CrowdStrike buduje hamulec dla agentów AI. Sam antywirus już nie wystarcza

3 listopada, podczas europejskiej edycji konferencji Fal.Con, CrowdStrike opublikował dwa komunikaty. W pierwszym firma poinformowała, że podpisała wiążącą umowę przejęcia Dreadnode, niewielkiej spółki, która automatycznie atakuje modele i agentów sztucznej inteligencji, zanim zrobią to przestępcy. W drugim opisała nowe funkcje swojego produktu Falcon Guardian. Najbardziej wymowną z nich nazwała AI Kill Switch, czyli wyłącznik dla AI. Tego samego dnia firma zapowiedziała też zamiar kupienia Fiddler AI, producenta oprogramowania do obserwowania, co agenci robią wewnątrz przedsiębiorstw.

Wszystkie trzy zapowiedzi odpowiadają na jeden problem. Przez dekady ochrona komputera polegała na rozpoznawaniu złośliwego programu i blokowaniu go. Agent AI złośliwym programem nie jest. Firma sama go uruchamia, daje mu dostęp do poczty, plików i systemów, a potem pozwala mu działać. Gdy taki agent zostanie zmanipulowany, z punktu widzenia klasycznego antywirusa nic złego się nie dzieje. Uprawniony program wykonuje polecenia. Tyle że nie te, które powinien.

Armie, których nikt nie spisał

Agent to model językowy z rękami. Nie tylko odpowiada na pytania, ale też klika, wysyła, zapisuje i uruchamia. Coraz częściej łączy się z narzędziami przez serwery MCP. To standardowe złącza, dzięki którym agent może sięgnąć do bazy danych, kalendarza czy repozytorium kodu, tak jak ładowarka USB pasuje do wielu urządzeń. Każde takie złącze otwiera nowe drzwi, a za każdymi drzwiami są dane.

W firmach agentów przybywa szybciej, niż działy bezpieczeństwa nadążają je spisywać. Zespoły i pojedynczy pracownicy automatyzują swoją pracę, piszą aplikacje metodą luźnego dialogu z modelem i uruchamiają własnych asystentów. Procedury zostają w tyle. Rynek ochrony agentów rośnie więc szybko. Pieniądze dostają zarówno start-upy, jak i doświadczeni dostawcy zabezpieczeń. Łączy ich przekonanie, że dotychczasowe oprogramowanie nie wystarcza do kontrolowania narzędzi AI i ich połączeń.

CrowdStrike ma tu przewagę, której start-upy nie mają. Jego oprogramowanie już działa na ogromnej liczbie komputerów w firmach i instytucjach państwowych. Jeśli agent działa na laptopie pracownika, a ten laptop chroni Falcon, najprościej pilnować agenta tam, gdzie i tak stoi strażnik. Z tego wynikają opisane w komunikacie haki na poziomie agenta i inspekcja ruchu sieciowego na urządzeniu końcowym. System ma zaglądać do środka działania agenta i sprawdzać, dokąd ten wysyła dane. Nazwa wyłącznika wskazuje ostatni krok: gdy coś pójdzie źle, agenta trzeba móc zatrzymać.

Czytaj teżGoogle wyłączy AI w szkołach. Kto ją zablokuje, straci też wyszukiwarkęAktorka, której nie ma, dostaje główną rolę. Polski lektor walczy w sądzie o swój głos

Atak na zamówienie

Wyłącznik jest jednak ostatnią linią obrony. Dreadnode zajmuje się pierwszą. Jego narzędzie testuje modele, aplikacje, agentów i serwery MCP, zanim trafią do użytku. Korzysta przy tym z ponad stu znanych sposobów ataku na AI. Są wśród nich jailbreaki, czyli próby nakłonienia modelu do złamania własnych zasad. Jest też wstrzykiwanie poleceń, w którym złośliwa instrukcja ukrywa się w treści czytanej przez agenta, na przykład w e-mailu albo na stronie internetowej. Narzędzie sprawdza także ataki rozłożone na wiele tur rozmowy i takie, które celują w specyfikę agentów.

