اگر امروز به عامل‌های هوش مصنوعی اجازه می‌دهید به دیتابیس‌های داخلی شرکت دسترسی داشته باشند، در واقع یک درِ باز و بدون نظارت به قلب شبکه خود ایجاد کرده‌اید. این شکاف امنیتی اکنون به یک بازار ۵۰ میلیون دلاری تبدیل شده است. این مبلغ، اندازه شرطی است که روی یک حفره امنیتی حیاتی در زنجیره تأمین عامل‌های هوش مصنوعی بسته شده است.
شرکت AIR که توسط پیش‌کسوتان واحد ۸۲۰۰ اطلاعات اسرائیل تأسیس شده، پلتفرمی را برای شناسایی و بازرسی ابزارهای شخص ثالث عرضه می‌کند که عامل‌ها (Agents) — شبیه به کارمندانی دیجیتال که می‌توانند به‌جای شما کارهای پیچیده را انجام دهند — برای فعالیت در شبکه‌های شرکتی از آن‌ها استفاده می‌کنند. این تحول در نقش عامل‌ها با رویکردهای تجاری جدیدی همراه شده است؛ برای مثال، استارتاپ Runable اخیراً استراتژی خود را تغییر داد تا تمرکز عامل‌ها را از ساخت صرف به رشد کسب‌وکار منتقل کند.
همان‌طور که در تحلیل‌های قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، هر نقطه‌ی اتصال جدید، یک سطح حمله جدید است. با اعطای دسترسی عمیق‌تر به عامل‌ها به دیتابیس‌های داخلی و وب آزاد، شرکت‌ها ناخواسته یک زنجیره تأمین نرم‌افزاری جدید و نظارت‌نشده ساخته‌اند. این اکوسیستم شامل مهارت‌ها (Skills)، پلاگین‌ها و سرورهای پروتکل زمینهٔ مدل (MCP) است که در واقع مانند «درایورهای» هوش مصنوعی عمل می‌کنند و به مدل اجازه می‌دهند با دنیای بیرون تعامل داشته باشد. برای بهینه‌سازی این تعاملات، برخی شرکت‌ها بر کاهش هزینه‌های زیرساختی تمرکز کرده‌اند، همان‌طور که Keenable با جذب سرمایه در حال ساخت ایندکسی برای کاهش هزینه‌های API عامل‌هاست.
بدون نظارت، این اجزا می‌توانند کدهای مخرب را وارد کنند یا داده‌های حساس را به هسته عملیات یک شرکت نشت دهند. یائیر سابان (Yair Saban)، مدیرعامل AIR، این وضعیت را با اوایل دهه ۲۰۰۰ مقایسه می‌کند؛ زمانی که درایورها نیازی به امضای دیجیتال نداشتند. او اشاره می‌کند که امروزه امضاها اجباری هستند زیرا درایورها کد را مستقیماً در هسته (Kernel) بارگذاری می‌کنند. سابان استدلال می‌کند که مهارت‌ها و MCPها دقیقاً از همین مکانیسم استفاده می‌کنند، اما صنعت هنوز این درس تاریخی را نگرفته است.
به گزارش تک‌کرانچ (TechCrunch)، AIR این سرمایه را در دو دور Seed متوالی که در فاصله چند هفته از یکدیگر بسته شدند، جذب کرد: یک دور اولیه ۱۰ میلیون دلاری به رهبری سکویا (Sequoia) و سپس یک دور ۴۰ میلیون دلاری به رهبری گرینوکس (Greenoaks). در این جذب سرمایه، چهره‌های برجسته‌ای از جمله یینون کوستیکا (بنیان‌گذار Wiz)، زک فرانکل (رئیس Cognition)، اوفیر ارلیچ (بنیان‌گذار Eon)، وارون آناند (بنیان‌گذار Clay)، آن نوبرگر، عمر آدم، سویش و نتز مشارکت داشتند.
این استارتاپ برای ایمن‌سازی ناوگان عامل‌ها از یک استراتژی دفاعی سه لایه استفاده می‌کند:
- شناسایی (Discovery): پلتفرم تمام عامل‌های فعال در محیط شرکت را پیدا می‌کند؛ این شامل ابزارهای «هوش مصنوعی سایه» (Shadow AI) است که کارکنان از طریق حساب‌های شخصی و بدون تأیید بخش IT استفاده می‌کنند.
- اجرا (Enforcement): یک لایه رهگیر (Interception) به عامل‌ها متصل می‌شود تا اقدامات آن‌ها را در لحظه تحلیل کند. این لایه مانع از آن می‌شود که عامل‌ها مهارت‌های تأییدنشده را بارگذاری کنند یا محتوا را از منابع خارجی ریسکی دریافت نمایند.
