Noll förtroende måste nu agera i agenthastighet

Företag måste se nollförtroende-säkerhetsarkitektur som ett omedelbart krav för AI-agenter, snarare än ett långsiktigt mål, enligt Andre Durand, VD och grundare av Ping Identity. Nollförtroende, säkerhetsmodellen som bygger på antagandet att ingen användare, enhet eller system automatiskt ska ges förtroende, kräver kontinuerlig verifiering före varje åtgärd istället för en enda kontroll vid inloggning. Agentbaserad AI har komprimerat riskhorisonten som företag måste hantera, vilket kräver att tillståndsbelsut utvärderas i realtid.

Denna kompression visar sig i hur behörigheter ackumuleras. Varje gång en anställd godkänner en AI-agents begäran om åtkomst till en företagskatalog, en databas eller ett kodarkiv, lämnar företaget över en bråkdel av kontrollen. Över tusentals agenter som gör tusentals begäranden ackumuleras dessa godkännanden till en exponering som de flesta befintliga säkerhetsarkitekturer inte byggdes för att mäta.

Durand menar att den ökande efterfrågan på agenter just nu, och deras hastighet, belyser behovet av att snabbare implementera principerna för nollförtroende. En mänsklig kompromettering kan mätas i minuter eller timmar, ibland dagar. I agenthastighet kan tusen handlingar ske på fem minuter. Denna skillnad i hastighet förändrar hur företag måste tänka kring behörigheter. Två variabler är viktiga: tillgångens yta som en agent beviljas och varaktigheten av tillståndet. Traditionell identitets- och åtkomsthantering tenderar att bevilja breda behörigheter och lämna sessioner öppna under längre perioder eftersom den mänskliga användaren rör sig i mänsklig hastighet.

Nollförtroende säger kortfattat "bara tillräckligt, precis i tid". Fokuset ligger på nästa handling, inte enbart på inloggning. Detta skiftar identitetshanteringen från att vara en körtidskontrollpunkt (om man var inloggad) till en beslutsbaserad kontroll. Agenterna bör provisioneras med egna identiteter, inte klonade inloggningar eller delade tjänstekonton. Detta minskar risken med delade hemligheter och API-nycklar som ofta bäddas in i källkod.

Praktisk tillämpning av nollförtroende sker vid "choke points" som API-gateways, där agenters förfrågningar kan inspekteras och policyer tillämpas i realtid baserat på risk och bedrägerisignaler. Målet är att flytta auktorisation från en engångsbeslut vid inloggning till en kontinuerlig utvärdering vid varje handling. Detta täpper till tillitsfönstret till en enskild handling och förhindrar att agenter, som kodningsagenter, ändrar sina egna behörigheter eller kringgår skyddsräcken.