Red Hat and NVIDIA introduce a new security model for AI agents: BlueField, DOCA Argus and OpenShift

Autonomiczni agenci AI zaczynają wykonywać rzeczywiste operacje w systemach przedsiębiorstw. Mogą analizować dane, komunikować się z aplikacjami i uruchamiać zadania bez bezpośredniego udziału człowieka. Red Hat i NVIDIA proponują nową architekturę bezpieczeństwa, która wykorzystuje izolację sprzętową, monitorowanie pamięci oraz egzekwowanie polityk dostępu poza systemem operacyjnym.

Dlaczego tradycyjne zabezpieczenia AI przestają wystarczać?

Dotychczas bezpieczeństwo sztucznej inteligencji kojarzono przede wszystkim z kontrolowaniem odpowiedzi modeli językowych.

Stosowano odpowiednie instrukcje systemowe, ograniczenia treści oraz mechanizmy filtrowania niedozwolonych odpowiedzi.

W przypadku autonomicznych agentów AI problem staje się znacznie bardziej skomplikowany.

Agent nie tylko odpowiada na pytania użytkownika. Może również:

• wykonywać polecenia w systemie operacyjnym,
• komunikować się z interfejsami API,
• pobierać i modyfikować dokumenty,
• odczytywać dane biznesowe,
• uruchamiać inne narzędzia i usługi,
• podejmować kolejne działania na podstawie wcześniejszych wyników.

Pojawia się więc pytanie: jak zatrzymać agenta AI, który zacznie wykonywać operacje wykraczające poza jego uprawnienia?

Red Hat i NVIDIA proponują rozwiązanie, w którym ochrona działa niezależnie od samego agenta i środowiska systemowego, w którym został uruchomiony.

NVIDIA BlueField — osobna warstwa zaufania

Podstawą nowej architektury są układy NVIDIA BlueField DPU.

DPU, czyli Data Processing Unit, to wyspecjalizowany procesor przeznaczony między innymi do realizacji zadań sieciowych, infrastrukturalnych i bezpieczeństwa.

W odróżnieniu od klasycznych rozwiązań uruchamianych wyłącznie na głównym procesorze serwera, BlueField może wykonywać wybrane funkcje bezpieczeństwa w odrębnym środowisku sprzętowym.

Pozwala to oddzielić mechanizmy ochronne od systemu operacyjnego obsługującego aplikacje i agentów AI.

Ma to fundamentalne znaczenie w sytuacji, gdy system główny zostanie zaatakowany.

Nawet jeśli atakujący uzyska kontrolę nad środowiskiem aplikacyjnym, odpowiednio skonfigurowane mechanizmy działające na DPU mogą pozostać poza jego bezpośrednią kontrolą.

DOCA Argus — monitorowanie zagrożeń z poziomu sprzętu

Jednym z kluczowych elementów rozwiązania jest NVIDIA DOCA Argus.

Technologia umożliwia monitorowanie wybranych struktur pamięci systemu operacyjnego z odrębnej domeny zaufania DPU.

Pozwala analizować informacje związane między innymi z:

• uruchomionymi procesami,
• połączeniami sieciowymi,
• aktywnością systemową i plikową,
• identyfikacją wykonywanego oprogramowania.

Istotną cechą tego podejścia jest możliwość obserwowania środowiska bez konieczności instalowania klasycznego agenta monitorującego w chronionym systemie.

W przypadku wykrycia podejrzanej aktywności DOCA Argus może wygenerować alert, który zostanie wykorzystany przez zintegrowany system bezpieczeństwa do uruchomienia odpowiedniej reakcji.

OpenShift 4.22 i sprzętowa izolacja środowisk

Red Hat OpenShift 4.22 obsługuje NVIDIA BlueField-3 DPU.

W opisywanej architekturze wykorzystywane są dwa odrębne środowiska klastrowe.

Pierwszy klaster działa na głównych procesorach serwera i obsługuje aplikacje oraz agentów AI.

Drugi wykorzystuje procesory Arm dostępne na kartach BlueField. Odpowiada za wybrane zadania sieciowe i bezpieczeństwa.

Zarządzanie tym środowiskiem odbywa się z wykorzystaniem DOCA Platform Framework.

Takie rozwiązanie pozwala oddzielić warstwę aplikacyjną od infrastrukturalnej warstwy kontroli.

W określonych konfiguracjach BlueField może również ograniczać dostęp systemu głównego do interfejsów zarządzania DPU.