- بازرسی مستمر (Continuous Vetting): AIR فهرستی از افزونه‌های تأییدشده (Whitelist) را نگه می‌دارد. برخلاف اسکن‌های یک‌باره، این ابزارها را مدام بازبینی می‌کند؛ زیرا یک بسته که قبلاً امن بوده، اگر حساب توسعه‌دهنده هک شود یا محتوای بسته دانلود شده تغییر کند، می‌تواند ناگهان مخرب شود.
طبق اعلام سابان، این پلتفرم در حال حاضر حدود ۲۷٪ از مهارت‌ها و افزونه‌های موجود در وب را به دلیل ریسک امنیتی فیلتر می‌کند. این شرکت اکنون بیش از ۲۰ مشتری دارد که یک‌چهارم آن‌ها سازمان‌های بزرگی در صنایع با نظارت شدید، به‌ویژه بخش‌های دارویی و خدمات مالی هستند.
این رویکرد مستقیماً «مسموم‌سازی محتوا» (Content Poisoning) را هدف قرار می‌دهد. در این نوع حمله، مهاجم به جای حمله مستقیم به خودِ مدل هوش مصنوعی، داده‌های خارجی یا ابزارهایی را که عامل مصرف می‌کند مسموم می‌کند. این کار باعث می‌شود عامل به‌طور خودکار دستورات مخربی را در سراسر سیستم‌های سازمانی اجرا کند. این نگرانی‌ها درباره‌ی دسترسی به داده‌ها، یادآور چالش‌های حریم خصوصی در دستیار Instinct است که بحث‌های جدی را درباره مجوزهای ابدی داده‌ها برانگیخت.
البته AIR در میدان شلوغی وارد شده است. رقبایی مثل نوما سکیوریتی (Noma Security) که سال گذشته ۱۰۰ میلیون دلار در دور Series B جذب کرد و نظارت در زمان اجرا (Runtime Monitoring) برای سرورهای MCP ارائه می‌دهد، رقیب مستقیم آن است. همچنین شرکت زنتی (Zenity) که اخیراً ۱۲۵ میلیون دلار برای ابزارهای حاکمیتی مشابه جذب کرده، در این مسیر است. بازیگران دیگری مانند استریکس سکیوریتی (Astrix Security) و اوپرانت ای‌آی (Operant AI) نیز خدماتی چون شناسایی عامل‌ها، پلتفرم‌های هویتی و گیت‌وی‌های MCP را ارائه می‌دهند.
در حالی که احتمالاً آزمایشگاه‌های هوش مصنوعی بررسی‌های امنیتی داخلی خود را می‌سازند، AIR استدلال می‌کند که سازمان‌ها به یک لایه مستقل و بدون وابستگی به فروشنده (Vendor-agnostic) نیاز دارند. بوگومیل بالکانسکی، شریک سکویا، این موضوع را یک مشکل زیرساختی می‌داند و نه یک تسک ساده‌ی اسکن کردن. او خاطرنشان می‌کند که بازرسی مجدد هر زیر-عامل و پلاگین در لحظه در یک ناوگان کامل، یک مشکل خط لوله (Pipeline) است که نمی‌توان آن را صرفاً با نوشتن یک اسکنر بهتر حل کرد.
برای مدیران کسب‌وکار، این یعنی دوران «غرب وحشی» در استقرار عامل‌ها به پایان رسیده است. تمرکز از «عامل چه کارهایی می‌تواند بکند» به «عامل اجازه دارد چه کارهایی بکند» تغییر کرده است. امنیت دیگر فقط درباره‌ی پرامپت نیست، بلکه درباره‌ی کل پشته نرم‌افزاری است که عامل با آن در تماس است.
AIR در حال حاضر ۴۰ کارمند دارد. سابان بیان کرد که سرمایه جدید عمدتاً برای استخدام پژوهشگران و گسترش استراتژی ورود به بازار (Go-to-market) در اروپا و ایالات متحده استفاده خواهد شد.
گام بعدی شما
- اگر از MCP یا پلاگین‌های شخص ثالث در محیط کاری استفاده می‌کنید، فهرستی از دسترسی‌های آن‌ها را مستند کنید.
- سیاست‌های دسترسی عامل‌ها را از حالت «اجازه به همه» به حالت «سیاست حداقل دسترسی» (Least Privilege) تغییر دهید.
- ابزارهای شناسایی Shadow AI را در شبکه داخلی خود بررسی کنید تا متوجه شوید کارکنان از چه مدل‌های غیررسمی استفاده می‌کنند.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو