Az Agentic AI biztonságossá tétele
Az AI-t sebességre és cselekvésre tervezték. Ez az ígérete – és egyben a legnagyobb kockázata is. Amikor a gyorsaság és a cselekvés a legfontosabb, a biztonság könnyen háttérbe szorul. Megfelelő kontrollok nélkül az agentek pénzt utalhatnak át. Felügyelet nélkül hozzáférhetnek nemzetbiztonsági rendszerekhez. Megfelelő korlátozások hiányában pedig betegadatokhoz is hozzáférhetnek.
Egyes szervezetek megengedhetik maguknak, hogy a gyorsaság érdekében kompromisszumot kössenek a biztonság terén. A pénzügyi rendszert fenntartó intézmények, a kormányzatok és a kritikus infrastruktúrák üzemeltetői azonban nem.
Az RSA Agent ID egy agentic identity security platform, amelyet a szigorúan szabályozott szervezetek igényeire fejlesztettek. A megoldás felderíti, biztonságossá teszi és irányítás alá vonja az agenteket a public és private cloud környezetekben, az on-premises infrastruktúrákban, valamint az air-gapped környezetekben is. A policy-k kikényszerítése az általad telepített, saját biztonsági határaidon belül működő AI/MCP Gateway-en keresztül történik.
Te határozod meg, mely műveletek nem hajthatók végre hitelesítetten, elszámoltatható módon, emberi jóváhagyás nélkül. Az RSA Agent ID emellett felügyeletet és auditálható, szabályozási megfelelőséget alátámasztó bizonyítékokat biztosít minden agentműveletről, sessionről és hívásról.
Az RSA által kiszolgált, magas biztonsági követelményekkel működő szervezetek számára az AI biztonságának elmulasztása nem egyszerű kellemetlenség. Katasztrofális következményekkel járhat. Az agentek jelentette kockázatok egyszerűen túl nagyok ahhoz, hogy figyelmen kívül hagyjuk őket.
Az agentic AI biztonsági kockázatai
Az agentic korszak megérkezett: a szervezetek agenteket vezetnek be a produktivitás növelése, a versenytársak követése és a növekvő igények kielégítése érdekében. Sok szervezet azonban három alapvető kérdésre sem tud választ adni:
• Milyen agentek működnek a környezetünkben?
• Ki felelős az egyes agentekért?
• Meg tudja őket állítani bárki?
Ez a hiányosság új kockázatokat, nagyobb pénzügyi veszteségeket és jelentős üzletmeneti fennakadásokat eredményez. Azok a szervezetek, amelyek nem rendelkeznek átfogó képpel az agentjeikről, már most komoly pénzügyi és operatív kockázatoknak vannak kitéve.
A shadow AI-hoz – vagyis a munkavállalók által a vállalat tudta és felügyelete nélkül használt, nem engedélyezett AI-eszközökhöz – kapcsolódó adatvédelmi incidensek aránya 2025 és 2026 között több mint kétszeresére, 20 %-ról 43 %-ra emelkedett.
A shadow AI felderítése egyre nehezebbé válik. A Gartner felmérése szerint a szervezetek 69 %-a gyanítja, vagy már bizonyítékkal is rendelkezik arra vonatkozóan, hogy a munkavállalók tiltott AI-eszközöket használnak.
A National Cybersecurity Alliance adatai szerint a munkavállalók 43 %-a elismerte, hogy a munkáltatója tudta nélkül osztott meg bizalmas munkahelyi információkat AI-eszközökkel.
A probléma az agentek számának növekedésével tovább súlyosbodik. A Gartner előrejelzése szerint 2028-ra egy tipikus Global 500 vállalatnál 150 000 agent működik majd, szemben a 2025-ös kevesebb mint 15-tel.
A shadow AI jelentős költségeket róhat a szervezetekre. Az ilyen incidensek átlagos költsége 5,39 millió dollár, ami 400 000 dollárral meghaladja az adatvédelmi incidensek 4,99 millió dolláros átlagköltségét.
• A shadow AI-hoz kapcsolódó incidensek közel felében (49 %) adatvesztés vagy adatszivárgás történt.
• Az incidensek 42 %-a az üzletmenet megszakadásával járt.
• Az esetek 21 %-ában a szervezetek szabályozói bírságot fizettek.
Egyre nagyobb megfelelőségi nyomás
A bírságok egyre komolyabb problémát jelenthetnek. Az amerikai szövetségi ügynökségek 2024-ben önmagukban 59 AI-szabályozást adtak ki, ami több mint kétszerese az előző évi számnak.
