Feleannyi sem látszik a hálózatból, mint gondolnánk — az AI-ügynökök vakfoltjai veszélyesek

A végpont ügynökök nem tudnak saját hiányukról beszámolni. A 2026-os Axonius Actionability Report, amelyet a Ponemon Institute-tal közösen végeztek 662 IT- és biztonsági szakember bevonásával, számszerűsíti azt a rést, amellyel a SOC-csapatok évek óta küzdenek. Az Axonius ügyfélbázisában 298 000 eszköz átlagos leltárában 12,7% hiányzik a várt biztonsági ügynökből. Ha egy eszközön nincs ügynök, egyetlen felügyeleti konzol sem mutatja. Ha egy CMDB-rekord elavult, semmilyen egyeztetés nem jelzi. Egy alkalmazott, aki a beszerzésen kívül telepített Claude Enterprise-t, SaaS-munkateret, identitásfelületet és API-token-lábnyomot hozott létre, amelyet a végpont telemetria önmagában nem tud megbízhatóan leltározni. Az EDR irányítópultjának fedezeti százaléka szerkezetileg hiányos, mert a jelentési mechanizmus nem látja, amit nem fed le. Ez a rés most fontosabb, mint hat hónapja.

A SOC és XDR gyártók egyre több autonóm vizsgálatot és helyreállítást vezetnek be. Ezek az ügynökök ugyanazokat az irányítópultokat fogják lekérdezni, ugyanazokban a fedezeti százalékokban fognak bízni, és ugyanazokon a vakfoltokon fognak cselekedni, amelyekkel az emberi elemzők megtanultak együtt élni. Egy emberi elemző megkérdőjelez egy 98%-os fedezeti számot. Egy autonóm ügynök ezt alapigazságnak tekinti, és gépi sebességgel halad.

Kapcsolódó: Microsoft Agent 365

Három független jelzés egyezik a résről

A Gravitee 2026-os, több mint 900 vezető bevonásával végzett felmérése szerint a válaszadók 88%-a számolt be megerősített vagy feltételezett AI-val kapcsolatos incidensről, és csak 14,4%-uk küldött ügynököket élesben, teljes biztonsági jóváhagyással. Az Axonius/Ponemon jelentése szerint a válaszadók 52%-az engedné, hogy az autonóm ügynökök cselekedjenek a javaslatok alapján, miközben 63% szerint az alapul szolgáló adatokból hiányzik a fontos információ. A CSA Agentic Trust Framework ellenőrzött adatkezelést ír elő, mielőtt az ügynökök bármilyen megállapításon cselekednének.

Mike Riemer, az Ivanti vezető CISO-ja szerint az Azure mézeskalács hálózatain található ismert sebezhetőségeket már 90 másodpercen belül támadják. „A hagyományos biztonsági intézkedések továbbra is működnek” — mondta Riemer a VentureBeatnek. A figyelmeztetés az, hogy ezek az intézkedések csak azt védik, amit látnak. Egy EDR ügynök, amely az eszközleltár 87,3%-án van telepítve, a maradék 12,7%-ot az ügynök telemetriáján, szabályzat-érvényesítésén és észlelési logikáján kívül hagyja.

Kapcsolódó: adatok nyomkövetése

A telepítési adatok kvantifikálják a méretet

Joe Diamond, az Axonius vezérigazgatója szerint az átlagos CISO nagyjából a hálózaton lévő dolgok 50%-át látja. „Tegyük fel, hogy a környezetük 50%-a sötét anyagban ül” — mondta Diamond. „Nem tudják, mi az, hol van, ki fér hozzá, biztonságos-e, nem biztonságos-e.” A több mint 900 Axonius ügyfél telepítési adatai megerősítik ezeket a számokat. A TransUnion 70%-ról 99%-ra javította a végpontok fedezetét a külső ellenőrzés után. A Western Union 85%-ról 99%-ra javított 38 eszközből származó adatok konszolidálásával és a manuális munkafeladatok felére csökkentésével. A Lumen 1,1 millió eszközt fedezett fel, ahol a CMDB 17 000-et mutatott. Ez szervezetként nagyjából 37 000 nem kezelt végpontot jelent, amelyek minden szabályzaton, minden javítási ciklusn és minden észlelési szabályon kívül esnek.

Diamond a Mythos-t, az Anthropic határvonalon lévő érvelési modelljét említette, mint jelet arra, hogy a gépi sebességű támadási képesség minden ismeretlen eszközt sokkal kockázatosabbá tesz, mint ma. „Az embereknek hajlamosak a csillogó tárgy szindrómája” — mondta. „Ha nem értette, hogyan néz ki a környezete 50%-az egy hagyományos végpont szempontjából, és azt hiszi, hogy szélsebesen fog eljutni az AI granuláris vezérléséhez és irányításához, a programja kudarcot vall.” Diamond az általánosabb AI-váltást „akkora, ha nem nagyobb, mint az internet.”

