Ramutė Varnelytė, VD för IPXO – Intervju-serie

Ramutė Varnelytė, VD för IPXO, har över 15 års erfarenhet av kommersiellt ledarskap och utsågs till att leda företaget i början av 2025. I sin roll driver hon strategisk tillväxt, operativ excellens och marknadspositionering, vilket säkerställer att IPXO förblir i framkanten av innovation inom IP-adressuthyrning och hantering.

IPXO, som står för Internet Protocol Exchange Organization, grundades 2021 för att hantera den globala bristen på IPv4-adresser genom att skapa en dynamisk plattform för uthyrning och montering. Det har vuxit till världens största fullt automatiserade marknadsplats för IP-adressuthyrning. Plattformen stöder miljontals IP-adresser globalt, med starka relationer till regionala internetregister och en mission att bygga ett enhetligt och effektivt IP-ekosystem.

Vi kommer att diskutera hur IPXO använder beteendebaserad riskprofilerings- och maskinlärningstekniker för att skilja mellan ofarlig AI-automatisering och skadlig botaktivitet. Samtalet kommer att utforska ökningen av AI-agenter i internettrafik, ISP:s cyberhot och strategier för att balansera säkerhet med operativ effektivitet.

Vilka trender ledde till din slutsats att AI-agenter – snarare än bara skrapningsbotar – nu dominerar trafikmönster i många organisationer?

Botar finns överallt nu, och de överträffar mänsklig trafik avsevärt. Mer än en tredjedel av bottrafiken består av den så kallade “dåliga bot”-andelen, som bidrar till många skadliga aktiviteter. Trenden är tydlig i olika incidentrapporter: när företag undersöker ovanlig eller skadlig trafik, konstiga toppar i API-användning eller andra oregelbundenheter, visar bevisen att många av dessa automatiserade system beter sig mer som AI-agenter, eftersom de utger sig för att vara olika webbläsare eller enheter (user-agent-spoofing), snabbt byter IP-adresser (snabb IP-rotation), är inkonsekventa när de jämförs med typisk skrapningsbotaktivitet och liknande. I grund och botten pekar den ren volymen av trafik, samt den ökade komplexiteten i deras handlingar, på AI-agenter snarare än enkla botar.

Vilka beteendesignaler används för att bygga IP-riskprofiler – såsom begärandefrekvens, rubriker eller geografiska mönster?

Det är möjligt att utvärdera en IP:s “ryktespoäng” utan att ens titta på den faktiska innehållet i begärandena, utan bara genom att observera hur den beter sig i nätverket. Dessa oregelbundna mönster är “innehållsagnostiska”, vilket betyder att du inte behöver faktisk data. Metadata och specifikt beteende är tillräckligt för att utvärdera IP-riskprofilen. Detta fungerar också i stor skala, eftersom misstänkt beteende inte döljs av modern kryptering som TLS 1.3 eller ECH. Det finns fortfarande ganska mycket observerbar data som inte krypteras.

Hur skiljer din system på ofarlig AI-automatisering och skadlig aktivitet som skrapning, botnät eller lösenordsfyllning – särskilt utan att inspektera innehållet i nyttolasten?

Det är viktigt att överväga hur automatiseringen beter sig under en viss tid, inte bara vad innehållet den begär. De “bra” botarna är vanligtvis mycket förutsägbara, har en viss struktur och steg de följer. Skadliga botar, å andra sidan, hoppar ofta runt oförutsägbart, använder engångsidentifierare, håller ett stelt “maskinliknande” tempo och sprider begäranden över många servrar för att undvika upptäckt. Det handlar om utökad beteendemodellering, utvärdering av hur den rör sig runt på webbplatsen över tid.

Kunde du förklara hur befintliga ISP:er kämpar för att hantera ökande proxytrafik samtidigt som de upprätthåller starka försvar mot cyberattacker?

Modern protokoll döljer mer anslutningsinformation för ökad integritet, så det blir svårare och dyrare för ISP:er att utvärdera trafiktypen och klassificera den korrekt. Eftersom det är svårare att se vad som finns inuti, förlitar sig ISP:er mer på trafikens beteende, inte innehållet. Kampen ligger i den tvingade förändringen av att ändra sina metoder från att förlita sig mest på trafikinspektion, som har ökat driftskostnaderna, och integrera nya hotinformationsverktyg för att passa den nya metoden.

Vilka är de cyberhot som ISP:er står inför om de löser restriktioner för att anpassa AI-agenttrafik?

Att lösa filter kan minska falska positiva och friktion för att hålla agenterna igång smidigt. Men detta kan också potentiellt öka antalet hot och attacker, eftersom “dåliga bot”-andelen redan utgör en betydande del av trafiken. Lösa filter motsvarar högre risker. En sätt att kompromissa mellan de två vore en riskbaserad grindansats. Till exempel, om det finns misstänkt trafik, kunde den första steget vara att sakta ner den, snarare än att blockera den helt. Mer nyanserade kontroller behöver ställas in.

Vilka kärnteknologier driver er realtidsriskbedömning – använder ni maskinlärning, hotinformationsflöden eller beteendeanomalidetektion?

Vi använder en sund mix av direkt dataövervakning och utvärdering, maskinlärning och olika hotinformationsverktyg. Målet är att snabbt upptäcka eventuella oregelbundenheter i beteende, förstå trafikens avsikt och om det finns skäl att tro att den är skadlig; om ja – flagga högriskfall och hantera dem på lämpligt sätt.

Hur integrerar din system med befintliga ISP- eller företags SOC-arbetsflöden – kan den utlösa varningar eller åtgärder automatiskt?

Ja, vårt system skickar varningar till befintliga arbetsflöden, samt blockerar vissa hot på nätverksnivå. Det kan köras i olika lägen, beroende på risktolerans.

Har denna profileringsmetod avslöjat några överraskande attackmönster eller missbruk under tidig testning eller distribution?

Ja, det har funnits ganska många. Ett exempel inom branschen kunde vara “hallucinationscrawl”, när LLM:er uppfinner icke-existerande URL:er och sedan försöker hämta dem. Eller plötsliga ökningar av begäranden, som upprepas exakt vid samma tidsintervall, som 15 minuter eller en timme. Alla dessa mönster är användbara för oss att ytterligare förfinansiera beteendespårning och minska falska positiva.

Vilka är de privata och säkerhetsmässiga implikationerna av att bygga beteendebaserade profiler utan att inspektera krypterat innehåll – särskilt under globala dataskyddslagar?

Beteendemetadata kan anses vara personuppgifter, men det finns undantag, till exempel om intresset är legitima, kan motiveras och är nödvändiga för säkerhetsövervakning. Det sagda, intresset för att komma åt och den mängd data som behålls måste vara proportionerliga till de risker som utvärderas.

Hur förhindrar ni falska positiva från att flagga ofarlig automatisering, som forskningscrawlers eller vitlistade AI-agenter, som cyberhot?

Vi testar nya skydd och regler innan vi distribuerar dem, utvärderar flera signaler innan vi vidtar någon åtgärd, använder också mjuka utmaningar först för att testa trafikens legitimitet, snarare än att blockera den direkt. Det är en flerskiktad kontroll, som ständigt förfinansieras.

Tack för det utmärkta samtalet, läsare som vill lära sig mer kan besöka IPXO.