Questo articolo riassume le informazioni chiave emerse da un'intervista con Max Romanenko, Chief Engineering Officer presso il fornitore di database multimodello EDB. La discussione si concentra su come le imprese regolamentate possono eliminare i rischi legati all’intelligenza artificiale, tra cui la perdita di dati sensibili e le azioni di superamento non conformi attraverso solidi controlli a livello di dati e infrastruttura.
Differenze fondamentali tra agenti AI, utenti umani e applicazioni tradizionali
Gli agenti IA differiscono fondamentalmente dagli operatori umani e dalle applicazioni convenzionali. Operando 24 ore su 24, 7 giorni su 7, con velocità di esecuzione e fedeltà molto più elevate, gli agenti IA sono destinati ad espandere la forza lavoro digitale globale di oltre il 34% entro tre anni: una scala di crescita che ha richiesto decenni per essere raggiunta dalla forza lavoro umana. Questa rapida adozione richiede framework completamente nuovi per il controllo degli accessi, la governance delle decisioni e la progettazione dell’infrastruttura.
Le applicazioni tradizionali operano entro parametri fissi e prevedibili, mentre gli utenti umani agiscono con un chiaro contesto aziendale basato sui ruoli. Al contrario, gli agenti IA funzionano senza confini predefiniti: interpretano autonomamente le attività, determinano i dati contestuali richiesti e recuperano informazioni in tempo reale senza l’approvazione umana passo dopo passo. La tradizionale convalida delle credenziali non è più sufficiente. I sistemi IT devono inoltre verificarese il comportamento di un agente corrisponde all'ambito dell'attività assegnata. Ad esempio, un agente di rilevamento delle frodi bancarie dovrebbe accedere solo ai record dei clienti rilevanti per il suo caso in corso, con una rigorosa governance dei dati in linea che blocchi l’accesso ai dati incrociati non correlati.
Gestione dell'identità e dell'accesso specifica per l'agente (distinta dall'IAM umano)
Gli agenti IA richiedono sistemi di controllo dell'identità e degli accessi contestuali dedicati e non possono fare affidamento sui convenzionali framework IAM umani. Gli agenti eseguono spesso centinaia di attività diverse ogni ora, richiedendo autorizzazioni centrate e regolate dinamicamente e sensibili al contestospecifico del compitoe precisione di accesso basata sullo scenario.
Una diffusa trappola per la sicurezza aziendale è quella di garantire agli agenti ampi privilegi sugli account di servizio o autorizzazioni complete di utenti umani ereditati, convalidando solo le credenziali anziché la legittimità dell'accesso ai dati basato sulle attività. Agli agenti con funzioni aziendali distinte, come l'analisi delle frodi bancarie e il servizio clienti, devono essere assegnate identità isolate e limiti di autorizzazione personalizzati per creare rigorosi guardrail di sicurezza dei dati.
Definizione e applicazione dei limiti delle autorizzazioni per gli agenti AI tra sistemi
Gli agenti IA che operano su più sistemi richiedonolimiti di accesso preventivi e mirati. Gli agenti dovrebbero accedere solo ai dati essenziali per il loro compito immediato, anche se l'utente o l'applicazione che li invoca dispone di privilegi più ampi. Le autorizzazioni devono essere strettamente limitate alle esigenze delle attività in tempo reale e scadere al completamento dell'attività.
Le policy generiche a livello di applicazione non riescono a governare l'attività degli agenti che abbraccia API, sistemi di recupero e database. L’applicazione della sicurezza deve spostarsi al livello dati, dove risiedono i record sensibili e dove vengono prese le decisioni finali sull’accesso. EDB sfrutta le autorizzazioni native basate sui ruoli di PostgreSQL e la sicurezza a livello di riga (RLS) per applicare la governance degli agenti a livello di database, anziché fare affidamento su piani di controllo aftermarket. Questo approccio bilancia sicurezza e prestazioni, con un livello completo di governance dell'agente previsto per il rilascio futuro.
Mitigare i rischi di conformità derivanti dalle autorizzazioni umane ereditate
Le architetture di autorizzazione aziendali legacy sono progettate per dipendenti umani fidati e applicazioni deterministiche, non per agenti IA autonomi e che si comportano dinamicamente. Ciò crea gravi rischi di conformità per i settori regolamentati: gli operatori sanitari e finanziari possono accedere legalmente ai dati sensibili dei pazienti o dei clienti tramite credenziali valide, ma eccedere l’ambito aziendale consentito, innescando violazioni della conformità.
