# UI agenti dobivajo dostop do podatkov podjetij: Cymphony za varnostni nadzor zbral 30 milijonov dolarjev
Umetna inteligenca v podjetjih vse pogosteje ne služi le kot pomoč pri pripravi besedil ali analizi dokumentov. Agentni sistemi dobivajo dostop do elektronske pošte, poslovnih aplikacij, zbirk dokumentov, razvojnih okolij in drugih notranjih virov. S tem pa nastaja varnostni problem: kdo dejansko nadzoruje, do česa lahko dostopa programski agent in kaj lahko naredi v imenu zaposlenega?
Na ta izziv stavi ameriško-izraelsko podjetje Cymphony, ki je zbralo 30 milijonov dolarjev novega financiranja. Krog vključuje 25 milijonov dolarjev serije A, ki sta jo vodila Sequoia Capital in SMBC Fin Atlas Beyond Fund. Podjetje s sedežema v New Yorku in Tel Avivu je po naložbi vrednoteno na več kot 100 milijonov dolarjev. Sequoia je Cymphony podprl že v semenski fazi.
Za podjetja v Sloveniji in širši Evropi je vprašanje relevantno ne glede na njihovo velikost. Z uvajanjem pomočnikov UI, povezovanjem jezikovnih modelov z internimi dokumenti ter avtomatizacijo delovnih procesov se širi tudi število digitalnih sistemov, ki lahko samostojno dostopajo do občutljivih informacij. Tradicionalna pravila upravljanja dostopov, zasnovana predvsem za zaposlene, pri tem pogosto niso dovolj.
## Ko uporabnik ni več človek
Cymphony razvija platformo za nadzor tako imenovanih nečloveških identitet. To niso le agenti umetne inteligence, temveč tudi avtomatizirani boti, skripti, aplikacije, integracije prek API-vmesnikov, storitveni računi in povezane naprave, ki lahko samostojno izvajajo naloge ali dostopajo do poslovnih sistemov.
Ključna težava je, da imajo ti sistemi lahko enake ali celo širše pravice kot zaposleni. Agent lahko na primer prebere dokumente v poslovnem oblaku, povzame pogodbe, poišče podatke v CRM-sistemu, pošlje elektronsko sporočilo ali spremeni dovoljenja. Če je nepravilno nastavljen, kompromitiran ali uporabljen prek neodobrenega orodja, se lahko občutljivi podatki hitro razkrijejo.
Cymphony želi varnostnim ekipam ponuditi enoten pregled nad tem, katere identitete — človeške in nečloveške — imajo dostop do katerih sistemov in podatkov. Platforma povezuje podatke o identitetah, dovoljenjih, dejavnostih in občutljivosti podatkov v tako imenovani »graf delovne sile«.
Preprosteje povedano: namesto ločenih seznamov uporabnikov, aplikacij in datotek skuša sistem narisati zemljevid odnosov med zaposlenimi, agenti, podatki in dostopi. Varnostna ekipa lahko tako hitreje zazna, če ima določen agent preveč široka dovoljenja, če uporablja podatke, do katerih ne bi smel dostopati, ali če se njegovo vedenje nenavadno spremeni.
»Varnost podjetij je bila zasnovana za človeške zaposlene,« je za TechCrunch povedal soustanovitelj in izvršni direktor Cymphonyja Shy Dekel. »V delovno silo pa vstopajo samostojne entitete, ki niso več ljudje.«
## Tisoči občutljivih datotek dostopni orodjem UI
Podjetje navaja, da je pri eni od ameriških javnih družb odkrilo okoli 85.000 datotek, ki so postale dostopne orodjem in agentom umetne inteligence. Cymphony trdi, da je pomagal zapreti to izpostavljenost ter preveril, da prek teh sistemov do datotek ni bilo dostopano.
Dekel je opisal tudi primer zunanjega sodelavca, ki je namestil neodobreno različico Anthropicovega sistema Claude. Ta je z uporabo že obstoječih dovoljenj sodelavca pregledala več tisoč občutljivih datotek.
Takšni primeri opozarjajo na pojav, ki ga podjetja dobro poznajo tudi pri drugih oblikah tehnologije: zaposleni ali zunanji izvajalci lahko zaradi večje produktivnosti uporabijo orodja, ki niso prestala uradnega varnostnega preverjanja. Pri agentih UI je tveganje večje, ker ne gre le za posamezen prenos datoteke ali prijavo v storitev, ampak za sistem, ki lahko v kratkem času pregleda, poveže in obdela velike količine podatkov.
Cymphony svoje agente UI uporablja tudi za preiskovanje incidentov, določanje prednosti pri odpravljanju tveganj in avtomatizacijo ukrepov, kot je popravljanje dovoljenj. Za kompleksnejše primere ponuja še upravljano storitev, pri kateri se v postopek vključijo njegovi varnostni strokovnjaki.
## Zakaj je Sequoia ponovno vložil
Sequoia je podjetje podprl, še preden je imelo dokončan produkt ali jasno določeno poslovno usmeritev. Partner sklada Bogomil Balkansky je povedal, da je bila začetna naložba predvsem stava na ustanovitelje: Shyja Dekla, Idana Berkovitsa in Edija Gotlieba, povezane z izraelskim vojaškim tehnološko-vodstvenim programom Talpiot.
Ob seriji A je imel Cymphony po lastnih navedbah že izdelek, dvomestno število poslovnih strank in sedemmestne letne ponavljajoče se prihodke v prvem letu prodaje. Med naročniki navaja KKR, Syngento, Cass Information Systems in Athennian. Sequoia naj bi platformo uporabljal tudi interno že v zgodnji fazi njenega razvoja.
## Tekmovanje z velikani, a drugačen pristop
Trg varnosti agentov UI je vse bolj zaseden. Svoje rešitve na presečišču identitete, podatkov in umetne inteligence širijo Microsoft, Okta, CyberArk, Wiz in Varonis. Cymphony zato ne tekmuje zgolj z drugimi mladimi podjetji, temveč tudi z velikimi ponudniki, ki že obvladujejo področja upravljanja identitet in varovanja podatkov.
Njegova glavna razlika naj bi bila v celostnem obravnavanju identitet, podatkov in dejanskega vedenja sistemov. Klasična orodja praviloma odgovorijo na vprašanje, kdo ima določeno dovoljenje. Pri agentih UI pa to ni vedno dovolj: agent lahko izvaja večstopenjske naloge, uporablja različne poti do podatkov, pridobiva nove zmožnosti ali sproža druge agente.
Balkansky meni, da obstoječa orodja za upravljanje identitet niso bila zasnovana za sisteme, ki lahko med izvajanjem spreminjajo svoje vedenje in zmožnosti. Cymphony naj bi zato za zdaj deloval predvsem kot dodatna varnostna plast ob obstoječih rešitvah, ne kot njihova neposredna zamenjava.
Podjetje ima približno 30 zaposlenih v Tel Avivu in New Yorku. Večina strank je v Severni Ameriki, vendar Cymphony zaznava tudi povpraševanje iz Evrope, Bližnjega vzhoda in Afrike.
Z večanjem uporabe avtonomnih sistemov bo nadzor dostopa agentov UI najverjetneje postal eno pomembnejših področij kibernetske varnosti. Podjetja ne bodo več upravljala le uporabniških računov zaposlenih, temveč celotno mrežo digitalnih sodelavcev — od internih botov in API-povezav do naprednih agentov, ki bodo lahko samostojno dostopali do podatkov ter izvajali poslovne naloge.
