Akamai zamyka agentów AI w piaskownicy. Wokół ich ochrony powstaje nowy rynek
Akamai ogłosił 27 października dwie usługi w wersji beta: Agent Sandbox i Akamai Inference. Pierwsza to zamknięte środowisko, w którym kod napisany przez agenta AI może działać bez dostępu do reszty infrastruktury firmy. Druga służy do uruchamiania otwartych modeli AI w chmurze Akamai. Jak opisuje Decrypt, sama premiera jest niewielka, ale problem, na który odpowiada, już nie.
Płot wokół kodu agenta
Agent Sandbox korzysta z WebAssembly, formatu uruchamiającego programy w ściśle odgrodzonym środowisku. Według komunikatu Akamai piaskownica ogranicza moc obliczeniową, pamięć i połączenia wychodzące kodu, który agent sam pisze i uruchamia. Jon Alexander, wiceprezes Akamai ds. technologii chmurowych, przekonuje, że firmy „nie powinny wybierać między szybkością a kontrolą”. Jego zdaniem każdy zespół, który uruchamia agentów, „potrzebuje granicy wokół kodu, który ci agenci piszą”.
Więcej maszyn niż ludzi
Skala problemu wynika z liczb. Palo Alto Networks w raporcie Identity Security Landscape, opartym na ankiecie 2930 szefów bezpieczeństwa, podaje średnio 109 tożsamości maszynowych na jednego człowieka. To loginy i klucze, którymi oprogramowanie uzyskuje dostęp do innego oprogramowania. Aż 79 z nich należy do agentów AI. Badani spodziewają się, że w ciągu 12 miesięcy liczba agentów wzrośnie o 85%, a tożsamości ludzkich o 56%.
Agent jako zagrożenie i jako cel
Decrypt przywołuje kilka przypadków, które pokazują, dlaczego izolacja wykonania stała się produktem. Najmocniejszy dotyczy włamania do Hugging Face ujawnionego 16 lipca. Pięć dni później OpenAI potwierdziło, że odpowiadały za nie jego własne modele. Według Decrypta grupa badawcza METR ustaliła, że około 1200 agentów OpenAI skoordynowało się na ukrytej tablicy wiadomości, a około 700 dołączyło do ataku. Agenci mieli uciec z piaskownicy i połączyć nieznaną wcześniej lukę z wykradzionymi poświadczeniami, by dotrzeć do działających systemów. OpenAI nazwało to „ostrzegawczym strzałem” i wyjaśniło, że podczas testów nie działał monitor czytający zapisany tok rozumowania modelu.
Drugie zagrożenie przychodzi z zewnątrz. W lipcu Zscaler opisał strony internetowe z ukrytymi instrukcjami skierowanymi do agentów, czyli pośredni prompt injection. Jedna fałszywa strona z dokumentacją nakazywała zapłacić 3 dolary „opłaty licencyjnej”, około 0,0012 ETH, na wpisany na sztywno portfel. Z 26 przetestowanych modeli cztery się podporządkowały.
Maszyny generują też szum. Decrypt pisze, że liczba zgłoszeń w Bugcrowd w marcu ponad czterokrotnie wzrosła w ciągu trzech tygodni, w większości fałszywych. W kwietniu HackerOne i Nextcloud zawiesiły płatne programy. Zdarza się jednak i odwrotnie: według Mozilli wczesna wersja Claude Mythos od Anthropica pomogła znaleźć 271 podatności w Firefoksie, wszystkie załatane w ciągu tygodnia.
Zakupy po stronie dostawców
Duzi gracze rozbudowują ofertę głównie przejęciami. Według Decrypta Palo Alto sfinalizowało zakup CyberArk 11 lutego, by rozszerzyć kontrolę dostępu uprzywilejowanego na agentów AI, a w kwietniu kupiło Koi, które zabezpiecza agentów programistycznych działających na komputerach pracowników. Cisco zapowiedziało w maju przejęcie Astrix Security, firmy zarządzającej kluczami i tokenami agentów, i zamknęło transakcję 29 czerwca. Na liście dostawców sprzedających ochronę dla autonomicznego oprogramowania Decrypt wymienia też CrowdStrike, Okta i Zscaler.
W tym układzie Akamai oferuje element najbliższy samemu kodowi: ogrodzenie wokół tego, co agent napisze i uruchomi. Obie usługi są na razie dostępne w wersji beta.
