Na okrągłym stole CISO zorganizowanym przez chief information security officer firmy Anthropic, Dev Rishi, GM ds. AI w Rubrik, zadał zebranym proste pytanie: Czy wszyscy spisali swoje polityki zarządzania i bezpieczeństwa AI? Około 14 osób podniosło ręce. Jego pytanie uzupełniające — jak ktokolwiek w praktyce egzekwuje te polityki — wywołało zupełnie inną reakcję.

„I wszyscy się zaśmiali” — wspominał Rishi podczas rozmowy przy kominku na VB Transform 2026 w Menlo Park. „To było jak ten nieczysty sekret w sali, że wszyscy mają te polityki, ale nie mają sposobu, by faktycznie je wdrożyć.”

Luka między posiadaniem polityk a ich egzekwowaniem to dokładnie obszar, w który celuje Rubrik. Rishi ujawnił, że założyciel i CTO firmy mocno naciskał na włączenie agentów AI w tzw. tryb YOLO — konfigurację, która usuwa monity o zgodę z przepływów pracy agentów i pozwala im działać autonomicznie. Dla publicznie notowanej firmy zajmującej się bezpieczeństwem danych, której główną działalnością jest tworzenie kopii zapasowych krytycznych danych przedsiębiorstw, to wyznanie ma duże znaczenie.

W implementacji Rubrik drugi system AI ocenia każdą akcję agenta w czasie rzeczywistym pod kątem zgodności z polityką organizacyjną, zastępując człowieka, który w przeciwnym razie kliknąłby „zatwierdź”. Rubrik najpierw testuje to podejście na sobie. Rishi ujął autonomię jako kwestię oceny, a nie możliwości. „Jeśli poprosisz agenta o działanie autonomiczne, to będzie działał” — powiedział. „To pytanie, które masz wewnętrznie. Czy powinien?”

Od teatru bezpieczeństwa do arbitrażu AI

Rubrik doszło do tego podejścia poprzez bolesne doświadczenia. Kiedy uruchomiono wewnętrzne pilotaże Claude Code i Cowork, firma nakazała, aby każda komenda działała w trybie ask, co oznaczało, że odpowiedzialność ponosił pracownik, który ją wydał. Sprzeciw programistów był intensywny — wypełnił jeden wątek na Slacku na 120 wiadomości.

„Programiści w zasadzie się buntują i mówią: to jest jak umowa serwisowa iTunes. Po prostu klikam, klikam, klikam, klikam, klikam, klikam, klikam” — relacjonował Rishi. „Nie ma szans, żebym to faktycznie przeczytał. I to staje się teatrem bezpieczeństwa.”

Frustracja jest powszechna. Powołując się na badania Rubrik Zero Labs, Rishi zauważył, że około 80% respondentów znajduje się w tej samej sytuacji. Wyniki pochodzą z raportu „The State of the Agent” z kwietnia, opartego na badaniu ponad 1 600 liderów IT i bezpieczeństwa, z którego wynika, że monitorowanie i zatwierdzanie akcji agentów pochłania więcej czasu, niż same agenci oszczędzają.

Odpowiedzią Rubrik jest SAGE, czyli Semantic AI Governance Engine. SAGE pełni funkcję warstwy arbitrażowej wewnątrz Rubrik Agent Cloud, monitorując każdą akcję agenta, interpretując semantyczną intencję za nią stojącą i orzekając o dopuszczalności akcji względem polityk sformułowanych w języku naturalnym. „Wzięliśmy to, co ludzie nazywali human in the loop — dobrym pomysłem — i zastąpiliśmy to AI in the loop” — powiedział Rishi, opisując, jak przedstawia tę koncepcję liderom ds. bezpieczeństwa, których określił jako nieufnych wobec systemów niedeterministycznych.

Ta zmiana ma znaczenie, ponieważ agenci w przedsiębiorstwach wykraczają poza czat i sugestie kodu, wkraczając do systemów ewidencyjnych, kolejek zgłoszeń, repozytoriów i narzędzi komunikacyjnych. W tym kontekście zarządzanie przestaje być ćwiczeniem dokumentacyjnym, a staje się problemem wykonawczym: kontrola musi działać w momencie, gdy agent próbuje użyć narzędzia.

