Przez lata pracy w obszarze bezpieczeństwa wielokrotnie obserwowałam ten sam schemat. Pojawia się nowe zagrożenie, więc dokładamy kolejne zabezpieczenie. Potem następne. W pewnym momencie korzystanie z systemu staje się na tyle uciążliwe, że ludzie zaczynają szukać sposobów na obejście mechanizmów, które miały ich chronić. Autorką artykułu jest Nitika Gupta, Head of Product Security w Snowflake.
Gdy przestrzeganie zasad bezpieczeństwa nadmiernie komplikuje codzienną pracę, zespoły szukają prostszych rozwiązań. Tak powstaje dług technologiczny w obszarze bezpieczeństwa, który z czasem staje się coraz trudniejszy do opanowania. Zamiast budować kolejne przeszkody, powinniśmy projektować systemy, w których bezpieczne postępowanie jest najbardziej naturalnym i najprostszym wyborem. Sztuczna inteligencja może odegrać w tym ważną rolę.
AI podnosi stawkę. Agenci AI są projektowani tak, by samodzielnie szukać sposobów osiągnięcia wyznaczonego celu. Agent może więc wykorzystać uprawnienia, o których administratorzy lub zespoły IT zdążyli już zapomnieć. Problem nie musi sprowadzać się do jednego nieaktualnego uprawnienia. Agent potrafi połączyć kilka pozornie niewielkich luk w różnych systemach, które trudno dostrzec, gdy analizujemy każdy z nich oddzielnie.
Największe zagrożenia rzadko wynikają z samej technologii. Ich źródłem są problemy, które istniały już wcześniej, takie jak zbyt szerokie uprawnienia dostępu, ograniczony wgląd w działanie systemów czy niespójne mechanizmy kontroli. AI sprawia jedynie, że te słabości można wykryć znacznie szybciej.
Nie da się zabezpieczyć tego, czego nie widać
Skuteczne egzekwowanie zasad bezpieczeństwa wymaga przede wszystkim wiedzy o tym, co dzieje się w systemach. Organizacja musi wiedzieć, z jakimi systemami komunikują się agenci AI, jakie dane odczytują i dokąd trafiają rezultaty ich działania.
Warto zacząć od monitorowania aktywności, nawet jeśli firma nie jest jeszcze gotowa na automatyczne egzekwowanie wszystkich zasad. Zebrane informacje pozwolą w pierwszej kolejności wyeliminować luki stwarzające największe ryzyko, a następnie stopniowo rozszerzać zakres zabezpieczeń.
Zespoły ds. bezpieczeństwa muszą nadążać za tempem działania sztucznej inteligencji. Nie będzie to możliwe bez wykorzystania automatyzacji i AI do analizy zdarzeń, wykrywania anomalii oraz identyfikowania sytuacji wymagających oceny człowieka. Model bezpieczeństwa, którego skuteczność zależy od tego, czy pracownicy nigdy nie popełnią błędu, nie sprawdzi się w praktyce. Skoro agenci AI mogą samodzielnie wykonywać coraz więcej zadań, również systemy ochrony muszą działać automatycznie i radzić sobie z rosnącą skalą ich działania.
Nie wystarczy zabezpieczyć modelu
Dyskusja o bezpieczeństwie AI często skupia się na samych modelach. Tymczasem to tylko jeden z elementów znacznie większego systemu. Model korzysta z danych, aplikacji i narzędzi, działa w ramach przyznanych mu uprawnień i komunikuje się z innymi systemami. Dlatego ocena bezpieczeństwa nie może ograniczać się do jego możliwości. Równie ważne jest to, jakie dane może odczytywać i jakie operacje jest w stanie wykonywać.
Wiele organizacji wciąż pracuje nad stworzeniem odpowiednich podstaw w zakresie zarządzania danymi i nadzoru nad nimi. W badaniu Snowflake „2026 ROI of Gen AI and Agents” 65 proc. respondentów uznało likwidowanie silosów danych i przygotowanie danych do wykorzystania przez AI za trudne lub bardzo trudne. Z kolei 56 proc. wskazało co najmniej jedno wyzwanie związane z zarządzaniem danymi lub zgodnością z regulacjami.
Im bardziej złożone środowisko, tym trudniej ustalić, kto ma dostęp do konkretnego zbioru danych i jakie działania może na nim wykonywać.
Dziś atakujący może w bardzo krótkim czasie przeanalizować takie środowisko na dużą skalę. Dokładanie kolejnych warstw zabezpieczeń nie rozwiąże jednak problemu rozproszonych i niespójnych zasad dostępu. Lepszym kierunkiem jest ich ujednolicenie i egzekwowanie mechanizmów kontroli bezpośrednio tam, gdzie znajdują się dane.
