Pedro Franceschi, a Brex vezérigazgatója a VB Transform 2026 konferencián részletesen ismertette, hogyan oldotta meg a vállalat azt a gyakorlati problémát, hogy biztonságosan üzemeltessen autonóm AI-ügynököket — például az OpenClaw nyílt forráskódú rendszert — éles környezetben. Franceschi szerint a megoldáshoz gondolkodásmód-váltásra van szükség: el kell mozdulni az elvont „agent” kifejezésektől, és inkább konkrét vállalati szerepekhez hasonló entitásokat kell létrehozni.
„Sok szó esik az ügynökökről, de szerintem az 'agents' kifejezés rossz név. Ez a Szilícium-völgyi fogalom nem sok konkrétat jelent” — mondta Franceschi. Ehelyett olyan entitásokat képzeltek el, amelyek valóban együttműködnek emberekkel: „egy virtuális alkalmazott — valaki a Slacken, akinek van e-mail címe, csatlakozik megbeszélésekhez, akivel dolgozni tudsz”.
Miért buktak meg a hagyományos biztonsági modellek?
A folyamat akkor indult el, amikor a kódolási modellek tavaly decemberben elérték azt a fejlettségi szintet, amely lehetővé tette az OpenClaw januári megjelenését. Ettől kezdve az ügynökök képesek lettek önállóan bootstrappelni és fenntartani a saját kódbázisukat, így nem maradtak statikusan előre definiált eszközök fogságában.
Amikor Franceschi javasolta, hogy az OpenClaw-t használják belső funkciók automatizálására, a Brex biztonsági csapata határozottan elutasította az ötletet: az ügynökök kódfuttatási képességeit veszélyesnek találták. Ez az óvatosság nem csak a Brexre jellemző; a vállalatok általánosan idegenkednek attól, hogy kontrollálatlan kódfuttatást engedjenek egy vállalati hálózaton.
Franceschi szerint a hagyományos megközelítések — például az olyan rendszerek, mint Nvidia NemoClaw — azzal próbálnak biztonságot nyújtani, hogy korlátozzák az ügynökök eszközhasználatát. Ő azonban úgy vélte, hogy a kódolási képességek kritikusak az ügynökök sokoldalúságához, így ez a taktikailag „kiheréli” az ügynökök értékét.
CrabTrap: hálózati proxy és LLM-ítélet
A Brex megoldása az volt, hogy a biztonsági határt a hálózati rétegre helyezze. Ahelyett, hogy folyamatosan ellenőriznék a változó kódot a konténeren belül, a fókusz az lett, hogy figyeljék, a kód valójában mit próbál küldeni vagy fogadni az internet felé.
Erre építve fejlesztették ki a CrabTrap nevű, nyílt forráskódú HTTP-proxyt. A megközelítés abból indul ki, hogy az OpenClaw bármit megtehet és akár kompromittált is lehet; ezért a CrabTrap minden kimenő hálózati forgalmat figyel a konténer és az internet között, és egy nagy nyelvi modellt (LLM) használ a kérések megfelelőségének megítélésére az ügynök jóváhagyott politikája alapján.
Közvetlenül az LLM-re bízni minden hálózati kérést azonban nem skálázható: az LLM általában jelentős késleltetést okoz, ezres milliszekundumos többletet eredményezhet. A Brex ezt kettéválasztott rendszerrel oldotta meg:
- Az egyszerű, alacsony kockázatú műveletek azonnal átmehetnek statikus, előre jóváhagyott szabályokon. Például ha egy toborzóügynök LinkedIn-profil megtekintésére törekszik, azt a statikus szabály engedélyezheti.
- A magas kockázatú műveletek — például e-mailek küldése — felderítésekor a kérést az LLM „bíró” elé irányítják értékelésre.
Franceschi elmondása szerint ez a felépítés biztosítja, hogy a komplex kérések mindössze körülbelül 2%-a szembesüljön az LLM miatti késleltetéssel.
Érdekes eredmény volt, hogy az LLM milyen hatékonyan tölti be a bíró szerepét. Franceschi szerint a modellek előképzése során milliárdnyi weboldalnak és HTTP-kérésnek való kitettségük miatt természetes, szemantikai szintű megértésük alakul ki a hálózati forgalom mintázatairól, ami lehetővé teszi számukra a politika szerinti megkülönböztetést anélkül, hogy különösen erős promptolásra lenne szükség.
Emberi felülvizsgálat és gyakorlati tesztek: „Jim” a virtuális toborzó
A CrabTrap infrastruktúrát a Brex egy belső „Jim” nevű virtuális toborzójával tesztelte, amely OpenClaw-re épül. Jim forrást keres jelöltekhez, pontoz bejövő pályázókat és e-maileket is küld.
Ha Jim olyan tevékenységet próbál végrehajtani, amely kívül esik az elfogadott politikán, a rendszer human-in-the-loop folyamatot indít. Amennyiben az LLM bíró egy kimenő e-mailt nem engedélyez, a CrabTrap Slack-üzeneten értesíti a felelős menedzsert: a notifikáció elmagyarázza az ügynök szándékát és javasol egy szabálymódosítást, amely lehetővé tenné az adott akciót. A menedzser ezután jóváhagyhatja vagy elutasíthatja a javaslatot — dinamikusan frissítve a szabályokat.
„Tetszik a virtuális alkalmazott hasonlat, mert sok ilyen problémát már megoldottak az emberek kontextusában a cégnél. Amikor egy alkalmazott falba ütközik, feljelenti a menedzserének” — mondta Franceschi.
Miért épített belső megoldást a Brex?
A Brex fintech cég; nem kiberbiztonsági szolgáltató. Franceschi elmondta, hogy azért építették meg belsőleg a CrabTrapet, mert akkor még nem álltak rendelkezésre érett kereskedelmi megoldások, amelyek megfeleltek volna a biztonsági csapat követelményeinek. Elismerte, hogy ez költséges és kockázatos volt: amikor elkezdték, úgy gondolta, 70% esély van rá, hogy hat hónapon belül el kell dobniuk a megoldást.
Ugyanakkor Franceschi szerint az, hogy hat hónappal a piac előtt voltak, megérte: a belső fejlesztés tapasztalata formálta az AI-elfogadási stratégiájukat és lehetővé tette számukra az ügynökök biztonságos bevezetését, mielőtt szélesebb körben is elterjedtek volna az üzleti gyakorlatok.
„Nincs meg minden válaszunk, de a válasz nem az, hogy ne csináljunk semmit” — zárta Franceschi.
A Brex példája rávilágít arra, hogy a vállalatoknak egyszerre kell technikai és szervezeti készségeket építeniük, ha autonóm ügynököket szeretnének hasznosítani anélkül, hogy vállalati kockázatot vállalnának.