La soluzione definitiva è fornire a ciascun agente AI un'identità indipendente univoca, privilegi bloccati sulle attività e autorizzazioni di lettura/scrittura separate. I controlli a livello di riga a livello di database garantiscono una visibilità precisa dei dati, impedendo agli agenti di diventare bypass non regolamentati dei sistemi di conformità aziendale.
Audit, controllo a livello di riga e standard politici per ambienti di intelligenza artificiale regolamentati
Il controllo degli agenti di livello di conformità richiede tracciabilità end-to-end, registrazione completa dell'identità dell'agente, origine di chiamata, dati a cui si accede, policy di autorizzazione e azioni successive per ricostruire il contesto aziendale completo: una funzionalità che i log di accesso di base non possono fornire. Una governance efficace si basa suapplicazione nativa del livello datitramite i controlli integrati di PostgreSQL, anziché tramite controlli retrospettivi.
I sistemi devono inoltre differenziare i livelli di rischio tra le azioni di lettura e scrittura dell'agente con autorizzazioni personalizzate per lo scenario. Ad esempio, l’accesso ai dati dei clienti per le indagini sulle frodi è diverso dalle richieste di routine del servizio clienti, proprio come l’accesso ai dati clinici e amministrativi dei pazienti sono isolati nel settore sanitario. La sicurezza a livello di riga blocca l'accesso fuori ambito alla fonte, limitando gli agenti solo ai record corrispondenti alle attività ed eliminando i rischi di esposizione di dati sensibili in massa.
Adozione sicura dell’intelligenza artificiale per le industrie regolamentate tramite un’infrastruttura di dati sovrana
Le organizzazioni finanziarie, di telecomunicazioni e sanitarie devono aderire al principio fondamentale:portare l’intelligenza artificiale nei dati, non i dati nell’intelligenza artificiale. I dati sensibili regolamentati non devono mai essere migrati verso piattaforme esterne e non controllate, il che infrange i confini della governance sovrana e introduce rischi di esposizione.
Le aziende dovrebbero implementare l’intelligenza artificiale e l’analisi in aggiunta alle basi dati esistenti, affidabili e governate. L'unificazione dei dati transazionali, dei carichi di lavoro analitici e dell'intelligenza artificiale degli agenti in un'unica architettura conforme elimina piattaforme frammentate e modelli di controllo incoerenti, evitando la migrazione forzata dei dati e il blocco dei fornitori.
Sovranità dei dati: dai termini legali all'applicazione tecnica
La sovranità dei dati non può rimanere semplicemente un requisito legale o contrattuale: deve essere integrata nella logica del sistema runtime. Gli accordi legali non possono limitare il comportamento degli agenti, come l'aggregazione di dati non autorizzata, l'esecuzione di query tra domini o la fuga di dati regolamentata. Le aziende regolamentate devono applicare controlli sovrani a livello di dati tramite autorizzazioni native del database e sicurezza a livello di riga per fornire vincoli di sicurezza obbligatori in tempo reale.
Il ruolo degli agenti di intelligenza artificiale nella governance della sovranità
Gli agenti IA possono tuttavia assistere nella gestione della sovranità dei datinon deve mai fungere da autorità finale. Identificano in modo efficace modelli di accesso anomali, segnalano l'utilizzo di dati disallineati e rilevano configurazioni obsolete, riducendo l'onere dell'ispezione manuale per ambienti di dati moderni e complessi.
Tuttavia, le regole fondamentali di sovranità e i confini di sicurezza devono essere definiti e controllati da amministratori umani. Gli agenti di intelligenza artificiale operano rigorosamente all’interno dei quadri di governance stabiliti dall’azienda e non hanno l’autorità di ignorare o aggirare le politiche di conformità e sovranità stabilite.
Pechino Qianxing Jietong Technology Co., Ltd.
Sandy Yang/Direttore della strategia globale
WhatsApp/WeChat: +86 13426366826
E-mail: yangyd@qianxingdata.com
Sito Web: www.qianxingdata.com/www.storagesserver.com
Obiettivo aziendale:
Distribuzione prodotti ICT/Integrazione di sistemi e servizi/Soluzioni infrastrutturali
Con oltre 20 anni di esperienza nella distribuzione IT, collaboriamo con marchi leader a livello mondiale per fornire prodotti affidabili e servizi professionali.
"Utilizzare la tecnologia per costruire un mondo intelligente" Il tuo fornitore di servizi di prodotti ICT di fiducia!
Il tuo messaggio deve contenere da 20 a 3000 caratteri!
Italian