Világszerte jelenleg több mint 1900 AI-irányelv, szabályozás, szabvány és governance-szervezet működik. Ha a jelenlegi trendek folytatódnak, sok szervezet nem lesz képes megfelelni ezeknek a követelményeknek.
A kormányzati szerveknek mindössze 6 %-a nyilatkozott úgy, hogy bízik a belső AI-rendszerei biztonságában.
Az IDC előrejelzése szerint 2030-ra a G1000 szervezetek akár 20 %-a is perekkel, bírságokkal és CIO-k elbocsátásával nézhet szembe a nem megfelelő AI agent governance következtében bekövetkező, nagy nyilvánosságot kapó fennakadások miatt.
A Gartner szerint a szervezetek mindössze 13 %-a gondolja úgy, hogy megfelelő AI agent governance keretrendszerrel rendelkezik.
Az agentek az üzletmenetet is veszélyeztethetik
Az agentek működési zavarokat is okozhatnak.
• Egy Replit AI coding tool a hírek szerint törölt egy éles production adatbázist, majd hamis rekordokat generált, hogy félrevezetően mutassa be a történteket.
• Egy támadó olyan, adattörlésre utasító kódot injektált az Amazon AI-asszisztensébe, amely AWS-erőforrások törlésére adott utasítást.
• Egy másik, Amazont érintő incidens során egy mérnöki szintű jogosultságokkal rendelkező belső agent törölt, majd újraépített egy production környezetet, ami körülbelül 13 órás leállást okozott.
Az agentek nem a jövőben érkeznek – már itt vannak
Azok a szervezetek, amelyek nem képesek felderíteni, biztonságossá tenni és megfelelő irányítás alá vonni agentjeiket, komoly adatvédelmi incidenseknek, megfelelőségi bírságoknak és működési zavaroknak teszik ki magukat.
Az RSA Agent ID megoldás áttekintése
Az RSA Agent ID a kormányzati szervek, a pénzügyi szolgáltatók és a magas biztonsági követelményekkel működő szervezetek agentic AI-rendszereinek védelmét szolgálja.
A megoldás három önálló modulként vagy egy összekapcsolt rendszer részeként is elérhető. Az RSA Agent ID az AI-agentek teljes identity lifecycle-ját lefedi.
RSA Agent ID Discover
Felderíti és nyilvántartásba veszi az ismert és ismeretlen agenteket, valamint az MCP servereket. Minden agent egyedi, első osztályú identitást kap, amelyhez név szerint kijelölt felelős, kockázati besorolás és lifecycle-állapot tartozik. Mindez összekapcsolható a szervezet identity providerével.
RSA Agent ID Secure
Szabályozza, hogy az agentek milyen műveleteket hajthatnak végre, függetlenül attól, hol működnek. A Secure minden hívásra érvényesíti a policy-kat az AI/MCP Gateway-en keresztül, amely az RSA által üzemeltetett környezetben vagy a szervezet saját infrastruktúrájában is működhet.
A magas kockázatú műveletekhez egy név szerint azonosított emberi operátor jóváhagyása szükséges. Az agent megszüntetésekor a Secure visszavonja annak hozzáférését.
RSA Agent ID Govern
Az agentek hozzáféréseit ugyanúgy hitelesíti és felülvizsgálja, ahogyan a szervezetek az emberi felhasználók jogosultságait kezelik. Folyamatos certificationt, kockázatalapú access review-kat és automatizált lifecycle-kezelést biztosít az agentek számára.
A magas biztonsági követelményekkel működő szervezetek identitásbiztonsági szabványa
Az RSA-t azoknak a szervezeteknek fejlesztették, amelyek a legtöbbet veszíthetik. Ügyfelei több mint 40 éve olyan rendszereket működtetnek, amelyekre a világ támaszkodik: elektromos hálózatokat, fizetési rendszereket, orvostechnikai eszközöket és védelmi rendszereket.
Ezek a szervezetek nem hibázhatnak. Az agentjeik sem.
Az RSA Agent ID ezekre a működési és biztonsági követelményekre készült. A megoldás ugyanazokat a szigorú elveket és szabványokat alkalmazza a mai AI-kockázatokra, amelyeket az RSA identity and access management (IAM), valamint identity governance and administration (IGA) megoldásai képviselnek.
Az RSA Agent ID kifejezetten azoknak a magas biztonsági követelményekkel működő szervezeteknek készült, amelyek nem engedhetik meg maguknak, hogy hibázzanak az AI biztonságának megteremtésében.
