«Lesegjerdet begrenser handlinger, ikke en forgiftet resonneringskjede, og vi hevder ikke immunitet mot prompt-injeksjon. Det vi hevder, er inneslutning», sier Shaked Zin, medgrunnlegger i Cynative, til Help Net Security. Det er en nøktern åpning fra et selskap som nettopp har sluppet en KI-agent løs på produksjonsskyer.
Cynative kjører en frontier-modell mot bedriftens egen kode, sky og runtime, kjører generert kode i en innebygd sandkasse, og klassifiserer hver handling før den fester legitimasjon på den. Den når AWS, GCP, Azure, de tre store Kubernetes-tjenestene, GitHub og GitLab med legitimasjonen som allerede ligger i operatørens shell. Skriving er et eksplisitt opt-in. Alt annet stopper på en lesepolicy: SecurityAudit på AWS, roles/viewer på GCP, Reader på Azure.
Den vanskelige delen er å holde kartet over hva som leser og hva som skriver oppdatert når skyleverandørene legger til nye handlinger hver uke. Ifølge Zin hentes klassifiseringen fra leverandørenes egne kilder, blant annet AWS Service Reference API med iam-dataset som reserve, ved kjøretid og hurtiglagret i 24 timer som standard. En handling agenten ikke kan spore til noe lesepolicyen tillater, blir nektet.
«En ny skrivehandling finnes ikke i en read-only-policy, så den blir nektet. Verste utfall er at en ny lesehandling kortvarig nektes for mye, aldri at en skriving slipper gjennom.» — Shaked Zin, medgrunnlegger, Cynative
Funn går gjennom en egen port før agenten kaller dem bekreftet. En verifikator leser rådataene som upålitelige data, kjører to uavhengige forsøk på å motbevise funnet, og feiler lukket ved avvik. Funn som ville krevd en skrivehandling for å bevises, blir stående som UNVERIFIED med lav konfidens. Hvert verktøykall havner i en JSONL-revisjonslogg, og kjøringen avbrytes hvis et kall ikke lar seg loggføre. Prosjektet er en statisk Go-binær under Apache-2.0 og snakker med 23 eller flere modellleverandører via Bifrost SDK, så både data og modellvalg kan holdes i ditt eget miljø.
Hva bør du gjøre?
- Test agenten mot en sandkasse-konto først, med SecurityAudit eller roles/viewer, og les revisjonsloggen for å se hva den faktisk rørte.
- Behandl UNVERIFIED-funn som hypoteser, ikke resultater. Agenten sier selv at den ikke har bevist dem.
- Kopier gjerdet uansett om du bruker Cynative: legg lese- og skrivegrensen i IAM, utenfor modellen, ikke i systemprompten.