Il whitepaper di Anthropic si apre con una dichiarazione che incornicia il passato e il presente dell'AI e della sicurezza dei dati: “Le difese di cybersecurity basate sul perimetro non riescono a tenere il passo con le minacce moderne, e le minacce stesse stanno accelerando.”
La prima parte è vera da anni. L'ingegneria sociale ha sostituito il malware come metodo di attacco preferito. Le credenziali rubate sono un fattore determinante nell'86% delle violazioni, poiché aggirano completamente le difese di sicurezza informatica basate sul perimetro.
La seconda metà sta diventando realtà ora. L'intelligenza artificiale sta accelerando le minacce — offrendo agli aggressori più strumenti per scalare l'ingegneria sociale, ed esponendo l'estensione del blast radius, il volume totale di dati che una singola identità compromessa può raggiungere. Gli agenti aggirano i controlli delle applicazioni che un tempo si frapponevano tra identità e dati, connettendosi direttamente a database, API e data stores e accedendo ai dati alla velocità della macchina.
La risposta di Anthropic è applicare lo Zero Trust agli agenti.
I sei pilastri del modello Zero Trust di Anthropic
La filosofia dello Zero Trust — non fidarsi di nulla, verificare tutto, presumere che una violazione sia già avvenuta — è una filosofia di sicurezza applicata fin dai primi anni '90. È una linea base comprovata. Anthropic sostiene che il principio necessita di una nuova forma per i sistemi agentici: "identità radicate crittograficamente, autorizzazioni definite per compito, memoria protetta contro l'avvelenamento e operazioni difensive che si muovono alla velocità di attaccanti autonomi."
Il whitepaper delinea un framework pratico organizzato attorno a sei pilastri fondamentali:
- Identità e autenticazione degli agenti: passare dall'identità umana/utente all'identità dell'agente con radici crittografiche. Ogni agente deve portare con sé una prova verificabile di ciò che è, chi l'ha distribuito e che autorizzazioni ha.
- Controllo degli accessi e gestione dei privilegi: sostituire l'accesso basato sul ruolo con permessi definiti per ogni singolo compito. Un agente autorizzato a leggere un database per una query non dovrebbe mantenere quell'accesso per la query successiva.
- Osservabilità e audit: registrazione e monitoraggio completi del comportamento degli agenti, delle chiamate agli strumenti e dell'accesso ai dati.
- Monitoraggio comportamentale e risposta: analisi continua delle azioni degli agenti per rilevare pattern anomali, dannosi o non conformi, il tutto alla velocità di una macchina, non alla velocità umana.
- Validazione dell'input e controlli dell'output: difese contro l'iniezione di prompt, l'avvelenamento degli strumenti e la perdita di dati a ogni confine degli agenti.
- Integrità e recupero: proteggere la memoria degli agenti dall'avvelenamento e garantire che i sistemi possano riprendersi da una compromissione.
Anthropic identifica anche le minacce specifiche che differenziano gli agenti dall'IT tradizionale: iniezione di prompt, avvelenamento degli strumenti, abuso di identità e privilegi, avvelenamento della memoria e attacchi alla catena di fornitura.
Queste non sono teorie. I modelli di Frontier AI sono già in grado di concatenare diverse vulnerabilità e generare exploit funzionanti nel giro di poche ore, riducendo drasticamente i tempi che in passato erano di mesi.
Flussi di attacco come “Reprompt” vengono già utilizzati per mettere i sistemi di intelligenza artificiale contro le organizzazioni che li implementano. Abdiel Santos, specialista in attacchi AI presso Varonis, ha recentemente condotto un laboratorio di attacchi AI dimostrando come il comportamento dei chatbot e degli agenti possa essere sfruttato per compiere azioni non autorizzate.
Il framework di Anthropic mappa questi sei pilastri fondamentali in tre livelli di maturità, Foundation, Advanced e Optimized, e delinea un flusso di lavoro di implementazione in otto fasi che copre identità, ambito di accesso, sandboxing, controlli input/output e salvaguardie della memoria. Introduce anche il concetto di Agentic SOAR: orchestrazione della sicurezza, automazione e risposta che funzionano abbastanza velocemente da competere con attaccanti accelerati dall'AI.
È un punto di partenza ben organizzato e utile per qualsiasi organizzazione che impiega agenti. Vi invitiamo a leggerlo.
Il quadro normativo è solido. L'applicazione è ciò che conta.
Il framework “Zero Trust for AI Agents” di Anthropic definisce il cosa. La domanda successiva che ogni organizzazione dovrebbe porsi è: “Come?” Come si fa, concretamente, ad applicare il modello Zero Trust per gli agenti AI in un ambiente di intelligenza artificiale esteso ed eterogeneo?
Condividiamo la convinzione di Anthropic che la sicurezza dell'AI richieda un approccio fondamentalmente diverso. Come ha scritto David Gibson, nostro SVP dei programmi strategici: l'AI non crea nuovi rischi sui dati, bensì amplifica quelli esistenti. Le autorizzazioni eccessive che sono rimaste dormienti per anni diventano critiche quando un agente le eredita. I dati sensibili che erano teoricamente accessibili diventano di fatto esposti quando un agente AI è in grado di individuarli, analizzarli e agire di conseguenza in pochi secondi.