Szuverén kontroll
A policy-k érvényesítése, a jóváhagyások kikényszerítése és a bizonyítékok előállítása az RSA Agent ID AI/MCP Gateway-en történik, amely private cloud környezetben, on-premises infrastruktúrán vagy air-gapped környezetben is telepíthető.
A teljesen szuverén kontroll plane (control plane), amely helyi adminisztrációt, policy kezelést, emberi jóváhagyást, kulcskezelést és bizonyítékkezelést tesz lehetővé, a tervek szerint egy későbbi kiadásban lesz elérhető.
Magas szintű kontroll a magas kockázatú műveletek felett
Az RSA Agent ID AI/MCP Gateway-en áthaladó minden agent tool call ellenőrizhető a végrehajtás előtt.
A magas kockázatú műveletek – például az átutalások vagy a minősített információkhoz való hozzáférés – végrehajtása előtt a rendszer megköveteli egy hitelesített és elszámoltatható emberi operátor jóváhagyását.
Szabályozási bizonyítékok leképezése tíz iparági keretrendszerre
Minden agenthez emberi felelős rendelhető, miközben a rendszer folyamatosan auditálható bizonyítékokat biztosít, amelyek tíz jelentős megfelelőségi keretrendszerhez képezhetők le.
Széles körű integrációs támogatás
Az RSA Agent ID jelenleg többek között az alábbi megoldásokkal integrálható:
• RSA ID Plus
• Microsoft Entra ID
• Okta
• AWS IAM
• CrowdStrike
• Microsoft Defender
További agent platformok integrációja a tervek között szerepel.
Az RSA Agent ID előnyei
• Minden agent láthatóvá tétele, függetlenül a működési környezettől. Átfogó képet ad az agentekről, bárhol is fussanak.
• A kijelölt magas kockázatú műveletek valós idejű megállítása. Az ilyen műveletek csak hitelesített emberi jóváhagyást követően hajthatók végre.
• Egységes, kereshető agentnyilvántartás. Több felderítési forrásból származó adatot kapcsol össze, és minden agenthez név szerint kijelölt, elszámoltatható felelőst rendel.
• Manipulációt jelző, auditálható naplózás. Tamper-evident audit trailt biztosít minden agentről, hozzáférési döntésről és a Gateway-en keresztül végrehajtott műveletről, az adott műveletért felelős személyhez rendelve.
• Rugalmas bevezetés. A modulok külön-külön vagy egy összekapcsolt rendszer részeként is telepíthetők. A Discover connector-oldalon telepíthető, a meglévő agentinfrastruktúra módosítása nélkül.
• Least-privilege hozzáférés-kezelés a teljes lifecycle során. A jogosultságok folyamatos kontrollja mellett a magas kockázatú műveletekhez hitelesített emberi jóváhagyás szükséges.
RSA Agent ID – felhasználási esetek
Az RSA Agent ID három önálló modulként vagy egy összekapcsolt rendszerként is elérhető, és az AI-agentek teljes identity lifecycle-ját lefedi.
• AI-kockázatok átfogó felderítése: vállalati szintű rálátás biztosítása az AI-kockázatokra még azelőtt, hogy azok governance-problémává válnának.
• Shadow AI megszüntetése: a nem engedélyezett agentek felderítése és a szabályozási bizonyítékok leképezése tíz iparági keretrendszerre.
• Folyamatos jogosultság-érvényesítés: a jogosultságok folyamatos kontrollja agentek és más non-human identity-k esetében.
• Részletes hozzáférési szabályozás: per-call és per-parameter szintű policy-k meghatározása a magas kockázatú agentműveletekre, teljes és azonosítható audit trail biztosításával.
RSA Agent ID – pénzügyi szektorbeli felhasználási esetek
Vezető AI-megfelelőségi keretrendszerek támogatása
Konfigurálható kontrollcímkézés és bizonyítékle képezés az alábbi keretrendszerekhez és szabályozásokhoz:
• NIST AI RMF 1.0
• ISO/IEC 42001
• Treasury FS AI RMF
• NYDFS Part 500
• DORA
Adatszuverenitási kontrollok
Lehetővé teszi, hogy a multinacionális pénzügyi intézmények országonként elkülönítsék az agenteket, az általuk elérhető adatokat és a végrehajtható műveleteket.
Human-in-the-loop jóváhagyás
Emberi jóváhagyási folyamatot biztosít az átutalásokhoz, fizetésekhez és számlákhoz való hozzáféréshez.
