Polyrize мы сосредоточились на защите данных в облачных средах и средах SaaS за счёт обеспечения видимости и управления уровнем защищённости. Понимать, где данные подвержены риску, необходимо, но это не обязательно позволяет предотвратить рискованное действие.

В Bold мы объединили эти уроки. Мы размещаем интеллектуальные средства защиты на конечном устройстве, где люди и ИИ-агенты взаимодействуют с данными, и предоставляем командам безопасности контекст, необходимый для оценки рисков и вмешательства в реальном времени.

Безопасность сетей и облачных сред по-прежнему важна, но конечное устройство позволяет отслеживать действия в настольных приложениях, локальных файлах, личных учётных записях и приложениях-агентах, запущенных на самом устройстве. Я понял, что место и время работы средств защиты не менее важны, чем их интеллектуальные возможности.

Если заглянуть на три-пять лет вперёд, когда сотрудники будут работать бок о бок со всё более автономными ИИ-агентами, во что, по-вашему, превратится корпоративное конечное устройство? Может ли наступить момент, когда каждое устройство фактически будет обладать собственным интеллектуальным уровнем защиты, который непрерывно определяет, каким людям и агентам можно взаимодействовать с теми или иными данными?

Думаю, именно к этому мы и движемся.

Конечное устройство становится интеллектуальным уровнем защиты, который понимает, какие данные на нём хранятся, распознаёт, взаимодействует ли с ними человек или агент, и локально определяет, какие действия допустимы, а какие нет.

Это становится особенно важно по мере того, как агенты обретают всё большую автономность. У одного человека одновременно могут работать несколько агентов, выполняющих задачи с файлами, приложениями и системами компании. Безопасность не может зависеть от того, одобряет ли этот человек каждый шаг: всё чаще он просто не будет за ними наблюдать.

Данные по-прежнему необходимо защищать, но к ним будут обращаться гораздо больше участников, чем один человек за компьютером. Системам безопасности придётся взаимодействовать с агентами, принимать решения и автоматически реагировать по мере совершения действий. Люди, отвечающие за эти системы, будут всё чаще контролировать средства защиты и принимаемые решения, а не проверять каждое отдельное событие. Именно на конечном устройстве можно принимать такие решения, пока данные остаются под контролем компании.

Благодарим за интересное интервью. Читателям, которые хотят узнать больше о защите данных на конечных устройствах и безопасном внедрении ИИ в корпоративной среде, рекомендуем посетить сайт Bold Security.