Az izraeli kiberbiztonsági startup, Hush Security, amely kevesebb mint egy éve lépett ki a titkos fejlesztésből non-human (nem emberi) identitások védelmével, azt állítja, hogy az üzleti AI-biztonsági párbeszéd alapvetően átalakult. A cég a hét elején bejelentett 30 millió dolláros Series A befektetési kört kapott visszatérő befektetőktől, a Battery Ventures-től és a YL Ventures-től; az Akamai Technologies stratégiai befektetőként csatlakozott. Hush szerint a szervezetek gyorsan továbblépnek a generatív AI-asszisztensek kísérletezésén és autonóm szoft ügynökök (AI agents) éles bevezetésébe kezdtek, amelyekhez másfajta biztonsági modell szükséges.
Mi változott és miért számít
A cég eredeti fókusza a gépi identitások — API kulcsok, szolgáltatásfiókok, gépi hitelesítő adatok — védelme volt: hosszú élettartamú, nehezen forgatható és auditálható credential-ek helyett rövid élettartamú, szabályalapú hozzáférést közvetítettek. A vezérigazgató és társalapító Micha Rave elmondása szerint az ügyfelek most már egy másik kérdést tesznek fel: hogyan engedjék biztonságosan, hogy AI-ügynökök működjenek production rendszerekben? Ez a probléma különösen sürgetővé vált, miután a Hugging Face július közepe körül bejelentette, hogy egy autonóm AI-ügynök kompromittálta egyes rendszereit — később ez egy belső OpenAI tesztügynöknek volt az elszabadulása, részben egy kiadatlan modellel.
Elemzői és iparági számokra hivatkozva Hush idézi a Gartnert, amely szerint egy átlagos Fortune 500 cégnél több mint 150,000 AI-ügynök futhat 2028-ra, miközben egy évvel korábban ez a szám kevesebb mint 15 volt. Az Omdia kutatása szerint pedig a szervezetek 96%-a olyan kormányzati/gubernatív modellt alkalmaz, amelyet eredetileg nem autonóm AI-ügynökökhez terveztek.
Mi a probléma pontosan? Identitás, nem csupán modellek
Rave szerint az AI-ügynökök felerősítik a meglévő gépi identitásproblémákat: az autonóm szoftver önállóan cselekszik érzékeny rendszerekben, több rendszeren át, külső szolgáltatásokat hív meg, önálló döntéseket hoz, és gyakran a felhasználótól örökölt jogosultságokkal hajt végre műveleteket. Gyakorlati megoldásként szervezetek gyakran széles OAuth jogosultságokat vagy adminisztrátori credential-eket adnak az ügynöknek, hogy az elvégezhesse a feladatot — ez azonban identitási problémát teremt.
Sok biztonsági vezető dilemma elé kerül: lassítsák az AI bevezetését, amíg megvannak a megfelelő kontrollok, vagy engedjék be az új ügynököket közvetlenül a vállalati rendszerekbe kevésbé fejlett kormányzattal. Rave szerint a gyakorlat gyakran az, hogy mindent beengednek, mert a biztonság ne akadályozza az innovációt.
Identity Gateway: az identitás mint vezérlőréteg
Ahelyett, hogy az AI-ügynököket egyszerű alkalmazásként kezelnék, amelyekre sima credential-ek kellenek, Hush bővíti non-human identitás platformját egy ún. Identity Gateway irányába. A megoldás az ügynökök és a vállalati erőforrások közé kerül, és lehetővé teszi:
- az ügynökök felfedezését és azonosítását;
- minden ügynök számára külön identitás rendelését és egy felelős emberhez való kötését;
- feladat-specifikus, futásidejű jogosultságok közvetítését (just-in-time credentials);
- központosított audit napló vezetését;
- egyesített visszavonási és megszüntetési lehetőséget, hogy adminisztrátorok azonnal lezárhassák egy ügynök hozzáférését.
A Hush elve az úgynevezett "least agency" gyakorlat: az ügynök csak az adott feladat végrehajtásához szükséges jogosultságokat kapja meg, nem örökli a felhasználó teljes jogosultságait.
Milyen ügynöktípusokkal számolnak?
Micha Rave három széles kategóriát különít el, amelyek mind más-más kormányzati kihívásokat hoznak:
- Asztali kódoló és produktivitási segédprogramok (például Claude, Cursor, VS Code integrációk);
- Vállalati AI platformokon futó ügynökök (pl. Microsoft Foundry, Salesforce Agentforce, AWS AgentCore);
- Belsőleg fejlesztett, vállalati folyamatokat vagy ügyfélinterakciókat végző egyedi ügynökök.
Mindegyik esetben alapvető követelmény a kontrollált hozzáférés a vállalati rendszerekhez és a cselekvésekhez köthető megfelelő attribúció.
Mire nem helyettesítője a Hush?
A vállalat nem az identitásszolgáltatók vagy a secrets managerek helyettesítését hirdeti. Ehelyett azt állítja, hogy egy köztes réteget tölt be: folyamatosan felfedezi a szervezet ismert és árnyékügynökeit, hozzárendeli a tulajdonost, közvetíti a just-in-time credential-eket és minden interakciót központosított auditnál rögzít. A dokumentáció szerint az ügynökök logikáját nem kell módosítani; a platform hozzáférési kéréseket közvetít.
Ügyfelek és piaci visszhang
Hush már vonz ügyfeleket: az IT-infrastruktúra szolgáltató Kyndryl szerint belsőleg telepítette a Hush megoldását és elkezdte azt ügyfeleik számára is ajánlani. Adeel Saeed, a Kyndryl Global Cyber Resiliency igazgatója és CTO-ja közleményében az identitást nevezte a modern "agentikus" munkaerő végső vezérlőpontjának.
Akamai részvétele a befektetésben azt tükrözi, hogy a cég architekturális fordulatra számít: Ramanath Iyer, az Akamai chief strategist-a azt mondta, hogy az AI-ügynökök hozzák a következő átalakulást, és az identitás az a rész, amit a legtöbb vállalat még nem oldott meg.
Árazás és hozzáférés
Hush nem közölte nyilvánosan az Identity Gateway részletes árazását vagy teljes termékportfóliójának kondícióit. Ugyanakkor bevezettek egy Free csomagot, amely futásidejű láthatóságot ad AI-ügynökökre és nem emberi identitásokra, kockázatelemzést és identitásalapú hozzáférés-vezérlést a hosszú élettartamú credential-ek helyett — hitelkártya vagy időkorlát nélkül.
Mi várható tovább?
A Hush azt állítja, hogy az identitás-központú megközelítés lesz az érvényes eszköz a szervezeti döntések végrehajtásának szabályozására: nemcsak az, hogy egy modell képes-e biztonságosan kódot generálni vagy dokumentumot összefoglalni, hanem az is, hogy egy ügynök milyen rendszerekhez férhet hozzá, kinek a nevében jár el, hogyan delegálódnak a jogosultságok, és hogyan köthető minden művelet egy felelős tulajdonoshoz.
Az, hogy ez az identitás-központú paradigma lesz-e a domináns megközelítés az autonóm ügynökök biztonságában, még nyitott kérdés. Egy biztos: ahogy a vállalatok kísérletezésről tömeges bevezetésre lépnek, a következő nagy biztonsági kihívás egyre inkább a szoftver identitásainak, nem csupán a modellek védelmének kezelése lehet.
