Sysdig lanserar AI Defense för att styra agenters åtgärder från ändpunkt till moln

Sysdig har lanserat AI Defense, en produkt för körningssäkerhet och styrning som är utformad för att granska vad AI-agenter gör och ingripa när deras åtgärder överskrider en organisations policyer. I tillkännagivandet den 4 november meddelade företaget att produkten nu är allmänt tillgänglig för macOS och Windows. Tanken är att ge insyn som kopplar samman aktivitet på anställdas arbetsstationer med de molnresurser som deras autentiseringsuppgifter ger åtkomst till.

Produkten svarar mot skiftet från AI som producerar svar till AI som hanterar programvara. En kodningsagent kan läsa filer, anropa verktyg, starta processer och ändra infrastruktur. För att säkra det arbetsflödet behöver man förstå både vilken uppgift agenten tror att den utför och vilka operationer som faktiskt pågår i bakgrunden.

Koppla samman agentens avsikt med belägg från operativsystemet

Enligt Sysdig kombinerar AI Defense instrumentering i agentens körmiljö – ramverket som kör agenten – med telemetri från operativsystemet. Instrumenteringen i körmiljön registrerar anrop till verktyg, Model Context Protocol-servrar, färdigheter och insticksprogram, inklusive deras argument och mål. Observationer på systemnivå ger en separat bild av de processer och den aktivitet som anropen leder till.

Skillnaden är viktig när agentens redogörelse är ofullständig eller har manipulerats. En rapporterad verktygsåtgärd kan starta flera processer, och en anslutning eller färdighet som läggs till under en session kan förändra vad agenten kan göra. Sysdig rapporterar en tidig observation av ungefär sju underliggande processer för varje åtgärd i agentloggarna. Det är ett resultat från företaget, inte ett universellt förhållande som gäller alla agenter.

Systemet tar också hänsyn till behörigheter: samma filäsningsåtgärd kan få olika konsekvenser beroende på om den använda autentiseringsuppgiften ger åtkomst till en testmiljö eller administratörsbehörighet i produktionsmiljön. En åtgärdsgraf är tänkt att koppla samman händelseförloppet, den ansvariga personen, agentens uppgivna aktivitet och de resurser som är åtkomliga.

Policyer som tillåter, pausar eller blockerar åtgärder

Organisationer kan börja med policyer i varningsläge innan de aktiverar tillämpning. När de väl tillämpas kan policyerna, enligt Sysdig, blockera ogranskade verktyg och anslutningar, förhindra riskfylld användning av autentiseringsuppgifter eller pausa en åtgärd i väntan på mänskligt godkännande. I lanseringsinformationen beskrivs också hur en process kan avslutas om en åtgärd tar sig förbi en tidigare kontroll.

De här mekanismerna verkar vid olika steg i en körsekvens. Att hindra en operation från att slutföras är något annat än att upptäcka aktivitet och avsluta en process i efterhand. I tillkännagivandet finns ingen offentlig översikt som visar vilka kontroller som förebygger åtgärder på respektive operativsystem, i varje agentmiljö och på varje hanterad plattform som stöds.

Policy mallarna innehåller mappningar till OWASP Top 10 för LLM-applikationer, med undantagsvägar för utvecklare. Sysdig beskriver också sessionsloggar som visar vilken policy som tillämpades, vad som tilläts eller blockerades och vem som godkände ett undantag. Loggarna kan användas i utrednings- och granskningsarbete utan att team behöver återskapa en session efter en incident.

Vad Falco Foundation tillför

Sysdig kopplar produkten till sin historia inom körningssäkerhet för molnbaserade system och till Falco, det projekt med öppen källkod som företaget ursprungligen skapade. Falcos dokumentation beskriver hur verktyget observerar händelser i Linux-kärnan och händelsekällor från insticksprogram, berikar händelser med information om containrar och Kubernetes samt tillämpar regler för att skapa varningar.

Den bakgrunden förklarar varför Sysdig betonar observerad körning i stället för att enbart förlita sig på AI-systemets egen beskrivning. Det innebär inte att Falco-projektet med öppen källkod i sig tillhandahåller alla funktioner för agentstyrning och blockering som beskrivs för AI Defense. Falcos dokumenterade arkitektur för upptäckt och Sysdigs kommersiella produkt bör betraktas var för sig.

I lanseringsinformationen nämns Claude Code, Codex, GitHub Copilot och Cursor bland de agentmiljöer som produkten är avsedd att inventera och koppla till en ansvarig person. Uppgiften om tillgänglighet för macOS och Windows är mer specifik än den bredare beskrivningen av täckning som även omfattar Linux, Kubernetes och hanterade agentplattformar. Organisationer behöver fastställa vilken integration som gäller för varje miljö.

Körningsstyrning kompletterar modelltestning

Sysdigs tekniska diskussion om delat ansvar beskriver kontroller vid körning som ett skyddande lager runt det arbete en agent utför. Den praktiska skillnaden är om man ber en modell att respektera en gräns eller faktiskt upprätthåller den när programvara försöker utföra en operation.

AI Defense presenteras som ett komplement till befintligt ändpunktsskydd, modelltestning och red team-tester. Testning undersöker hur en modell eller ett arbetsflöde beter sig under utvalda förhållanden; körningsstyrning hanterar åtgärder under en faktisk session. Ingen av beskrivningarna visar att en driftsättning är immun mot intrång, och effektiviteten beror på hur policyerna har konfigurerats och hur stor del av körningsvägen som täcks.

Spårbarhet för agentaktivitet och AI-utgifter

Utöver säkerheten säger Sysdig att AI Defense kopplar anrop till modeller till ansvarig agent, team och person, även när aktiviteten inte går via en centraliserad AI-gateway. Det kan hjälpa organisationer att skilja kostsam modellanvändning i rutinärenden från aktivitet som motiverar en mer kapabel modell.

Den bredare idén är ett gemensamt evidenslager för säkerhet, styrning och kostnadshantering. När agenter får tillgång till fler verktyg och arbetar med medarbetares faktiska inloggningsuppgifter avgörs deras påverkan av vad de kan utföra. Sysdig AI Defense ska göra dessa befogenheter synliga och möjliga att upprätthålla i själva handlingsögonblicket.