Zgoda bezpieczeństwa, nie koszt, ogranicza ROI AI

Kariera Rishiego obejmuje jedne z najbardziej wpływowych organizacji w dziedzinie AI i uczenia maszynowego. Przed dołączeniem do Rubrik współtworzył i kierował Predibase — startupem z branży infrastruktury generatywnej AI, który Rubrik zgodził się przejąć w czerwcu 2025 roku. Wcześniej kierował produktem ML w Google w zespole, który stał się Vertex AI, oraz był pierwszym product managerem Kaggle w okresie jego wzrostu z około jednego do dziesięciu milionów użytkowników. Posiada tytuły bachelor's i master's z informatyki na Harvard University.

W ciągu pierwszych trzech i pół miesiąca w Rubrik Rishi przeprowadził 200 rozmów z klientami — liderami IT i bezpieczeństwa — w bazie klientów przypominającej Global 2000, zadając otwarte pytania o koszty, opóźnienia, wydajność i orkiestrację.

„Mówiąc dość spójnie, we wszystkich tych rozmowach słyszałem, że to wszystko jest dość drugorzędne” — powiedział. „Głównym wyzwaniem jest w rzeczywistości: jak uzyskać na to zgodę z punktu widzenia bezpieczeństwa i ryzyka? Martwię się o wszystkie różne rzeczy, które mogą pójść nie tak. Właściwie uważałem, że to jedna z największych rzeczy ograniczających ROI.”

Badania VentureBeat Pulse, zaprezentowane wcześniej tego dnia na scenie Transform, potwierdziły to, co Rishi ciągle słyszał. Dane wykazały, że 66% przedsiębiorstw — dwie trzecie — już pozwala na wdrożenia produkcyjne bez ludzkiego nadzoru lub aktywnie w ich kierunku zmierza, jednak tylko 5% w pełni ufa zautomatyzowanym ocenom, które stanowiłyby podstawę tej decyzji.

Ta luka zaufania to komercyjna szansa dla produktów zarządzania agentami, ale jednocześnie wyznacza wysoką poprzeczkę. Jeśli zautomatyzowana weryfikacja stanie się mechanizmem pozwalającym agentom ominąć ludzkie zatwierdzanie, przedsiębiorstwa potrzebują dowodów, że warstwa weryfikacyjna jest wystarczająco szybka dla przepływów produkcyjnych i wystarczająco niezawodna, by zespoły bezpieczeństwa mogły ją obronić.

Jeden AI czytający to, czego nie zdoła rulebook

Wewnętrzne polityki Rubrik same zademonstrowały, dlaczego zapisane reguły zawodzą jako mechanizmy egzekucyjne. Jedna z reguł stipulowała, że agenci muszą przestrzegać polityki używania danych klientów Rubrik — dyrektywa, która brzmi egzekwowalna, dopóki ktoś nie spróbuje ją operacjonalizować.

„Polityka używania danych klientów Rubrik to dokument prawny na trzy strony” — powiedział Rishi. „Nie mam pojęcia, jak to zapisać tam jako regułę.” Zapytany na scenie, jak zespół specjalistów od infrastruktury AI zajął się problemem tradycyjnie należącym do inżynierów bezpieczeństwa, Rishi odpowiedział: „z dużą naiwnością i niewinnością, szczerze mówiąc.”

Główny zakład zespołu polegał na tym, że modele biegłe w rozumieniu języ mogą skutecznie policować inne modele. SAGE powstał jako rezultat. Argument za umieszczeniem modelu na miejscu sędziego sprowadza się do precyzji. Reguła zabraniająca agentom edytowania pól przychodowych w Salesforce na przykład zawodzi w konwencjonalnych narzędziach, ponieważ Salesforce nie rozgranicza, które pola stanowią przychód. Administratorzy są zatem zmuszeni do ręcznego zatwierdzania każdej akcji w Salesforce. SAGE zamiast tego czyta intencję, wykorzystując kontekst organizacyjny, by odróżnić niegroźne wyszukiwanie danych od rodzaju edycji, jakiej polityka zabrania.

