1Password: AI to rewolucjonizuje cyberbezpieczeństwo, ale i stwarza nowe zagrożenia

Dla firmy odpowiedzialnej za jedną z kluczowych ról w cyberbezpieczeństwie, ocena zagrożeń i możliwości sztucznej inteligencji (AI) przypomina nie tyle analizę, co rzut kostką do gry. Menadżer haseł, który już musi bronić najcenniejszych danych klientów przed atakami z zewnątrz i ich własną nieuwagą, staje teraz przed nowymi wyzwaniami związanymi z AI.

Z jednej strony, AI może przyspieszyć tworzenie kodu i wykrywanie luk w zabezpieczeniach. Z drugiej – ułatwia tworzenie aplikacji z poważnymi błędami, które narażają hasła na wyciek. Choć AI obiecuje błyskawiczne wykonywanie złożonych zadań, jej „halucynacje” lub ataki na prompty mogą prowadzić do błędów równie poważnych jak te popełniane przez zmęczonych ludzi – tyle że w skali masowej.

„Musimy pomóc klientom zrozumieć, jak duży jest obszar zagrożeń i jak powszechny jest ten problem w ich ekosystemie”, mówi Nancy Wang, dyrektor ds. technologii w 1Password.

Ochrona przed samouszkodzeniem

Strategia AI 1Password koncentruje się przede wszystkim na zapobieganiu problemom u klientów korporacyjnych. Firma wykorzystuje lokalnego agenta AI do monitorowania użycia modeli AI przez pracowników i sygnalizowania potencjalnych zagrożeń, które powinny zostać zgłoszone zarządowi.

„Czy wiesz, że Twoi deweloperzy używają modelu DeepSeek na tej gałęzi kodu?” – pyta Wang, odnosząc się do chińskiego modelu AI, który budzi kontrowersje ze względu na ryzyko związane z bezpieczeństwem. „Takie sytuacje już się zdarzały”. Po wykryciu problemu, firma przeprowadza z deweloperami rozmowy dotyczące najlepszych praktyk bezpieczeństwa.

Agent 1Password nie tylko skanuje użycie AI, ale także sprawdza aktualizacje oprogramowania i stan urządzeń. Dzięki temu wykrywa m.in. niechronione hasła zapisane na dysku. Gdy znajdzie takie przypadki, przenosi je do bezpiecznego, szyfrowanego sejfu.

Podobnie jak inne menadżery haseł, 1Password szyfruje zapisane dane end-to-end, uniemożliwiając firmie odczytanie zapisanych haseł. Wang podkreśla, że oprogramowanie jest zaprojektowane w taki sposób, aby nawet podczas automatycznego wypełniania formularzy AI nie mogła uzyskać dostępu do czystego tekstu hasła.

Firmy mogą również wymagać od pracowników instalacji agenta zaufania urządzenia 1Password na prywatnych komputerach, co pozwala zminimalizować jedno z najczęstszych i najskuteczniejszych wektorów ataków. Niestety, zgodność z takimi wymogami bywa nierówna – podobnie jak w przypadku rodzinnych kont 1Password dołączanych do planów biznesowych, które często pozostają nieużywane na komputerach pracowników.

Zapobieganie awariom agentów AI

Agenci AI mogą automatyzować rutynowe zadania biznesowe, jednak ich niedeterministyczna natura wymaga systematycznego monitorowania, aby zapewnić ich prawidłowe działanie. Wang określa to mianem „zielonego pola” dla 1Password, które pozwala firmie uczyć się na podstawie analizy zachowań agentów w skali masowej.

„Jakie było polecenie? Co agent zrobił z poleceniem? Jaki był wynik?” – pyta Wang. Zebrane w ten sposób dane logów „staną się mechanizmem uczenia dla agenta i modelu”.

W lutym 1Password ogłosił wprowadzenie benchmarku oceny zachowania agentów AI – SCAM (Security Comprehension and Awareness Measure), który ma pomóc firmom mierzyć i poprawiać bezpieczeństwo ich systemów opartych na AI.