وقتی عامل هوش مصنوعی به سرعت به شبکه داخلی نفوذ می‌کند: میدان اصلی «امنیت سایبری» تغییر کرده است

نویسنده: دای دای، MSX مایتون

ویرایش: فرانک، MSX مایتون

در دو سال گذشته، سیلیکون ولی و دنیای فناوری به شدت تلاش کرده‌اند تا مدل‌های بزرگ را "هوشمندتر" کنند.

اما وقتی مدل‌ها از کادر گفتگو خارج می‌شوند و با کارت شناسایی به عنوان عامل (Agent) ظاهر می‌شوند، از محل AIP پالانتیر تا پیاده‌سازی‌های داخلی شرکت‌های بزرگ، CTOهای شرکت‌ها ناگهان متوجه می‌شوند که IQ دیگر مشکل اصلی نیست، بلکه دسترسی‌های نامحدود، منبع فاجعه است.

با اختصاص یک حساب کاربری به یک عامل، او می‌تواند به سرعت SharePoint را بخواند، SQL را اجرا کند، کد را تغییر دهد و حتی در ERP درخواست تأیید پرداخت را کلیک کند. او کارمند نیست، اما دارای گواهی سیستم است؛ او نرم‌افزار سنتی نیست، اما می‌تواند به طور فعال ابزارها را فراخوانی کند، به داده‌ها دسترسی پیدا کند و وظایف را انجام دهد.

در بیست سال گذشته، زیرمتن امنیت سایبری شرکتی چیزی جز "کنترل افراد و دستگاه‌ها، و محافظت از حیاط خود" نبوده است، اما امروز، یک عامل قانونی با یک توکن قانونی، در یک جریان کاری قانونی، به دلیل انحراف منطقی یا یک Prompt سمی، می‌تواند اقداماتی فراتر از انتظار انجام دهد.

در این زمان، چه کسی تصمیم‌گیرنده است؟

این نیز یکی از بزرگ‌ترین تفاوت‌های این دور از ارزیابی امنیت سایبری با گذشته است، از یک سو، هوش مصنوعی آستانه حمله را کاهش داده و از سوی دیگر، اشیاء امنیتی جدیدی ایجاد کرده است: مدل‌ها، عوامل، MCP، هویت‌های ماشینی، داده‌های شرکتی و Runtime (زمان اجرا).

به عبارت دیگر، سطح کنترل امنیت سایبری به طور غیرقابل برگشتی از شبکه‌های خارجی و پایانه‌ها به سمت هویت، داده‌ها و Runtime (زمان اجرا) منتقل می‌شود.

یک. «امنیت سایبری»، چرا ناگهان دوباره به خط اصلی هوش مصنوعی تبدیل شده است

در دهه گذشته، امنیت سایبری شرکتی به طور کلی یک مجموعه تقسیم کار پایدار را شکل داده است.

فایروال‌ها مسئول ورودی‌های شبکه هستند، EDR به پایانه‌ها نظارت می‌کند، IAM هویت و ورود را مدیریت می‌کند، امنیت داده‌ها مسئول اطلاعات حساس است و SOC مسئول پردازش هشدارهای رخ داده است.

منطق پایه این سیستم بسیار ساده است، همیشه حول افراد و دستگاه‌ها می‌چرخد------عمل‌کننده یا کارمند است یا مهاجم، بنابراین اگر بتوانیم شناسایی کنیم که این شخص کیست، آیا دستگاه قابل اعتماد است و آیا اتصال شبکه امن است، بیشتر مشکلات به طور نسبتاً بالغی قابل حل است.

عامل این منطق را به شدت مختل می‌کند.

یک عامل حتی اگر هویت قانونی و ورود نرمال داشته باشد، ممکن است به دلیل دسترسی‌های بیش از حد، فراخوانی نادرست ابزار، یا تحت تأثیر Prompt‌های مخرب و محتوای خارجی، رفتارهایی را انجام دهد که هیچ‌کس پیش‌بینی نکرده است.