Ważne jest to, co dzieje się z wynikami. Każde znalezisko dostaje ocenę wagi i zostaje przypisane do uznanych katalogów zagrożeń, takich jak OWASP Top 10 dla modeli językowych, osobna lista OWASP dla bezpieczeństwa agentów czy MITRE ATLAS. Raport odnosi się też do ram zarządzania ryzykiem AI opracowanych przez amerykański NIST. Dla dyrektora bezpieczeństwa to różnica między listą technicznych ciekawostek a dokumentem, który można położyć na stole zarządu albo pokazać audytorowi. Ludzie zachowują przy tym ostatnie słowo. Operator może zmienić klasyfikację znaleziska, podnieść lub obniżyć jego wagę i zapisać uzasadnienie. Raporty mają pomagać w decyzji, czy agent w ogóle może zostać wdrożony.

Narzędzie skanuje też same modele, repozytoria i komponenty, z których zbudowano aplikację. Wyniki testów nie zostają w szufladzie. Trafiają do Falcon Guardian jako rekomendacje reguł bezpieczeństwa. Jeśli test wykaże, że agent daje się zmanipulować w określony sposób, system może zaproponować zasadę, która na produkcji zablokuje dokładnie ten ruch. Dane z testów mają też trenować modele SafeMind, za pomocą których CrowdStrike wykrywa zagrożenia. Zespół Dreadnode, kierowany przez Brada Palma, dołączy do wewnętrznego zespołu firmy o nazwie Cyber Superintelligence Lab.

Fiddler AI ma uzupełnić ten układ od strony obserwacji. W platformie Falcon ma działać jako Falcon Observe. Narzędzie ma oceniać agentów przed uruchomieniem, wyjaśniać ich działania i śledzić je na bieżąco, a zebrane dane przekazywać reszcie systemu. Razem powstaje łańcuch: testowanie przed wdrożeniem, obserwacja w trakcie i wyłącznik na wypadek awarii.

Pół miliarda za brakujące ogniwa

Ile to kosztuje, CrowdStrike oficjalnie nie podał. W komunikacie o Dreadnode firma napisała jedynie, że zapłaci głównie gotówką, a częściowo akcjami, które będą przyznawane stopniowo. Według nieoficjalnych doniesień za Fiddler AI firma zapłaci około 400 mln dolarów, a za Dreadnode około 95 mln, czyli łącznie blisko pół miliarda. Proporcje są wymowne. Fiddler, założony w 2018 roku, zebrał od inwestorów około 99 mln dolarów. Dreadnode istnieje od 2023 roku i pozyskał 14 mln. Wyceny wielokrotnie przewyższają zainwestowany kapitał, co pokazuje, ile duzi gracze są gotowi zapłacić za takie narzędzia.

Dla CrowdStrike to także sposób, by nie oddać nowego rynku młodszym konkurentom. Firma, której założycielem i prezesem jest George Kurtz, zbudowała pozycję na ochronie urządzeń końcowych. Gdyby agenci AI stali się osobną kategorią z własnymi dostawcami zabezpieczeń, jej strażnik na laptopie straciłby część znaczenia. Przejęcia mają sprawić, że ochrona agentów stanie się kolejnym modułem tej samej platformy.

Na razie są to jednak zapowiedzi. Żadna z umów nie została jeszcze sfinalizowana. Fiddler AI to na tym etapie zamiar przejęcia. Transakcja z Dreadnode wymaga jeszcze spełnienia zwykłych warunków formalnych. CrowdStrike spodziewa się zamknąć ją w czwartym kwartale swojego roku fiskalnego FY27 i w tym samym kwartale chce udostępnić wszystkim klientom automatyczne testy bezpieczeństwa AI. Wtedy okaże się, czy wyłącznik dla agentów zadziała tak skutecznie jak nazwa, którą mu nadano.