La fiebre del oro AI está encendida. Pero sin seguridad de identidad, todas las implementaciones son puertas abiertas. La mayoría de las organizaciones protegen la IA nativa como aplicaciones web, pero actúan como empleados junior con acceso raíz y sin gerente.
De exagerar a estacas altas
La IA generada se ha movido más allá del ciclo de exageración. Las empresas son:
Automatizar los flujos de trabajo de servicio al cliente con agentes de IA que integran a los agentes de IA para acelerar el desarrollo de software de implementación para los copilotos de LLM
Ya sea que se esté conectando a un edificio con un modelo de código abierto o una plataforma como OpenAi o Humanity, su objetivo es la velocidad y la escala. Pero lo que la mayoría de los equipos extrañan es esto:
Todos los puntos de acceso o sitios web de LLM son nuevos bordes de identificación. Y todas las integraciones agregan riesgo, a menos que la actitud de identidad y dispositivo sea forzada.
¿Qué es el dilema de compra y compra de IA?
La mayoría de las empresas enfrentan decisiones cruciales:
Construir: Crear agentes internos diseñados para sistemas internos y flujos de trabajo Compra: Adoptar herramientas comerciales de IA e integración de SaaS
La superficie de la amenaza no le importa el camino que elija.
Los agentes de construcción personalizados extienden la superficie de ataque interno, especialmente cuando el control de acceso y la segmentación de identidad no se aplican en tiempo de ejecución. Las herramientas de terceros a menudo son mal utilizadas o accedidas por usuarios empresariales con cuentas personales donde existen brechas de gobierno, o en general, usuarios fraudulentos.
Proteger la IA no se trata de algoritmos, se trata de quién (o qué dispositivo) está hablando, qué interacciones desbloquean.
¿Qué está realmente en riesgo?
Los agentes de IA son agentes y pueden actuar en nombre de los humanos y acceder a datos como los humanos. A menudo se incorporan a los sistemas comerciales que incluyen:
Código fuente del repositorio de la bandeja de entrada del repositorio y la nómina de la bandeja de entrada CRM y las plataformas ERP Registros de atención al cliente e historial de casos
Cuando un usuario o dispositivo se ve comprometido, el agente de IA se convierte en datos confidenciales a través de una puerta trasera de alta velocidad. Estos sistemas son altamente privilegiados y la IA amplifica el acceso de los atacantes.
Vectores de amenaza específicos de IA comunes:
Los ataques basados en la identidad, como el relleno y las sesiones de las credenciales, la API LLM dirigida a objetivos de secuestro tiene permisos excesivos y el agente incorrecto con el control de acceso basado en roles (RBAC) es inconsistente en sesiones débiles donde los dispositivos infectados o inestables requieren acciones privilegiadas a través de LLM
Cómo asegurar el acceso a la IA Enterprise
Para eliminar el riesgo de acceso a la IA sin matar la innovación, debe:
RBAC granular para todos los usuarios y dispositivos que acceden a la API de Phishing-ResistantMFA o Agent API se asocia con un papel comercial.
El control de acceso de IA debe evolucionar de una comprobación de inicio de sesión única a un motor de política en tiempo real que refleje la identidad actual y el riesgo de dispositivos.
Lista de verificación de acceso a IA seguro:
No hay secretos compartidos suposiciones de dispositivos de confianza en exceso de agente libre sin impuesto a la productividad
Arreglo: proteja su IA sin ralentizar
No hay necesidad de intercambiar seguridad por velocidad. Con la arquitectura correcta, puedes:
Elimine los supuestos de confianza en todas las capas que bloquean a los usuarios y dispositivos no autorizados de forma predeterminada.
Más allá de la identidad, lo hace posible hoy.
Más allá de la plataforma IAM de identidad, el acceso no autorizado a los sistemas de IA no es posible al hacer cumplir el reconocimiento del dispositivo y el control de acceso continuo que puede resistir los sistemas de IA phishing. No hay contraseña. No hay secretos compartidos. No hay dispositivos que no sean confiables.
Protegue la arquitectura de diseño segura de un agente de IA interno que combina la identificación del usuario y la actitud del dispositivo más allá de la identidad, verificando la autoridad del agente, aplica RBAC en tiempo de ejecución y evalúa continuamente señales de riesgo de EDR, MDM y ZTNA. Por ejemplo, si un ingeniero pierde el acceso completo al disco para la huelga de nubes, el agente bloqueará inmediatamente el acceso a datos confidenciales hasta que se corrija la actitud.
¿Quieres verlo?
Regístrese en Beyond Identity Webinars para explorar cómo el Jefe Global de Seguridad de TI ha construido y asegurado el agente interno de IA Enterprise actualmente utilizado por más de 1,000 empleados. Puede ver una demostración de cómo una de las empresas de más rápido crecimiento de Fortune puede usar controles de acceso vinculados a dispositivos resistentes a phishing para hacer imposible el acceso no autorizado.
Source link