Bezpieczeństwo musi być bliżej danych
Podstawą podejścia zero trust jest zasada ograniczonego zaufania. Żaden użytkownik ani system nie powinien automatycznie otrzymywać dostępu do zasobów. W przypadku agentów AI samo potwierdzenie ich tożsamości nie wystarczy. Równie ważne jest określenie, z jakich danych mogą korzystać, w jakim celu i przez jaki czas.
Solidny model bezpieczeństwa zaczyna się od odpowiedniego zarządzania danymi. Zasady dostępu i nadzoru powinny być stosowane spójnie w różnych środowiskach, niezależnie od tego, gdzie dane są przechowywane i jakie narzędzia służą do ich odczytu czy analizy. Na tej zasadzie opiera się Snowflake Horizon Catalog, który zapewnia wspólną warstwę zarządzania danymi zarówno w środowisku Snowflake, jak i poza nim.
W praktyce oznacza to konieczność nadawania każdemu agentowi AI konkretnych uprawnień oraz zapewnienia możliwości śledzenia i audytowania jego działań. Agent powinien być rozpoznawany jako odrębny podmiot w systemie, a nie jedynie jako narzędzie działające na koncie użytkownika i korzystające ze wszystkich jego uprawnień.
Agenci AI będą coraz częściej korzystać z modeli i danych pochodzących od różnych dostawców. Zamiast zarządzać każdym takim połączeniem osobno, organizacje potrzebują jednego, spójnego sposobu egzekwowania zasad i obserwowania aktywności. Snowflake Cortex AI Gateway jest jednym z przykładów takiego podejścia.
Agent nie potrzebuje wszystkich uprawnień użytkownika
Pracownik może przez kilka lat zgromadzić dostęp do wielu systemów. Jedne uprawnienia dostał przy okazji projektu, inne po zmianie roli, a część nigdy nie została usunięta. Człowiek zwykle rozumie, że do konkretnego zadania potrzebuje tylko części z nich. Agent AI nie ma takiej intuicji. Dlatego nie powinien automatycznie otrzymywać wszystkich uprawnień przypisanych do użytkownika. Jeśli może korzystać z dwunastu systemów, choć zadanie wymaga dostępu tylko do dwóch, pozostałe dziesięć stanowi niepotrzebne ryzyko. Agent nie musi robić niczego niepożądanego celowo. Po prostu może wykorzystać dostęp, którego nigdy nie powinien otrzymać.
Dlatego dostęp agenta powinien być przyznawany wyłącznie na potrzeby konkretnego zadania i ograniczony do niezbędnych zasobów. Po zakończeniu pracy wykorzystywane przez niego dane uwierzytelniające powinny automatycznie wygasać. Egzekwowanie takich ograniczeń również powinno odbywać się automatycznie, bez konieczności ręcznej kontroli każdej operacji.
Sam mechanizm „human in the loop” również ma swoje ograniczenia. Jeśli użytkownik dostaje do zatwierdzenia techniczne działanie bez wystarczającego kontekstu, często zaakceptuje je po prostu po to, żeby kontynuować pracę. Gdy takie komunikaty pojawiają się regularnie, ludzie przestają je czytać. Formalnie istnieje więc mechanizm nadzoru, ale jego rzeczywista skuteczność jest niewielka.
Znacznie lepszym rozwiązaniem jest angażowanie człowieka wyłącznie w sytuacjach, w których może świadomie ocenić ryzyko i podjąć decyzję na podstawie odpowiednich informacji. Jeśli agent działa w ramach wcześniej określonych zasad, nie powinien potrzebować zatwierdzenia każdej czynności. Natomiast próba wyjścia poza ustalone granice powinna automatycznie wstrzymywać działanie aż do uzyskania zgody osoby uprawnionej do oceny danego wyjątku.
Zmienia się skala, nie zasady
Sztuczna inteligencja pozwala znacznie szybciej wykrywać i wykorzystywać luki w zabezpieczeniach. Nie oznacza to jednak, że aktualne zasady cyberbezpieczeństwa straciły na znaczeniu.
Najskuteczniejsze podejście nie polega na mnożeniu ostrzeżeń, dodatkowych potwierdzeń i procedur utrudniających pracę użytkownikom. Polega na takim projektowaniu systemów, aby mechanizmy ochrony były integralną częścią ich działania, dzięki czemu bezpieczna ścieżka działania staje się jednocześnie tą najprostszą.
