У вівторок компанія Snowflake представила Cortex AI Gateway – централізований шар управління, розроблений для контролю доступу AI-агентів (включно зі створеними конкурентами, такими як Claude Code від Anthropic та Cursor) до корпоративних даних, інструментів та моделей. Одночасно з шлюзом компанія анонсувала першу хвилю інтеграцій безпеки з 1Password, Aembit, Linx Security, SailPoint та Saviynt – незвичну коаліцію постачальників ідентифікаційних даних, які часто конкурують між собою, але тепер об’єднані спільною моделлю довіри для автономних агентів.
Цей анонс, зроблений з головного офісу компанії, що не має фізичної адреси, у місті Бозмен, штат Монтана, є найсміливішим кроком Snowflake на сьогодні, що позиціонує компанію не просто як сховище корпоративних даних, а як площину контролю, яка визначає, що AI-агентам дозволено робити з цими даними.
«Наступна ера ШІ не буде побудована на закритих екосистемах. Вона буде побудована на безпечній взаємодії агентів», — заявив у ексклюзивному інтерв’ю VentureBeat Маянк Упадхьяй, директор з безпеки та довіри Snowflake. «Якщо кожен постачальник створюватиме закриту екосистему агентів, підприємства просто відтворять фрагментацію, яку вони роками намагалися подолати. Замість руйнування ізоляцій, вони створять нове покоління AI-силосів, які обмежуватимуть інновації та ускладнюватимуть масштабування ШІ по всьому бізнесу».
Чому багатовікові моделі корпоративної безпеки руйнуються, коли акторами стають AI-агенти
Основний аргумент, що лежить в основі сьогоднішнього анонсу, полягає в тому, що багатовікова архітектура корпоративної безпеки ґрунтується на припущенні, яке більше не відповідає дійсності, — що актором за кожним запитом на доступ є людина.
«Традиційна безпека була розроблена для світу, де акторами були люди. AI-агенти повністю це змінюють. Десятиліттями моделі безпеки припускали, що люди будуть отримувати доступ до однієї програми за раз, працюючи зі швидкістю людини та в межах відносно визначених меж», — зазначив Упадхьяй. Глибша проблема, на його думку, полягає не в новизні, а в незахищеності: «Виклик не в тому, що ШІ створює абсолютно нові проблеми безпеки. Це те, що ШІ викриває сліпі плями, які ми завжди мали».
Упадхьяй зазначив, що організації ніколи не мали ідеальної видимості всіх API, наборів даних та робочих процесів, і при швидкості людини ці прогалини були керованими. Агенти, що працюють зі швидкістю машини, можуть «об’єднувати доступ до різних систем і використовувати дозволи, які ніколи не мали використовуватися разом, посилюючи ці давні ризики». Його висновок: «В епоху агентів довіра не може бути одноразовим рішенням, прийнятим під час входу. Її необхідно постійно перевіряти через кожного агента, кожну дію та кожну взаємодію в межах підприємства».
Ненсі Ванг, технічний директор 1Password, описала сценарій збою більш наочно. Коли з’явилися перші агенти, за її словами, стандартний підхід був небезпечно простим: «Просто дайте агенту мої облікові дані, і він зможе діяти як я… уявімо, що ви голова відділу безпеки або IT-директор, і у вас є доступ, особливо адміністративний доступ, до всіх систем. Тоді раптом ваш агент отримує адміністративний доступ до всіх систем, і таким чином він може викрасти дані… якщо, наприклад, він стане жертвою атаки на впровадження (prompt injection)».
Вона додала, що аудиторський слід стає так само марним: «Уявіть, що аудиторські журнали показують, що Майкл відправив кілька мільйонів доларів на офшорний рахунок… Це викликає підозри, коли насправді це міг бути агент, який вийшов з-під контролю і робить те, що ви ніколи не дозволяли». Її рішення, і основа інтеграції 1Password з Snowflake, є прямолінійним: «Агентам потрібна власна ідентичність».
Всередині Cortex AI Gateway: як Snowflake планує контролювати доступ агентів та стримувати неконтрольовані витрати на ШІ
Cortex AI Gateway, який незабаром увійде в публічну бета-версію, функціонує як сполучний шар для того, що Snowflake називає «всією довіреною діяльністю агентів». Він контролює як власні агенти Snowflake, такі як Snowflake CoWork і CoCo, так і сторонні агенти, створені на зовнішніх платформах. Завдяки підтримці понад 100 серверів MCP (Model Context Protocol connectors), які стали де-факто стандартом для підключення агентів до корпоративних інструментів, шлюз централізує політики доступу, аутентифікацію, дозволи та аудиторський запис в одному місці.
Шлюз також вирішує менш гламурну, але все більш нагальну проблему: неконтрольовані витрати на ШІ. Він надає ІТ-відділам та фінансовим командам єдине уявлення про споживання ШІ, атрибутує витрати конкретним командам, агентам або робочим навантаженням, що їх спричиняють, та встановлює ліміти витрат до того, як рахунки стануть некерованими.