Három megközelítés versenyez a rés betöltéséért

Egyetlen architektúra sem oldja meg ma a láthatósági problémát. Három megközelítés versenyez, mindegyik névvel ellátott kompromisszumokkal, amelyeket a biztonsági csapatoknak a beszerzés előtt értékelniük kell. A dedikált integrációs réteg kétirányú API-adaptereket használ egy mindig naprakész leltár felépítéséhez. Az Axonius több mint 1400 adaptert futtat, és most a titkos Claude Enterprise telepítéseket fedezi fel az Anthropic adapterén keresztül (GA június 15.). „Kétirányú API-integrációt hoztunk létre minden IT-rendszerrel és minden biztonsági vezérlővel, hogy mindig naprakész leltárt építsünk a környezet megjelenéséről” — mondta Diamond a VentureBeatnek. A platform natív EDR és XDR intelligenciája gazdagabb eszközkontextust épít az ügynök lábnyomán belül. A mélység az ügynök lábnyomán belül az előny. A korlátozás szerkezeti. A platform natív intelligencia az által, amit az ügynök lát, korlátozott, és a Ponemon jelentés által azonosított rés pontosan ott él, ahol ez a láthatóság véget ér.

Kapcsolódó: NanoClaw 2.0 biztonság

A CMDB modernizálása folyamatos egyeztetést igényel három vagy több független telemetriai forrás ellenében. Csak a szervezetek 13%-az egyeztet naponta, az Axonius/Ponemon adatai szerint. A fennmaradó 87% elavult rekordokon működik, amelyek helytelen priorizálást táplálnak minden automatizált helyreállítási folyamatba.

EDR adat-előkészítés: Öt kapu az autonóm helyreállítás előtt

Mielőtt megengedné, hogy az autonóm SOC-ügynökök jegyeket zárjanak vagy eszközöket helyezzenek karanténba, ez az ellenőrzőlista megmondja, hogy EDR és eszközadatai elég szilárdak-e ahhoz, hogy megbízhatóak legyenek. Ez gyártó-agnosztikus, bármilyen EDR-rel és CMDB-vel működik, és öt átmenő/bukó kaput kínál, amelyeket egyetlen munkanapon belül futtathat.

Kapcsolódó: Anthropic API-védelem

Eszközleltár eltérés: A Ponemon szerint csak 45% konszolidál egyetlen nézetbe. A Forrester TEI 150%-kal több eszközt azonosított, mint korábban. A Lumen 17 000-et a CMDB-ben szemben 1,1 millióval fedezett fel. Az eltérés ≤10% a felfedezés, a CMDB és az EDR ügynökszáma között. A 10%-ot meghaladó eltérés blokkolja az automatizált helyreállítást, amíg egyeztetve nem lesz. Futtasson API-alapú felfedezést minden szegmens ellen. Különbség a CMDB és az EDR konzol száma között. Negyedéves minimum egyeztetés.

Nem kezelt AI-szolgáltatások: A Gravitee 88%-a megerősített vagy feltételezett AI-incidenst jelentett. Csak 14,4%-uk rendelkezett teljes biztonsági jóváhagyással. Az Anthropic adapter (GA június 15.) felfedezi a nem kezelt Claude Enterprise telepítéseket. Nincsenek magas kockázatú AI-szolgáltatások a jóváhagyott beszerzésen kívül. Heti SaaS felfedezési szkennelések. A nem kezelt magas kockázatú példányok IR triázst indítanak kivétel felülvizsgálata előtt. Telepítsen SaaS felfedezést vagy protokoll-szintű adaptereket az AI-szolgáltatások észleléséhez. Automatizáljon heti szkenneléseket. Azonnali példányokat az IR-sorba irányítson.

CMDB rekord pontosság: A Ponemon szerint csak 13% egyeztet naponta (RSAC 2026). A Brooks Running: 20% szerver eltérés a konzol és a független felfedezés között. Fő helyreállítási akadályok: tisztázatlan priorizálás, tisztázatlan tulajdonjog, következetlen adatok. ≥85% rekord validálva 3+ független telemetriai forrás ellen. Nincsenek elavult vagy árva rekordok az aktív helyreállítási sorban. Hasonlítsa össze a CMDB-t a felhő leltárával, az EDR telemetriájával és az IdP címtárával. A folyamatos egyeztetés helyettesíti az éves audit ciklusokat.

Kapcsolódó: NVIDIA AI-ellenőrzés

Végpont ügynök fedezeti rés: A Ponemon: egy ügynök nem tudja jelenteni saját hiányát (8. o.). A TransUnion: 70%-ról 99%-ra külső ellenőrzés után. RSAC 2026: 298 000 eszköz 12,7%-án hiányzik a várt ügynök. ≥95% ügynök fedezet ellenőrizve külső felfedezéssel. Sok CISO ezt állítja minimumként az autonóm helyreállítás engedélyezése előtt. Nincsenek csak önmaguk által jelentett metrikák a vezetői jelentésekben. Futtasson hálózat-alapú vagy API-vezérelt felfedezést a kezelt eszközlista ellen. A 95% alatti fedezet blokkolja az automatizált helyreállítási hatókör meghatározását.

Eszköztulajdonosi leképezés: A Ponemon: 32% következetesen alkalmaz címkéket. Csak 51% rendel hozzá tulajdonjogot új expozíciókhoz (9., 16. o.). A TransUnion: 12 000-ről 190 000-re nőtt a tulajdonjoggal leképezett eszközök száma. A tulajdonos 24 órán belül hozzárendelve. Címkék következetesek a felhő, az EDR, a CMDB között. Három rendszer három tulajdonost mutat = kudarc. Automatizálja a tulajdonosi leképezést a felhő, az EDR és a CMDB rendszerekben.