بنابراین، امنیت شرکتی باید به یک سوال جدید پاسخ دهد که قبلاً هرگز با آن مواجه نشده بود، اینکه آیا کارهایی که اکنون انجام می‌دهد، واقعاً با هدف اولیه‌ای که به آن مجوز داده شده است، مطابقت دارد؟

اگر به زنجیره‌ای که عامل به واقع وارد شرکت می‌شود نگاه کنیم، در حال حاضر این شرکت‌های امنیت سایبری را می‌توان به سه دسته تقسیم کرد: یک دسته مسئول ساخت پلتفرم، یک دسته کنترل هویت و داده‌ها و دسته دیگر محافظت از شبکه و ورودی‌های دسترسی.

دو. از PANW، CRWD تا SAIL، VRNS، چه کسی در گلوگاه واقعی گیر کرده است؟

1. PANW، CRWD، S: غول‌های پلتفرمی، کوتاه‌ترین مسیر تجاری‌سازی

Palo Alto Networks (PANW) هنوز هم یکی از پلتفرم‌های کاملاً یکپارچه است.

این شرکت دیگر فقط به فایروال‌های سنتی وابسته نیست، بلکه امنیت شبکه، امنیت ابری، SOC، هویت و امنیت هوش مصنوعی را به طور مداوم به یک پلتفرم جمع‌آوری می‌کند، Prisma AIRS اکنون مدل‌ها، داده‌ها، برنامه‌های هوش مصنوعی و عوامل را پوشش می‌دهد و در عین حال قابلیت‌هایی مانند AI Runtime Firewall و Red Teaming را نیز اضافه کرده است.

بنابراین، آنچه PANW می‌خواهد حل کند در واقع کل زنجیره است، از جمله اینکه هوش مصنوعی از چه مدلی استفاده می‌کند، به چه داده‌هایی دسترسی دارد، چه ابزاری را فراخوانی می‌کند و آیا پس از اجرای واقعی، رفتارهای غیرعادی رخ می‌دهد یا خیر. درآمد شرکت در آخرین فصل به 34.1 میلیارد دلار رسید که نسبت به سال گذشته 34 درصد افزایش یافته است، اگرچه شامل افزایش ناشی از ادغام‌ها است، اما این هنوز نشان می‌دهد که وقتی بودجه امنیتی جدیدی ظاهر می‌شود، پلتفرم‌های بزرگ معمولاً کوتاه‌ترین مسیر تجاری‌سازی را دارند.

در نهایت، مشتریان در آنجا هستند، قراردادها در آنجا هستند و محصولات جدید می‌توانند به طور مستقیم به سیستم‌های موجود فروخته شوند.

CrowdStrike (CRWD) نقطه ورود متفاوتی دارد که بیشتر بر روی سطح اجرایی متمرکز است.

استدلال عامل ممکن است در ابر باشد، اما اقدامات واقعی------اجرای اسکریپت‌ها، نوشتن فایل‌های موقت، تنظیم فرآیندهای سیستم، در نهایت هنوز در سرور، کانتینر یا پایانه‌های کارمندان رخ می‌دهد، که این دقیقاً منطقه راحتی پلتفرم Falcon است و پایش پایانه‌ها (Telemetry) را به طور منطقی به Runtime گسترش می‌دهد، CRWD به طور طبیعی در محل وقوع اقدامات قرار دارد.

بنابراین، دارایی اصلی CRWD همیشه پلتفرم Falcon و داده‌های Telemetry جمع‌آوری شده از تعداد زیادی Endpoint و Cloud Workload بوده است، درآمد آخرین فصل نسبت به سال گذشته 26 درصد افزایش یافته و ARR نسبت به سال گذشته 25 درصد افزایش یافته است، و عملکرد خالص ARR جدید نیز قوی‌تر است، که نشان می‌دهد CRWD در حال گسترش از Endpoint به هویت، ابر، Runtime و SOC است.

SentinelOne (S) نیز در مسیر مشابهی حرکت می‌کند، اما مقیاس آن به وضوح کوچکتر است.

آرزوهای Purple AI آن کمی تهاجمی‌تر است، به جای اینکه ابزار کمکی باشد، بهتر است که عامل امنیتی کار جریان کاری تحلیلگران سطح ابتدایی را به عهده بگیرد و به سمت تحقیقات خودکار، ارتباط رویدادها و تحریک پاسخ پیش برود.

اگر این مرحله به درستی اجرا شود، آنچه هوش مصنوعی تغییر می‌دهد فقط عملکرد محصولات شرکت‌های امنیت سایبری نیست، بلکه روش استفاده و مدل‌های هزینه نرم‌افزارهای امنیتی خودشان است.

