Saldırgan akıl yürüttüğünde ne değişir
İmza tabanlı tespit, kötü amaçlı kodun ve komut dizilerinin artefakt olarak yakalanabilecek kadar kararlı olduğunu varsayar: dosya hash'leri, byte desenleri, bilinen komut dizeleri. Bu varsayım, bir sızma aracı sabit bir script çalıştırdığında geçerlidir. Araç, çalışma zamanında bir model panelinden sonraki eylemini seçtiğinde başarısız olur.
Böyle bir sistemde payload tek bir artefakt değil, eylemler üzerine bir politikadır. Her çalıştırma farklı bir dizi üretebilir: burada bir dosya okuma, orada bir API çağrısı, başka bir yerde küçük bir transfer. Panel yeni primitifler icat etmiyor; meşru görünenler arasından seçim yapıyor. Sonuç, statik imzaların ve hash eşleştirmenin hızla değer kaybetmesidir, çünkü gözlemlenebilir çıktı sabit bir dize değil bir dağılımdır. Davranışını uyarlamak için dil modellerini entegre eden kötü amaçlı yazılım raporları, gidişatın yönünü göstermektedir [1].
Döngü ortamın izin verdiğine uyum sağladıkça kalma süresi kısalır. Belirli bir API izleniyorsa, döngü ondan kaçınabilir. Bir hedef engelliyse, başka birini seçebilir. Sızma, sabit bir kill chain değil, izin verilen eylemler uzayı üzerinde bir arama problemine dönüşür.
Agent biçimli trafik için davranışsal tespit
Savunma yanıtı, artefaktlar yerine davranışı temel almak yani baseline oluşturmaktır. Her kimlik için — kullanıcı, servis hesabı veya agent — ilgili sinyaller yalnızca trafik hacmi değil, tool call'ların dizisi ve fan-out'udur.
Somut bir mekanizma: tool call'lar üzerinde kimlik başına bir geçiş modeli kurun. Her kimlik için hangi tool call'ların hangilerini takip ettiğini, hangi parametrelerle ve hangi hızda olduğunu kaydedin. Model güdümlü bir sızma, yerel olarak makul ama küresel olarak sıra dışı diziler üretecektir: bir yapılandırma dosyasının okunması, ardından bir bulut metadata endpoint'ine çağrı, sonra tanıdık olmayan bir hedefe küçük bir egress. Tek bir adım kötü amaçlı değildir. Kombinasyon sinyaldir.
Ayrıcalık yükseltme bu yaklaşıma özellikle uygundur çünkü genellikle tek tek zararsız adımlar dizisi olarak gelir. Bir rol varsayımı, bir politika okuması, bir token değişimi, daha önce salt okunur olan bir kaynağa yazma. Her adım politika içindedir. Dizi değildir. Bu nedenle tespit, noktayı değil yolu değerlendirmek zorundadır.
Okuma kapsamı ile egress hedefinin alışılmadık kombinasyonları bir diğer yüksek değerli sinyaldir. Normalde tek bir veritabanından okuyup tek bir kuyruğa yazan bir kimliğin, bir secrets store'dan okuyup yeni bir alan adına egress yapması için hiçbir neden yoktur. Okuma kapsamı ve hedef tek başına izinlidir; eşleşmeleri değildir.
Dürüst ödünleşim: davranışsal baseline'lar bir ısınma süresi gerektirir ve meşru iş değiştiğinde yanlış pozitifler üretir. Yeni bir dağıtım, bir migrasyon veya meşru bir agent kullanıma alma süreci bir sapma gibi görünecektir. Ekipler ne kadar tolerans tanınacağına karar vermelidir ve bu tolerans tam olarak uyarlanabilir bir davetsiz misafirin kullanacağı alandır. Hem yanlış pozitifleri hem de kaçınmayı ortadan kaldıran bir eşik yoktur; yalnızca hangi başarısızlık modunun kabul edilebilir olduğuna dair bir seçim vardır.
Agent platformları için çıkarımlar
Agent platformları bu problemi doğrudan devralır. Bir agent'ın kendi tool kullanım profili — bir dizi dosya okuması, API çağrısı ve küçük transfer — kimlik ve niyet çağrı anında bağlanmadıkça ele geçirilmiş bir profilden ayırt edilemez. Platform, bir çağrının agent karar verdiği için mi yoksa bir saldırg
İlk çıkarım, sandboxing ve egress politikasının bir prompt'ta talep edilmek yerine runtime tarafından uygulanması gerektiğidir. Bir prompt talimatı bir öneridir; bir runtime politikası bir kısıtlamadır. Agent talimatı görmezden gelmeye ikna edilebiliyorsa, talimat hiçbir zaman bir kontrol değildi. Runtime, agent'ın ne yapmasına izin verildiğini, ne yapmasının istendiğinden bağımsız olarak uygulamalıdır.
İkinci çıkarım, loglamanın yalnızca eylemi değil kararı da yakalaması gerektiğidir. "X dosyasını okudu" kaydeden bir log yetersizdir. "Planlayıcı C bağlamında A eylemini P politikası altında seçtiği için X dosyasını okudu" kaydeden bir log, bir gözden geçirenin bir çağrının neden izin verildiğini yeniden kurgulamasını sağlar. Bu, bir denetim izi ile bir olaylar listesi arasındaki farktır.
Kimlik ve niyeti çağrı anında bağlamak bunu mümkün kılan mekanizmadır. Her tool call, hangi agent tarafından, hangi politika altında ve hangi belirtilen amaç için yapıldığına dair imzalı bir iddia taşır. Runtime, yürütmeden önce iddiayı doğrular. İddia eksikse veya politikayla tutarsızsa çağrı reddedilir. Bu, bir agent'ın ele geçirilmesini engellemez, ancak ele geçirilmiş bir agent'ın neler yapabileceğini sınırlar ve ele geçirilmeyi karar logunda görünür kılar.
Bir başka ödünleşim: niyeti çağrı anında bağlamak gecikme ve karmaşıklık ekler. Artık her çağrı bir doğrulama adımı ve bir politika değerlendirmesi gerektirir. Yüksek verimli agent sistemleri için bu önemli bir maliyet olabilir. Alternatif — agent'ın kendi niyet tanımına güvenmek — daha ucuzdur ancak hiçbir güvenlik sınırı sağlamaz. Ekipler sınırı nereye yerleştireceğine karar vermelidir ve bu seçim bir davetsiz misafirin neye ulaşabileceğini belirler.
Sırada ne yapmalı
Pratik adımlar gösterişsizdir. Kimlik başına tool call'ların dizisini ve fan-out'unu baseline olarak belirleyin. Okuma kapsamı ile egress hedefinin alışılmadık kombinasyonlarını sinyal olarak değerlendirin. Sandboxing ve egress politikasını runtime'da uygulayın. Yalnızca eylemi değil kararı loglayın. Kimlik ve niyeti çağrı anında bağlayın.
Bu adımların hiçbiri tam bir savunma değildir. Uyarlanabilir bir davetsiz misafir sınırları yoklayacak ve tanınan toleransı kullanacaktır. Ancak tespit problemini hızla değer kaybeden artefaktlardan, görünür hale gelmeden değiştirilmesi daha zor olan davranışa taşırlar. Saldırgan kendi sonraki hamlesini seçtiğinde tek kalıcı konum budur.