Con gli agenti AI, nasce una nuova categoria di rischio dipendenti

Aspetti chiave da ricordare 

• Gli agenti di AI stanno dando vita a una nuova forza lavoro digitale, aumentando rapidamente il numero di identità non umane che accedono a dati sensibili. 

• Man mano che l'AI diventa più autonoma, la sicurezza deve passare dal controllo degli accessi al controllo di azioni e intenti. 

• Occorre quindi un livello di sicurezza incentrato sui dati che applichi le policy, riduca i rischi e consenta un'adozione sicura dell'AI. 

Agenti AI: il nuovo rischio legato ai dipendenti digitali

Nella cybersecurity, il rischio maggiore è sempre stato legato all'errore umano, che apre la strada alle violazioni attraverso identità compromesse e accessi eccessivi a dati sensibili. Ora, immaginiamo un dipendente che lavora senza sosta e senza supervisione, ha accesso ad archivi di dati privati e agisce senza autorizzazione. Benvenuti nell'era degli agenti AI, una nuova categoria di dipendenti digitali che sta cambiando attivamente il panorama delle minacce interne. 

Gli agenti AI stanno trasformando attivamente i modi in cui può nascere un rischio. Prendiamo il caso di PocketOS, ad esempio. Una mattina, il fondatore si è svegliato e ha scoperto che Cursor, uno strumento di programmazione, aveva di fatto cancellato l'azienda, inclusi il database e tutti i backup. E non aveva agito con intento malevolo: semplicemente, aveva rilevato una discrepanza durante l'esecuzione di un'attività di routine, e disponeva sia dell'iniziativa che dell'autonomia per prendere una decisione dalle conseguenze disastrose. 

Proteggere l'AI richiede un approccio fondamentalmente diverso, che crei ulteriori guardrail, fornisca visibilità sull'accesso ai dati e stabilisca se una determinata azione deve essere eseguita o meno. Per comprendere prima di tutto il rischio insito negli agenti AI, è importante analizzare come questi si comportano negli ambienti aziendali.

Gli agenti AI agiscono autonomamente sui dati 

Gli agenti AI sono più intelligenti rispetto ai precedenti modelli di intelligenza artificiale, e anche più autonomi. Hanno accesso ai sistemi di dati aziendali, e decidono come utilizzarli e quali azioni intraprendere successivamente. Ciò significa che il rischio emerge non solo più velocemente, ma anche in modi del tutto nuovi. 

Quando le azioni vengono eseguite alla velocità e sulla scala delle macchine, anche piccoli errori o configurazioni errate possono avere effetti sproporzionati. Ecco perché i tradizionali controlli statici non sono sufficienti in un ambiente guidato dall'AI.

Gli agenti di AI operano senza sufficienti guardrail 

Gli agenti AI eseguono i compiti in modo affidabile. Ma non sono in grado di comprendere il rischio o le policy. Senza guardrail coerenti, gli agenti operano sulla base di un contesto incompleto o non corretto, soprattutto quando interagiscono con grandi volumi di dati aziendali ed esterni. 

Fare affidamento solo sulle misure di sicurezza del modello non è sufficiente. Le organizzazioni necessitano di controlli a livello di dati che applichino le policy a tutte le identità e i sistemi in tempo reale, indipendentemente dal comportamento degli agenti. 

Non è possibile misurare il rischio legato all'AI senza accesso ai dati

Senza visibilità sull'accesso ai dati, è impossibile misurare appieno il rischio AI, o comprendere il possibile impatto delle azioni di un agente. Proteggere i dati aziendali nell'era dell'AI agentica significa passare da un approccio basato sugli accessi a un approccio basato sulle azioni. In altre parole, occorre chiedersi come vengono utilizzati i dati e se tali utilizzi sono opportuni nel contesto X o Y.

La sicurezza deve passare dall'accesso all'intento

I sistemi di AI agentica operano in maniera dinamica, prendendo decisioni e agendo a velocità senza precedenti. Le policy statiche e i controlli predefiniti non sono più sufficienti. Proteggere l'AI richiede un approccio incentrato sui dati che metta insieme sensibilità dei dati, autorizzazioni, identità e attività per determinare se un'azione debba essere consentita o meno. Senza queste informazioni di contesto, le organizzazioni non possono valutare in modo affidabile il rischio, né fermare comportamenti non sicuri prima che i dati sensibili vengano esposti. Ecco perché la sicurezza deve ripartire dai dati stessi. 

Le organizzazioni che avranno successo in questa nuova era saranno quelle che garantiranno un'adozione dell'AI sicura, conforme e affidabile.

 Nota: questo blog è stato tradotto con l'aiuto dell'AI e corretto da un traduttore umano.