La risposta iniziale dell'industria della sicurezza è stata quella di aggiungere controlli specifici per l'AI agli stack esistenti: filtri di prompt, scanner di modelli e inventari autonomi. Questi affrontano il livello dell'AI, ma trascurano il livello dei dati. Ed è nel livello dei dati che si verificano i danni.
È qui che entra in gioco Varonis Atlas.
Come Varonis Atlas applica lo Zero Trust agli agenti AI
Varonis Atlas è una piattaforma di sicurezza AI completa. Con Atlas, le organizzazioni dispongono delle capacità necessarie per applicare lo Zero Trust agli agenti AI durante l'intero ciclo di vita della sicurezza.
Ecco in che modo Atlas si inserisce nel framework delineato da Anthropic, e in quali ambiti va oltre.
Scoperta: inventario AI e shadow AI
Non puoi imporre il minimo privilegio agli agenti che non sai che esistono. Atlas scopre continuamente sistemi di AI su cloud, SaaS, repository di codice e piattaforme di AI, inclusa la shadow AI, per costruire un inventario completo e vivente di agenti, modelli e il loro accesso ai dati.
La scoperta è fondamentale. La postura non può valutare ciò che non è noto. Il monitoraggio non può controllare ciò che non è visibile. La governance non può controllare ciò che non è documentato.
Valutazione: gestione del livello di sicurezza AI (AI-SPM, AI Security Posture Management)
Anthropic richiede una valutazione continua delle configurazioni, permessi e dipendenze degli agenti. Atlas AI-SPM fa questo tramite agenti, chatbot e modelli, identificando vulnerabilità, configurazioni errate e rischiose esposizioni di dati.
La differenza sta nel contesto dei dati. Sapere che un agente può accedere a SharePoint è una cosa. Sapere che può accedere a milioni di documenti sensibili è un'altra cosa. Quel contesto trasforma la postura in una vera valutazione del rischio.
Applicazione: misure di sicurezza per gli ambienti di esecuzione AI
La sola visibilità non equivale a zero trust. Atlas applica misure di sicurezza in tempo reale tramite un gateway AI nel percorso delle richieste, ispezionando prompt, risposte e azioni degli agenti prima che raggiungano i modelli o i sistemi a valle. Questi controlli bloccano l’esposizione di dati sensibili e comportamenti non sicuri, senza richiedere modifiche alle applicazioni sottostanti.
Poiché Atlas comprende il flusso di esecuzione e le catene di strumenti, va oltre il semplice filtraggio delle parole chiave per bloccare le fughe indirette e gli attacchi basati sul concatenamento di strumenti, come quelli descritti nel framework di Anthropic.
Governance: conformità AI e rischio di terze parti
Anthropic enfatizza l'allineamento della conformità. Atlas lo mette in pratica. Atlas mappa i sistemi di AI a framework come l'EU AI Act e il NIST AI RMF con prove pronte per audit provenienti da attività in tempo reale, risultati di postura e registri di esecuzione.
Zero Trust si estende anche oltre i sistemi interni. Atlas valuta continuamente i fornitori di AI terzi, combinando inventari, questionari e distinte materiali AI per identificare e gestire il rischio esterno.
Monitoraggio: monitoraggio, rilevamento e risposta all'attività dell'AI
Anthropic sottolinea l’importanza fondamentale dell’osservabilità. Atlas offre una visibilità completa sul comportamento dell’AI in produzione, registrando i prompt, le risposte, le azioni degli agenti e l’accesso ai dati.
AI Detection & Response identifica comportamenti pericolosi o dannosi in tempo reale e interviene: avvisando, bloccando e integrando con i flussi di lavoro SIEM e SOAR per abilitare la risposta alla velocità della macchina.
Test: penetration test con AI
Gli agenti sono dinamici. Una volta che un agente è in circolazione, emergono delle lacune anche con controlli ben congegnati.
Atlas testa costantemente i sistemi AI con prompt dannosi e simulazioni di attacchi reali, tra cui l’iniezione di prompt e le tecniche di jailbreak. I risultati vengono integrati direttamente nei meccanismi di protezione e nelle politiche, chiudendo il ciclo che va dal test alla protezione.
Lo Zero Trust per gli agenti AI richiede il contesto dei dati
Un aspetto che il framework di Anthropic lascia necessariamente agli sviluppatori: il livello dei dati. Il framework si occupa del comportamento degli agenti, dell’identità e del controllo degli accessi, ma la sicurezza AI senza sicurezza dei dati non affronta il vettore di rischio più significativo.
Un agente può superare ogni controllo Zero Trust — autenticato, autorizzato, definito, monitorato — e comunque accedere silenziosamente a quattro milioni di record dei clienti perché i dati sottostanti sono sovraesposti.
Poiché Atlas è costruito sulla Varonis Data Security Platform, porta un contesto di dati che gli strumenti di sicurezza AI autonomi non possono eguagliare. Valutazione della postura con contesto di dati reali. Parametri di sicurezza basati sulla classificazione. Monitoraggio arricchito con identità e sensibilità. Prove di conformità che includono il data lineage, non solo i metadati del sistema AI.
Lo Zero Trust per gli agenti AI è un framework solido. Applicarlo richiede la protezione sia dell'AI che dei dati che la alimenta.
Nota: questo blog è stato tradotto con l'aiuto dell'AI e corretto da un traduttore umano.
