Varonis erweitert Atlas um Agent IBAC zur Laufzeitkontrolle von KI-Agenten

Im Zentrum der Ankündigung steht die Frage, ob ein KI-Agent nicht nur grundsätzlich auf Daten zugreifen darf, sondern ob er dies im jeweiligen Kontext auch tun sollte. Ron Bennatan, Vice President of AI & Data Strategy bei Varonis, formuliert es so: Es gehe nicht mehr nur darum, „ob ein Nutzer auf diese Daten zugreifen kann“, sondern „ob diesem Agenten in diesem Kontext erlaubt sein sollte, auf diesen Daten zu handeln“.

Nach Darstellung von Varonis reicht klassische rollenbasierte Zugriffskontrolle für diesen Anwendungsfall nicht aus. KI-Agenten benötigten oft breiten Zugriff auf Daten und Werkzeuge, genau das mache sie aber riskant. Statische Kontrollen könnten Agenten nicht zuverlässig stoppen, wenn diese Wege fänden, Beschränkungen zu umgehen, etwa durch die Ausweitung eigener Berechtigungen, den Aufruf zusätzlicher Werkzeuge oder den Zugriff auf Daten, die sie eigentlich nicht berühren sollten. Deshalb müssten Berechtigungen zur Laufzeit durchgesetzt werden.

Agent IBAC soll genau diese Laufzeitkontrolle übernehmen. Das System bewertet laut Varonis jede Aktion eines Agenten über eine gesamte Sitzung hinweg und gleicht sie mit der ursprünglichen Anweisung ab, die den Agenten gestartet hat. Diese Anweisung kann demnach von einer Person, aus einem System-Prompt oder von einem anderen Agenten stammen. Die Erkennung von Absichtsabweichungen umfasst nach Angaben des Unternehmens unter anderem Zugriffe auf unzulässige Daten, Versuche eines nicht autorisierten Exports oder Downloads von Daten sowie eine Ausweitung des Umfangs über die Absicht des Nutzers hinaus.

Technisch setzt Agent IBAC dafür einen LLM-Auswerter ein, den Varonis auch hinter den übrigen Schutzmechanismen von Atlas verortet. Der Auswerter analysiert den Agenten-Ablauf: die vom Agenten erzeugte Begründung, die ausgewählten Werkzeuge und die dabei übergebenen Parameter. Anschließend bewertet er, ob diese Schritte mit der ursprünglichen Anfrage übereinstimmen.

Varonis betont, dass Atlas den vollständigen Kontext einer Aktion sehen könne. Dadurch seien keine pauschalen Restriktionen nötig. Die Empfindlichkeit der Erkennung lasse sich in drei Stufen konfigurieren: „nachsichtig“, „ausgewogen“ als Voreinstellung und „streng“. Letztere sei für Agenten gedacht, die mit regulierten oder besonders wertvollen Daten arbeiten.

Ein weiterer Fokus liegt auf mehrstufigen Abläufen. Weil Agent IBAC eine komplette Sitzung bewertet, soll das System auch schleichende Abweichungen erkennen, bei denen einzelne Aktionen für sich genommen unauffällig wirken, die Gesamtkette aber in eine vom Nutzer nicht beabsichtigte Richtung führt. Laut Varonis gilt das auch für Mehrfachangriffe über mehrere Eingaben hinweg, etwa Jailbreak-Versuche, die sich auf mehrere unauffällige Prompts verteilen. Sitzungen werden dabei über die vom KI-Werkzeug vergebene Konversations-ID nachverfolgt.

Bei Verstößen kann Atlas unterschiedliche Reaktionen auslösen. Varonis nennt Warnungen, Blockierungen, Änderungen wie das Schwärzen sensibler Daten, Protokollierung oder die Freigabe durch einen Menschen. Kunden können zudem eigene Sitzungsrichtlinien in natürlicher Sprache formulieren und festlegen, nach wie vielen Ereignissen eine Bewertung erfolgen soll.

Geht ein Vorfall über eine einzelne Aktion hinaus, kann Atlas nach Angaben von Varonis die Identität hinter einer Sitzung unter Quarantäne stellen. Dann werden alle folgenden Eingaben für ein vom Kunden definiertes Zeitfenster blockiert – von wenigen Minuten bis zu einem ganzen Tag. Administratoren sollen alle unter Quarantäne gesetzten Identitäten zentral sehen und die Maßnahme aufheben, verlängern oder dauerhaft machen können.

Für die Nachvollziehbarkeit zeichnet Atlas laut Varonis jede Aktion und die zugehörige Absicht auf. Das soll Ermittlern einen vollständigen Pfad liefern: was der Agent getan hat, ob die einzelne Aktion aus der Anfrage ableitbar war und welche Schutzmechanismen angesprungen sind. Neben einer Gesprächsansicht für den sichtbaren Austausch gibt es laut Unternehmen auch eine Ausführungsansicht, die darunterliegende Werkzeugaufrufe sichtbar macht.