Sysdig heeft AI Defense algemeen beschikbaar gesteld. De nieuwe oplossing beoordeelt elke actie van een AI-agent in real-time ongeacht het apparaat. Het doel is om elke ongewenste actie van een agent tegen te houden voordat er problemen ontstaan. Dit kent aardig wat complexiteit, omdat agents de daad niet altijd bij het woord voegen. Daarom vergelijkt Sysdig wat de agent zegt te doen met wat de kernel daadwerkelijk ziet gebeuren.
Sysdig AI Defense beoordeelt agentic acties voordat ze een directe impact op de IT-infrastructuur hebben. Op basis van het beleid van een organisatie wordt een actie toegestaan, ter bevestiging voorgelegd of volledig automatisch geblokkeerd. Net als Sysdig Secure is AI Defense gebouwd op de runtime security engine Falco.
Het Threat Research Team van Sysdig laat blijken wat de risico’s zijn. Zo ontdekte men onlangs JADEPUFFER, een ransomwarecampagne van deze zomer waarin een AI-agent de aanval zelfstandig uitvoerde. De agent wist toen binnen 31 seconden zelf een mislukte inlogpoging op te lossen. Sysdig zet zelf ook agents in, maar dan aan de verdedigende kant. Sage bestaat uit meerdere agents die gezamenlijk volgens het bedrijf een AI-cloudsecurityanalist vormen.
Kernel als bron van waarheid
De nieuwe AI Defense-oplossing kijkt op twee niveaus naar agentic acties. Binnen de agent moet de harness zorgen voor controle. Dit is het framework waarin de agent draait, veelal bestaande uit een reeks instructies in leesbare taal en beperkingen via regels. De informatie vanuit de harness biedt al veel context. Zo is zichtbaar welke tools, MCP-servers, skills en plugins worden aangeroepen, en met welke argumenten. Op kernelniveau houdt AI Defense een registratie bij die niet te compromitteren is door een losgeslagen of overgenomen agent. Voor elke actie in een agentlog ziet de kernel volgens Sysdig zo’n zeven processen.
“Een agent kan een tool call verkeerd rapporteren, maar hij kan zijn interacties met het systeem of de buitenwereld niet herschrijven”, zegt oprichter en CTO Loris Degioanni. Spreken log en gedrag elkaar tegen, dan volgt een detectie. Context weegt tevens mee. Een credential voor een testomgeving lezen is bijvoorbeeld ruis, zo legt Sysdig uit, maar het lezen van de productiesleutel wordt al gauw tot een werkelijk incident gebombardeerd. De precisie op dit gebied moet voorkomen dat er vooral veel ruis binnenkomt, met zoveel mogelijk automatische wijzen om incidenten te voorkomen voordat een mens naar data hoeft te kijken.
Van inventaris tot AI-kosten
Teams worden wel op de hoogte gehouden. Zo ontvangt men een live overzicht van agents in onder meer Claude Code, Codex, GitHub Copilot en Cursor. Deze zijn elk gekoppeld aan een verantwoordelijke persoon. Het beleid is vanuit templates geregeld, onder meer op basis van de OWASP Top 10 for LLM Applications. Het draait aanvankelijk in een alert-modus. Verder legt de tool sessies vast in immutable auditrecords en koppelt het elke modelaanroep aan een agent, team en persoon, zodat er altijd een keten van verantwoordelijke mensen en oplossingen is.