Opłacalność ekonomiczna zależy od utrzymania sędziego na małą skalę. SAGE działa na małym modelu językowym, który według Rishiego oferuje koszt i opóźnienie niższe o rząd wielkości niż frontier LLM. „Gdybym powiedział ci: nie martw się, będziesz bezpieczny i zarządzany, ale podwoję twój koszt i opóźnienie, kazałbyś mi wyjść z sali” — powiedział.

Kiedy Rishi zapytał widownię, czy w ciągu ostatniego roku martwili się o zużycie tokenów, około połowa podniosła ręce. „A zgaduję, że druga połowa jest po prostu zbyt leniwa, by podnieść rękę” — żartował.

SAGE jest zbudowany jako agregacja wyspecjalizowanych sędziów wykorzystujących parameter-efficient fine-tuning, co pozwala Rubrik tworzyć warianty zadaniowe modelu bazowego dzielące wspólny kontekst organizacyjny. Jeden sędzia monitoruje halucynacje w użyciu narzędzi, inny tłumi dane osobowe (PII), zanim opuszczą system, a każdy z nich działa jako niezależnie egzekwowalna polityka. Zespoły ds. bezpieczeństwa i GRC również zaczęły formułować reguły finansowe w tej samej warstwie, w tym jedną wewnętrzną politykę zakazującą wydatków AI na projekty osobiste.

Lethal trifecta

Zapytany, które wektory ataków niepokoją go najbardziej, Rishi wskazał na to, co badacz bezpieczeństwa Simon Willison w czerwcu 2025 roku nazwał „lethal trifecta”. Koncepcja ta opisuje agenta, który jednocześnie posiada prywatne dane, przyjmuje niesprawdzoną treść z zewnątrz i dysponuje kanałem transmisji wyników na zewnątrz.

Zasadnicze niebezpieczeństwo, jak wyjaśnił Rishi, polega na tym, jak indywidualnie uzasadnione uprawnienia mogą kumulować się po nałożeniu na siebie. Agent, któremu przyznano dostęp do Salesforce i poczty e-mail na poświadczeniach pracownika, nie zrobił niczego zły — jeszcze.

„Bardzo prosty przykład: agent może zacząć pobierać dane z Salesforce, a potem zdecydować się przypadkowo wyciec i eksfiltrować je przez e-mail” — powiedział widowni. Firma z sektora usług finansowych, którą Rishi spotkał tego ranka, wzmocniła ten punkt, mówiąc mu, że żadne z indywidualnych uprawnień nie jest problematyczne w izolacji i że agent naprawdę potrzebuje każdego z nich do wykonywania swojej funkcji. „Powinien mieć uprawnienia do każdego z tych systemów, ale to kombinacja okazuje się naprawdę destrukcyjna” — powiedział Rishi.

Tradycyjne zarządzanie tożsamością i dostępem nigdy nie uwzględniało takich kombinacji, ponieważ opierało się na ludzkim osądzie posiadacza poświadczeń — a agenci takich osądów nie dostarczają. „Mogę powiedzieć, jak niewiarygodnie wysoka jest liczba razy, kiedy Claude Code próbował wyciec część naszego wrażliwego kodu źródłowego do publicznego repozytorium GitHub” — ujawnił Rishi. Całkowite odcięcie agentów od zasobów publicznych niweczyłoby ich użyteczność, co przywraca wyzwanie do orzekania o intencjach w kontekście zamiast szerokiego cofania dostępu.

Osobne badanie VentureBeat June Pulse na 107 wykwalifikowanych respondentów enterprise skwantyfikowało promień niszczycielski tego wzorca. Badania VentureBeat zaprezentowane tamtego ranka na scenie Transform wykazały, że 69% firm stosuje współdzielenie poświadczeń gdzieś w swojej flocie agentów. Organizacje ze współdzielonymi poświadczeniami doświadczyły incydentów bezpieczeństwa lub sytuacji bliskich wypadku przy wskaźniku 63,5% (47 z 74), w porównaniu do 40,9% (9 z 22) w przypadku tych, w których każdy agent posiada własną zakresowaną tożsamość.