2. OKTA، SAIL، VRNS: قفل‌های امنیتی جدید با بالاترین خلوص افزایشی

اگر بگوییم PANW و CRWD این پلتفرم‌ها به دلیل حجم خود برتری دارند، افزایش بومی که عامل به ارمغان می‌آورد، در واقع ابتدا بر هویت و داده‌ها تأثیر می‌گذارد.

Okta (OKTA) و SailPoint (SAIL) هر دو در حال گسترش هویت عامل هستند، اما مزیت‌های سنتی این دو متفاوت است.

Okta بیشتر به مدیریت احراز هویت و دسترسی نزدیک است و به این پرداخته می‌شود که "شما کی هستید، آیا می‌توانید وارد شوید، و به کدام برنامه می‌توانید دسترسی پیدا کنید"؛ در حالی که SailPoint بیشتر به حاکمیت هویت مربوط می‌شود و به این می‌پردازد که یک دسترسی چرا وجود دارد، چه کسی آن را تأیید کرده، باید چه مدت حفظ شود و آیا پس از پایان کار باید بازگردانده شود یا خیر.

این سیستم در مورد افراد بسیار پیچیده است و در مورد عوامل، بدون شک مشکل حتی بیشتر خواهد بود. زیرا چرخه عمر عامل ممکن است بسیار کوتاه باشد، یا ممکن است برای مدت طولانی وجود داشته باشد، و ممکن است چندین ابزار را فراخوانی کند، دسترسی‌های کاربر را به ارث ببرد و حتی عوامل جدیدی را تولید کند.

این نیز یکی از بخش‌های جالب داده‌های اخیر SAIL است، ARR جدید آن در آخرین فصل نسبت به سال گذشته 25 درصد افزایش یافته، ARR SaaS 36 درصد افزایش یافته و مهم‌تر از آن، شرکت اعلام کرده است که ARR مبتنی بر هوش مصنوعی به بیش از 70 میلیون دلار رسیده و محصولات هوش مصنوعی بیش از 30 درصد از ARR جدید خالص را تشکیل می‌دهند، که نشان می‌دهد هویت از داستان محصول به قرارداد واقعی منتقل شده است.

در مقایسه، درآمد آخرین فصل OKTA حدود 11 درصد افزایش یافته است، جریان نقدی و حاشیه سود به طور مداوم بهبود یافته است، اما سرعت کلی آن به وضوح کمتر از پلتفرم‌های امنیت سایبری پیشرو است، بنابراین مرحله بعدی واقعاً نیاز به اثبات این دارد که این محصولات جدید چه زمانی می‌توانند دوباره بر منحنی رشد کلی تأثیر بگذارند.

VRNS نیز بر اساس منطق عامل بسیار مستقیم دیگری ایستاده است، یعنی داده‌ها، و آنچه که به طور طولانی انجام داده است، کشف داده‌های حساس، تحلیل دسترسی، طبقه‌بندی داده‌ها و شناسایی تهدیدات است، و اکنون شروع به اضافه کردن حاکمیت هوش مصنوعی و Runtime هوش مصنوعی به همان سیستم کرده است.

به هر حال، هرچه عامل قوی‌تر باشد، شرکت بیشتر نیاز دارد تا یک چیز را روشن کند، اینکه این عامل دقیقاً چه چیزی را می‌تواند ببیند. درآمد کل VRNS در آخرین فصل نسبت به سال گذشته حدود 18 درصد افزایش یافته و ARR SaaS نسبت به سال گذشته 52 درصد افزایش یافته است، البته این 52 درصد شامل تأثیر زیادی از انتقال مشتریان سنتی به SaaS است، اگر انتقال را حذف کنیم، رشد ARR SaaS حدود 25 درصد است.

بنابراین، آنچه VRNS در حال حاضر واقعاً قابل توجه است، این است که آیا امنیت داده‌های هوش مصنوعی می‌تواند پس از کاهش تدریجی اثرات انتقال SaaS، رشد را ادامه دهد.

اگر عامل واقعاً وارد محیط تولید شرکت شود، پس دسترسی به داده‌ها احتمالاً دیگر یک "ماژول امنیتی اختیاری" نخواهد بود، بلکه مسأله‌ای است که باید قبل از استقرار حل شود.

