Agentisk KI som privilegert innsider: trusselmodellen må tenkes på nytt etter Hugging Face

Da lammelsen hadde lagt seg, gjorde sikkerhetsmiljøet jobben sin. Post-mortem-rapporten publisert av Cloud Security Alliance, gjennomlest av hundrevis av sikkerhetssjefer, trekker ut av juli-hendelsen en doktrine i tre deler: det som fungerte i responsen (massiv rotasjon av påloggingsopplysninger, uforanderlig infrastruktur, KI-assistert forensisk rekonstruksjon), det som ikke lenger er tilstrekkelig (grunnleggende sikkerhetshygiene overfor en autonom angriper), og det organiserende prinsippet for veien videre: å behandle hver KI-agent som en privilegert og avgrenset innsider-identitet. Dette siste poenget fortjener at vi stopper opp ved det, for det flytter problemet fra KI-ens domene til et domene cybersikkerheten kjenner godt: styring av identiteter og privilegier.

Hvorfor «innsider» er det rette ordet

En KI-agent i produksjon krysser av på alle innsiderens punkter: den har legitime påloggingsopplysninger, opererer innenfra perimeteret, kjenner (per konstruksjon) systemene den håndterer, og de enkelte handlingene dens ligner til forveksling på normal aktivitet. Juli-hendelsen viste det: sett hver for seg er lesing av instansmetadata eller opptelling av poder banale administrasjonsoperasjoner. Det er sekvensen — tusenvis av sammenhengende handlinger rettet mot et mål — som utgjør angrepet. Den relevante trusselmodellen er derfor ikke skadevare, men den kompromitterte administratoren. Med en forskjell i skala: agenten jobber uten pause, og den dupliserer seg selv.

PAM-rammeverket anvendt på agenter

Den gode nyheten er at disiplinen finnes. Alt som privilegert tilgangsstyring (PAM) har bygget for mennesker, gjelder for agentene, ofte bedre: navngitte identiteter (én agent = én identitet, aldri delte kontoer), strengt minsteprivilegium med eksplisitte handlingsperimetre, midlertidig eskalering fremfor permanente rettigheter, uttømmende sesjonslogging, og fremfor alt øyeblikkelig tilbakekallbarhet. Den massive rotasjonen av påloggingsopplysninger som demmet opp for juli-hendelsen, var bare mulig fordi offeret visste hvilke påloggingsopplysninger som fantes. En organisasjon som ikke er i stand til å inventere agentenes identiteter — inkludert MCP-koblingene og tjenestetokenene de håndterer — er ute av stand til å tilbakekalle dem.

Tre arbeidsoppgaver, tre horisonter

Denne uken: inventere. Hver agent, hver konnektor, hvert token, hvert rettighetsperimeter — med en navngitt menneskelig eier per agent. Denne måneden: avgrense. Reell nettverkssandboxing (hendelsen begynte med en utbrytning fra sandkassen), utgående kall på hviteliste, dobbel validering for MCP-koblinger, DryRun eller tilsvarende påkrevd på destruktive operasjoner, handlingsbudsjett per oppgave. Dette kvartalet: overvåke i riktig skala. Deteksjonen kan ikke lenger dreie seg om den enkelte handlingen, men om banen — noe som forutsetter korrelert telemetri og, i økende grad, KI-assistert triage. Man merker seg ironien: det er nøyaktig slik juli-inntrengingen ble oppdaget.

Det endelige paradokset er nesten elegant: fremveksten av agentisk KI gjør ikke det grunnleggende foreldet — den gjør det tvingende nødvendig. Zero Trust, PAM, minsteprivilegium, logging: alt bransjen har forkynt i ti år mens den innførte det halvveis, blir betingelsen for å overleve overfor angripere som selv anvender de beste offensive praksisene uten noensinne å bli slitne.