RSA Agent ID – kormányzati felhasználási esetek
Kormányzati AI-megfelelőségi keretrendszerek támogatása. Támogatja a fontosabb kormányzati AI-megfelelőségi keretrendszereket és előírásokat, többek között:
• OMB Memoranda M-25-21
• OMB Memoranda M-25-22
• Az Annual AI Use Case Inventory követelményét, amelynek támogatása a tervek szerint 2027-ben válik elérhetővé.
Agentek felderítése kormányzati környezetekben
Felderíti az agenteket public cloud, private cloud és on-premises kormányzati hálózatokon. Az air-gapped hálózatok támogatása a tervek szerint később érkezik.
Human-in-the-loop jóváhagyás
Emberi jóváhagyást biztosít minden olyan művelethez, amely minősített információkat vagy személyazonosításra alkalmas adatokat (PII) érint.
A shadow és az engedélyezett agentek felderítése, valamint felelős hozzárendelése
RSA Agent ID Discover
Amit nem látsz, azt nem tudod biztonságossá tenni.
Egyetlen rogue agent is elegendő lehet ahhoz, hogy a pénzügyi szolgáltatók, a kormányzati szervek és a magas biztonsági követelményekkel működő szervezetek elveszítsék a kontrollt.
Az RSA Agent ID Discover folyamatosan felderíti a környezetben működő, engedélyezett és shadow agenteket, valamint MCP servereket, nyilvántartásba veszi őket, és emberi felelőst rendel hozzájuk.
A Discover előnyei
• Nincs több rejtőzködő agent. Több felderítési forrás adatainak összekapcsolásával azonosítja az engedélyezett és shadow AI-megoldásokat.
• Emberi felelősségvállalás. Minden agenthez felelős személyt és szabályozott lifecycle-kezelést rendel.
• Hasznos, kockázatalapú információk. A folyamatos analitika nyomon követi az agentek változásait és fejlődését, valamint kiemeli a felmerülő kockázatokat.
Az agentek műveleteinek szabályozása ott, ahol működnek
RSA Agent ID Secure
A magas kockázatú műveletek magas szintű biztonságot garantáló emberi jóváhagyást igényelnek.
Az RSA Agent ID Secure minden hívásra érvényesíti a policy-kat az AI/MCP Gateway-en keresztül, amelyet az RSA üzemeltethet, vagy amely a szervezet saját környezetében is telepíthető.
A magas kockázatú műveletekhez a rendszer erős, out-of-band hitelesítést és jóváhagyást követel meg.
A Secure előnyei
• Minden agentművelet kontrollja. Valós időben hitelesíti, engedélyezi és ellenőrzi az AI/MCP Gateway-en áthaladó műveleteket és hívásokat.
• Per-call jogosultság-érvényesítés. Minden hívást az érvényes policy-k alapján engedélyez, és a munka befejezésekor azonnal érvényteleníti az agent sessionjét.
• Részletes és biztonságos emberi kontroll. Az emberek jóváhagyják a magas kockázatú műveleteket, így bizonyítható, hogy ki, mit, mikor és miért hajtott végre.
• Az agentek jogosultságainak korlátozása. A rendszer a szükséges minimumra korlátozza az agentek hozzáféréseit, és megakadályozza a szükségtelen jogosultságok fennmaradását.
Az agentek jogosultságainak korlátozása
RSA Agent ID Govern
A pénzügyi szolgáltatóknak, a kormányzati szerveknek és a szabályozott iparágak szereplőinek minden, a környezetükben működő agenttel el kell tudniuk számolni, és auditálható bizonyítékokat kell szolgáltatniuk.
Az RSA Agent ID Govern segít minimalizálni a jogosultságokat, folyamatosan felülvizsgálni a hozzáféréseket, és tíz iparági keretrendszerhez leképezni az agentek működésével kapcsolatos bizonyítékokat.
A Govern előnyei
• Governance az agent teljes életciklusa alatt. Az agentek irányítása és kontrollja a létrehozásuktól a megszüntetésükig tart.
• Folyamatos certification az éves felülvizsgálatok helyett. A rendszer folyamatosan újraminősíti az agentek hozzáféréseit, így a jogosultságok nem maradnak a szükségesnél hosszabb ideig érvényben.
• Kockázatalapú access review-k. Segít azonosítani és megszüntetni a hozzáférési kockázatokat még azelőtt, hogy azokat egy auditor vagy egy támadó fedezné fel.