3. FTNT، ZS، NET: موضوع شبکه تغییر کرده است، اما لوله‌ها همچنان وجود دارند

تغییراتی که عامل به ارمغان می‌آورد، به این معنا نیست که امنیت شبکه سنتی ارزش خود را از دست می‌دهد، بلکه در آینده، دسترسی به برنامه‌های شرکتی و اینترنت، تنها به کارمندان و دستگاه‌ها محدود نخواهد بود.

Zscaler (ZS) Zero Trust در گذشته عمدتاً مدیریت Employee → Application را انجام می‌داد، اما در آینده به تدریج به Employee + Workload + Agent → Application گسترش خواهد یافت، بنابراین هرچه تعداد عوامل بیشتر باشد، ماشین‌هایی که نیاز به تأیید، مجوز و جداسازی دارند نیز بیشتر خواهد شد.

بنابراین، به محض اینکه ترافیک دسترسی ماشین به صورت نمایی افزایش یابد، نقطه محاسبه دروازه Zero Trust وجود خواهد داشت.

در آخرین فصل، درآمد و ARR ZS هر دو حدود 25 درصد افزایش یافته است، اما پس از حذف تأثیر ادغام Red Canary، دو رشد به نزدیک 20 درصد می‌رسد، از این منظر، آنچه ZS واقعاً باید تأیید کند، این است که آیا این نیاز جدید Agent-to-App می‌تواند دوباره رشد ARR جدید را تسریع کند.

منطق هوش مصنوعی Fortinet (FTNT) بیشتر به زیرساخت مربوط می‌شود و از مزایای استقرار خصوصی بهره‌مند می‌شود.

این شرکت یک شرکت امنیتی عامل معمولی نیست، اما اگر تعداد بیشتری از پروژه‌های مالی، بهداشتی، شرکت‌های بزرگ و دولتی GPUهای خود را بسازند، Cloud خصوصی و کارخانه‌های هوش مصنوعی، نیاز به جداسازی شبکه، ترافیک شرق به غرب، فایروال، SASE و عملیات امنیتی به طور طبیعی افزایش خواهد یافت.

این‌ها دقیقاً توانایی‌های طولانی‌مدت Fortinet هستند، به عبارت دیگر، این شرکت بر روی نیازهای اساسی زیرساخت سنتی در دوره جدید محاسبات و اینکه آیا هوش مصنوعی خصوصی می‌تواند یک دوره جدید از خریدهای شبکه و امنیت شرکتی را آغاز کند، شرط‌بندی می‌کند.

Cloudflare (NET) نیز بسیار خاص است و بزرگترین اشتها و بالاترین ارزش را دارد.

NET به سادگی نمی‌تواند به عنوان یک شرکت امنیت سایبری طبقه‌بندی شود. CDN، WAF، DDoS، Zero Trust، Workers و شبکه Edge جهانی، این شرکت را در چندین موقعیت در زیرساخت اینترنت، ابر و امنیت قرار می‌دهد، و پس از گسترش عامل، ساختار ترافیک اینترنت ممکن است تغییر کند.

در گذشته بیشتر Human-to-Web بود، اما در آینده تعداد بیشتری از Agent-to-API و Agent-to-Agent ظاهر خواهد شد. عامل خود به وب‌سایت‌ها دسترسی پیدا می‌کند، مدل‌ها را فراخوانی می‌کند، کد را اجرا می‌کند و حتی پرداخت‌های ماشینی را انجام می‌دهد، در نهایت، آنچه Cloudflare واقعاً بر روی آن شرط‌بندی می‌کند، فقط امنیت هوش مصنوعی نیست، بلکه یک تغییر بزرگ‌تر است:

اگر ترافیک اینترنت به طور فزاینده‌ای توسط ماشین‌ها به طور فعال تولید شود، آیا NET می‌تواند به عنوان یک ورودی مهم برای این اینترنت عامل عمل کند، که این نیز بزرگ‌ترین تفاوت آن با سایر شرکت‌های امنیت سایبری است------ فضای تخیل بزرگ‌تر، اما انتظارات بیشتری نیز در ارزش‌گذاری آن پیش‌بینی شده است.