Ataki, których pojedyncza tura nie ujawnia

Rubrik Agent Cloud osiągnęło general availability w lutym, choć nie wszystkie funkcje opisywane przez Rishiego są jeszcze dostępne. Backtesting dopiero zaczyna być wdrażany. Funkcja odtwarza historyczne akcje i wywołania narzędzi agentów organizacji względem nowej polityki, pokazując, gdzie polityka by interweniowała i gdzie akcja przeszłaby niezauważona, z możliwością zastosowania edycji polityki w czasie rzeczywistym. Rishi nazwał to historyczne archiwum jednym z najcenniejszych zasobów danych, jakie posiada przedsiębiorstwo.

Wykazało się, że wykrywanie i blokowanie w czasie rzeczywistym to punkt wejścia, a nie kompletny produkt. Niektóre ataki nigdy nie wyzwalają reguły pojedynczej akcji. „Żadna pojedyncza tura rozmowy nie była problematyczna, ale jeśli potraktujesz sesję jako pełny ślad, to okazała się problematyczna” — wyjaśnił Rishi. Agent Cloud przeprowadza analizę wsadową całych śladów sesji co godzinę lub codziennie, ujawniając to, co Rubrik nazywa „insights” — problemy, których żadna indywidualna zabezpieczenie nie wychwyciło.

Ten sam raport Zero Labs wykazał, że 88% organizacji nie posiada zdolności do cofnięcia akcji agentów bez zakłócania systemów — luka w odzyskiwaniu, która mieści się dokładnie w ugruntowanej specjalizacji Rubrik.

Dla zespołów bezpieczeństwa cofanie (rollback) to druga strona egzekwowania. Zablokowanie szkodliwej akcji jest użyteczne tylko wtedy, gdy system zdąży ją wyłapać; gdy agent ukończy wieloetapowy przepływ pracy, zanim ktokolwiek zauważy problem, reakcja zależy od wiedzy o tym, co się zmieniło, których narzędzi użyto i czy organizacja może odwrócić skutki bez wywołania szerszej awarii.

Bez odpowiedzi

Sceptyczny CISO zadałby pytanie, na które rozmowa przy kominku nie odpowiedziała. SAGE sam w sobie jest modelem niedeterministycznym oceniającym inne modele niedeterministyczne, a Rishi nie podał wskaźników fałszywie pozytywnych ani fałszywie negatywnych dla sędziego. Najbliższa odpowiedź, jaką daje architektura, to audytowalność: zarówno backtesting, jak i analiza wsadowa insights generują podlegający ludzkiemu przeglądowi ślad każdej decyzji SAGE i każdej akcji, która przeszła obok niego. Na razie pytanie o to, kto pilnuje stróża, jest odpowiadane śladem rachunków, a nie opublikowanym benchmarkiem. Dopóki taki benchmark nie istnieje, AI-in-the-loop pozostaje zakładem operacyjnym, a nie skwantyfikowaną kontrolą.

Z sesji wynikają trzy pytania dla zespołów bezpieczeństwa oceniających własną gotowość: Ile obecnych produkcyjnych zabezpieczeń zależy od człowieka klikającego „zatwierdź” i co stanie się z tym obciążeniem, gdy liczba agentów wzrośnie? Czy jakikolwiek komponent stosu egzekwuje semantyczną intencję, czy opiera się wyłącznie na listach allow i deny? I czy zespół potrafi przeprowadzić backtest zachowania agentów względem nowej polityki i cofnąć wieloturrową sesję bez przełączania systemów?

Wyczucie czasu Rishiego pokrywa się ze mierzalnym popytem rynkowym. Te same badania VentureBeat wykazały, że 82% przedsiębiorstw nadal wskazuje wbudowane zabezpieczenia i kontrole chmurowe swojego głównego dostawcy AI jako swoją główną warstwę bezpieczeństwa agentów, podczas gdy 59% planuje przyjąć, dodać lub wymienić narzędzia bezpieczeństwa agentów w ciągu najbliższych 12 miesięcy. Tylko 12% rozważa produkt agent-identity, mimo że współdzielenie poświadczeń pozostaje normą.

Każdy CISO przy tamtym okrągłym stole Anthropic miał dokument polityki, ale nie miał mechanizmu egzekwowania. Rubrik zbudowało produkt na przestrzeń między tymi dwiema rzeczywistościami. Tryb YOLO to zakład, że AI obserwujące inne AI może wreszcie uczynić te polityki operacyjnymi.