Co się stanie, gdy agent AI zostanie przejęty?

Jednym z najpoważniejszych zagrożeń dla agentów AI są ataki typu prompt injection.

Atakujący może umieścić złośliwe instrukcje w dokumencie, wiadomości lub innym źródle danych przetwarzanym przez agenta.

Jeżeli agent potraktuje taką zawartość jako polecenie, może próbować wykonać nieautoryzowane działanie.

Innym scenariuszem jest przejęcie komponentu programowego wykorzystywanego przez agenta.

W architekturze przedstawionej przez Red Hat i NVIDIA mechanizmy ochronne mogą działać według następującego schematu:

1. Agent AI wykonuje operacje w środowisku OpenShift.
2. Mechanizmy runtime kontrolują zakres dozwolonych działań.
3. DOCA Argus monitoruje wybrane oznaki aktywności systemowej z poziomu DPU.
4. Podejrzane zachowanie powoduje wygenerowanie alertu.
5. Zintegrowany system bezpieczeństwa może uruchomić izolację zagrożonego obciążenia przez mechanizmy sieciowe BlueField.

Według producentów odpowiednio zintegrowana architektura umożliwia bardzo szybkie odizolowanie skompromitowanego środowiska.

Nie oznacza to automatycznej ochrony przed każdym atakiem. Skuteczność zależy od konfiguracji, zakresu dostępnej telemetrii oraz integracji mechanizmów wykrywania i reagowania.

NVIDIA OpenShell — kontrola działania agentów

Całość uzupełnia NVIDIA OpenShell Reference Architecture.

OpenShell zapewnia warstwę kontroli środowiska wykonawczego agenta, natomiast mechanizmy oparte na BlueField i DOCA odpowiadają za dodatkową obserwację i egzekwowanie ograniczeń na poziomie infrastruktury.

Powstaje model wielowarstwowego bezpieczeństwa, obejmujący:

• kontrolę uprawnień i działań agenta,
• izolację środowiska wykonawczego,
• monitorowanie aktywności systemowej,
• ochronę warstwy sieciowej,
• możliwość szybkiego ograniczenia komunikacji skompromitowanego obciążenia.

To podejście jest zgodne z zasadą Zero Trust — żaden komponent nie powinien otrzymywać większych uprawnień, niż są mu rzeczywiście potrzebne.

Nowy standard dla firmowych platform AI?

Rozwiązania agentowe coraz częściej integrują się z systemami ERP, CRM, repozytoriami dokumentów i wewnętrznymi bazami danych.

W takich zastosowaniach bezpieczeństwo nie może zależeć wyłącznie od tego, czy model językowy prawidłowo zinterpretuje instrukcje.

Potrzebne są niezależne mechanizmy ograniczające możliwości działania agentów.

Kierunek zaprezentowany przez Red Hat i NVIDIA pokazuje, że ochrona autonomicznej AI będzie coraz silniej powiązana z architekturą infrastruktury.

Kontrola dostępu, segmentacja sieci, izolacja procesów oraz sprzętowe mechanizmy monitorowania mogą stać się istotnymi elementami firmowych platform agentowych.

Co to oznacza dla przedsiębiorstw?

Organizacje planujące wdrażanie agentów AI powinny już na etapie projektowania określić:

• do jakich systemów agent może uzyskać dostęp,
• jakie operacje wolno mu wykonywać samodzielnie,
• które działania wymagają zatwierdzenia przez człowieka,
• w jaki sposób rejestrowana jest aktywność agentów,
• jak wykrywać i izolować nieautoryzowane zachowania.

Wraz ze wzrostem autonomii systemów AI rośnie również znaczenie ich nadzoru.

Alterkom — bezpieczna infrastruktura dla agentów AI

W Alterkom rozwijamy rozwiązania łączące lokalne modele językowe, automatyzację procesów biznesowych oraz integrację z systemami przedsiębiorstw.

W tego rodzaju środowiskach kluczowe znaczenie mają odpowiednio zaprojektowane mechanizmy uwierzytelniania, autoryzacji, zarządzania dostępem i monitorowania operacji.

Rozwiązania takie jak Red Hat OpenShift oraz technologie NVIDIA pokazują, jak można rozbudowywać tę architekturę o kolejne warstwy ochrony.

Przyszłość agentów AI to nie tylko większa autonomia, ale przede wszystkim możliwość bezpiecznego kontrolowania ich działań.