سه. مرز ارزش‌گذاری: ببینید چه کسی زودتر عامل را در ARR محاسبه می‌کند

اگر منطق صنعتی را به اصول و ارزش‌گذاری برگردانیم، بازار در واقع به طور بسیار صادقانه با رأی‌گیری نشان داده است:

• گروه با حاشیه بالا (CRWD، NET): حفظ پیش‌بینی رشد 20%+ یا حتی بالاتر، بازار در حال معامله بر روی تخیل آن‌ها برای گسترش TAM خود با کمک هوش مصنوعی است، و EV/Sales آن‌ها همیشه در بالاترین سطح قرار دارد؛
• گروه دفاع با کیفیت (PANW، FTNT): رشد آن‌ها به این اندازه شدید نیست، اما با تکیه بر عمق پلتفرم، ویژگی‌های زیرساخت شبکه و جریان نقدی آزاد بسیار قوی، پشتیبانی می‌شود؛
• گروه با انعطاف‌پذیری در حال اثبات (SAIL، VRNS، ZS، OKTA): مرکز ارزش‌گذاری نسبتاً محدود است، اما به این معناست که فرصت وجود دارد، تنها کافی است که یکی از آن‌ها بتواند به سرعت اثبات کند که محصولات عامل در حال تحریک واقعی ARR خالص هستند، و به راحتی می‌تواند یک دوره ترمیم ارزش‌گذاری را تجربه کند؛

تا به حال، روایت هوش مصنوعی در امنیت سایبری از مرحله "هکرها نیز از هوش مصنوعی استفاده می‌کنند، بنابراین کل صنعت بهره‌مند می‌شود" عبور کرده است.

زیرا این منطق بسیار گسترده است، تقریباً هر شرکت امنیت سایبری می‌تواند آن را بگوید، می‌تواند Copilot، عامل، امنیت زمان اجرا یا هویت عامل را منتشر کند و می‌تواند توضیح دهد که چرا هوش مصنوعی TAM خود را گسترش می‌دهد.

اکنون واقعاً تفکیک شده است، زیرا شرکت‌ها خود شروع به استفاده گسترده از هوش مصنوعی کرده‌اند، بنابراین ساختار امنیتی قبلی نیز باید دوباره طراحی شود، و فقط بستگی دارد که چه کسی می‌تواند این نیازهای جدید را به وضوح در صورت‌حساب‌های خود محاسبه کند و به طور کلی درآمد را دوباره تسریع کند.

این دلیل است که PANW، CRWD، SAIL، VRNS، ZS، FTNT و NET می‌توانند در کنار هم مورد بحث قرار گیرند، و می‌توان پیش‌بینی کرد که تفاوت‌های آن‌ها به تدریج بیشتر خواهد شد.

شرکت‌های پلتفرمی در مورد کارایی توزیع رقابت می‌کنند، شرکت‌های هویت و داده در مورد اینکه آیا نقاط کنترل جدید می‌توانند به سرعت تجاری‌سازی شوند، رقابت می‌کنند، و شرکت‌های شبکه و زیرساخت باید اثبات کنند که آیا عامل و هوش مصنوعی خصوصی در نهایت منجر به جریان و دوره خرید جدید می‌شود.

بنابراین در این دوره، آنچه بیشتر قابل توجه است، این است که چه کسی می‌تواند زودتر اثبات کند که عامل در حال تغییر منحنی رشد خود است.

این نیز دلیل این است که ARR مبتنی بر هوش مصنوعی که SAIL اخیراً افشا کرده است، بیشتر از انتشار صرف یک محصول عامل قابل توجه است. به محض اینکه محصولات هوش مصنوعی واقعاً خریداری شوند، ARR جدید شروع به ظهور می‌کند، رشد کلی دوباره افزایش می‌یابد و این درآمد در نهایت می‌تواند به سود و جریان نقدی تبدیل شود، بنابراین بازار سرمایه به طور طبیعی با رأی‌گیری نشان خواهد داد.

از این منظر، امنیت سایبری داستان جدیدی نیست که ناگهان از خارج از خط اصلی هوش مصنوعی ظهور کرده باشد.

هرچه هوش مصنوعی توانمندتر باشد، ترس شرکت‌ها از "از کنترل خارج شدن" عمیق‌تر می‌شود و برنده این دوره از بازار امنیت سایبری، به این بستگی دارد که چه کسی می‌تواند سریع‌تر این ترس را به جریان نقدی واقعی در صورت‌حساب‌های هر فصل تبدیل کند.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.