A IA agêntica pode operar com acesso de privilégio mínimo e, ainda assim, violar a política de segurança.
O desafio
O contexto de segurança define quem pode fazer o quê com um determinado conjunto de dados. As permissões para criar, alterar ou excluir dados nos sistemas corporativos são definidas pelos requisitos de negócio atribuídos a funções específicas. Em uma empresa na qual pessoas desempenham determinadas funções, quando elas usam um software, esse software precisa ter um contexto de segurança para operar. Esse contexto de segurança é implementado por meio de contas. Normalmente, o software é executado usando uma conta de usuário ou uma conta de serviço. As contas de serviço são criadas para conceder ao software permissões para manipular dados corporativos independentemente do contexto de segurança de qualquer usuário específico.
A atribuição de acesso com privilégios mínimos a diversos recursos corporativos é simples para os usuários, com base em suas funções. No entanto, embora ainda estejam sujeitos a restrições, os serviços são configurados com o maior nível de privilégio para que possam executar todas as ações necessárias ao longo de um processo. Por exemplo, um usuário pode ter acesso de gravação apenas a um conjunto de registros em um sistema correspondente às contas de clientes atribuídas a ele e acesso somente leitura a todas as demais contas de clientes. As contas de serviço, por outro lado, precisam de acesso de gravação a todas as contas.
A lacuna de privilégios na automação de processos.
Ao usar IA agêntica, as atividades dos usuários e dos processos de negócios corporativos se misturam. Os processos de negócios corporativos são projetados para produzir um resultado de forma abrangente (ou seja, para todos os clientes, todos os funcionários e todas as instâncias). Para operar, as contas de serviço geralmente precisam de permissões mais elevadas do que a maioria dos usuários individuais; no entanto, cabe a um usuário individual ou a uma equipe de usuários iniciar, monitorar e supervisionar os processos corporativos.
Por exemplo, uma organização utiliza um assistente de IA agêntica para auxiliar na integração de novos funcionários. Cada novo funcionário exerce uma função específica e, com base nela, precisa acessar os sistemas corporativos com determinado nível de permissão. O assistente de IA agêntica opera no contexto dos profissionais de RH responsáveis pela integração. Então, o que acontece se o agente de IA precisar provisionar uma nova conta de usuário com permissões superiores às de um ou mais membros da equipe de RH?
Se as permissões do agente forem definidas com base no processo que precisa ser executado, e não na autorização individual da pessoa que usa o agente, poderão ocorrer violações de segurança, pois o software controlado pelo usuário dará acesso a dados que ele não tem permissão para acessar. Por outro lado, se a ação for bloqueada por falta de permissões, o usuário não conseguirá concluir a tarefa.
Esse cenário pode ser resolvido por meio da ramificação do processo. Uma subtarefa é atribuída a alguém com autoridade para conceder as permissões no nível necessário e, após a aprovação, o processo pode avançar para a próxima etapa. Essa técnica de segmentar as ações por contexto de segurança também deve ser aplicada a soluções baseadas em agentes.
Mapeamento das mudanças de contexto de segurança na superfície
O uso de IA agêntica pode aumentar a probabilidade de que um software utilizado para iniciar um processo no contexto de um usuário acabe obtendo privilégios elevados ao mudar para o contexto de um agente executado com uma conta de serviço. Nesse caso, é importante que o sistema agêntico opere de modo que os privilégios elevados e o acesso a dados não violem a política de segurança.
Um mapa de fluxo de processo que mostra a alternância do contexto de segurança durante as etapas de um fluxo de trabalho. As mudanças de privilégio e sensibilidade são mapeadas nos pontos de acesso aos dados.
Esteja atento às lacunas e siga em frente
O desenvolvimento de agentes de IA com o contexto de segurança adequado começa pela resposta a esta pergunta: o processo que está sendo automatizado deve funcionar como um assistente pessoal disponibilizado para um ou mais usuários ou trata-se de um processo de negócios generalizado que precisa ser executado em escala em nome da empresa?
Se for pessoal, concentre o mapa do processo em verificar se todas as ações e os requisitos de acesso a dados estão em conformidade com a política de segurança corporativa vigente para os usuários-alvo. Caso sejam encontradas exceções, separe as ações que exigem privilégios elevados e confirme se os acessos e as ações estão devidamente associados às pessoas com os diferentes níveis de permissão necessários.
Se o processo for generalizado para a empresa, examine o design da conta de serviço para determinar se o acesso com privilégios máximos cria falhas de segurança como a do primeiro exemplo acima e verifique novamente se os dados confidenciais não estão expostos a usuários que não tenham os privilégios necessários.
As organizações devem incluir o contexto de segurança no projeto de agentes pessoais e corporativos. Ao separar as tarefas que exigem privilégios elevados e considerar se a ação será executada por um usuário ou por uma conta de serviço, o risco de falhas de segurança não intencionais será reduzido.
Para obter uma perspectiva adicional sobre a tensão entre automação e segurança, leia: Como aliviar a tensão entre segurança de dados e automação | F5
Sobre o autor
Publicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.