Упадхьяй описав, як ці витрати накопичуються на практиці. «ШІ динамічний. Агенти можуть викликати кілька моделей, різні інструменти та виконувати багатоетапні робочі процеси, створюючи моделі споживання, які можуть змінюватися від одного завдання до іншого. Наприклад, підприємство може розгорнути AI-асистента, щоб допомогти співробітникам відповідати на внутрішні запитання. Простий запит, який вимагає лише отримання документа, може ненавмисно пройти через дорожчу модель міркувань, ініціювати додаткові пошуки в кількох системах або викликати непотрібні робочі процеси». У великому масштабі, з тисячами співробітників та сотнями агентів, незначні неефективності стають значними статтями витрат.
Шлюз будується безпосередньо на базі придбання Snowflake у травні 2026 року компанії Natoma, стартапу з 27 співробітниками, чий централізований шлюз MCP забезпечував ідентифікацію, політику та аудит на рівні виклику інструменту. Forbes повідомляв тоді, що угода — анонсована того ж дня, що й звіт Snowflake про квартальний дохід від продуктів у розмірі 1,33 мільярда доларів та зобов’язання щодо обчислень AWS на 6 мільярдів доларів — була найменшою за вартістю серед трьох анонсів дня, але найбільш показовою щодо того, де Snowflake бачить наступну битву платформ: не в сховищі даних, а в шарі, який визначає, що агент може торкнутися, і записує, що він зробив.
Подвійна атрибуція та доступ, обмежений завданням: технічний план довіри до автономних агентів
Технічним центром партнерських інтеграцій є те, що Snowflake називає подвійною атрибуцією. «Записуючи як перевірену нелюдську ідентичність агента, так і конкретну людину, яка авторизувала завдання, ми забезпечуємо доступ, обмежений завданням, і повну аудиторську придатність для кожної дії, виконаної в межах підприємства», — сказав Упадхьяй. Це дає відповідь на запитання, яке поставило в глухий кут команди безпеки: коли агент виконує дію, чия це дія? Модель Snowflake стверджує, що це дія обох — агента та людини, яка делегувала завдання — і обидві мають бути записані.
Доступ, обмежений завданням, є супутнім принципом. Замість успадкування повних дозволів користувача, агент отримує доступ лише до того, що вимагає конкретне завдання. Упадхьяй визнав очевидний заперечення — агенти динамічні, і їхній наступний крок часто невідомий заздалегідь. «Мета — не передбачити кожну дію, яку виконає агент. Це — забезпечити, щоб кожна дія агента в реальному часі оцінювалася відповідно до відповідних політик, сфери дії, контекстних сигналів та початкового наміру користувача», — сказав він.
Ван пояснила, як працює частина 1Password на рівні протоколу, вказуючи на нові стандарти, такі як OIDC-A: «людина, наприклад, спочатку авторизує агента для виконання певного завдання, і тоді агент отримує токен, делегований для конкретного завдання… як частина цього токена, ви дізнаєтеся про початкову ідентичність делегатора, а також про намір, що стоїть за завданням».
Вона зазначила, що проблема збереження наміру є тонкою, оскільки корпоративні завдання розкладаються на величезні ланцюги окремих операцій. «Коли вони отримують доступ до таблиці, ви знаєте, що вона діє від імені початкового наміру, який ви дали цьому агенту… завдання може складатися з сотень, можливо, навіть тисяч окремих дій». Збереження цього наміру на кожному етапі ланцюга — і позначення моменту, коли агент відхиляється від нього — це те, що коаліція зрештою намагається стандартизувати.
Звіт SailPoint: три способи, якими корпоративні системи управління ідентифікацією зазнають невдачі проти AI-агентів
Чандра Гнанасамбандам, виконавчий віце-президент з продуктів та технічний директор SailPoint, представив погляд постачальника, який спостерігав, як підприємства вже понад рік намагаються адаптувати свої системи управління ідентифікацією до цієї проблеми. SailPoint працює на ринку безпеки машин та агентів приблизно 18 місяців, зазначив він, маючи понад 100 клієнтів свого продукту для управління ідентичністю агентів — достатньо вибірки, щоб каталогізувати повторювані збої.
Перший — це поверхневість, зумовлена масштабом. Середня компанія зі списку Fortune 500 має приблизно 16 000 співробітників, а SailPoint спостерігає співвідношення людських до нелюдських ідентичностей щонайменше 10 до 1 — ще до врахування інструментів та API, до яких звертається кожен агент, що знову множить кількість. «Ви отримаєте понад мільйон нелюдських ідентичностей. Зіставлення дозволів, які кожен з них отримує, з 16 000 людей — це абсолютно непросте завдання», — сказав він. Більшість компаній йдуть на компроміс, зіставляючи агентів з людьми на рівні груп каталогів. «Цього абсолютно недостатньо. Вам потрібен детальний контекст. Як я вже казав, справа не в доступі до Snowflake, а в доступі до того, якими стовпцями та якими даними всередині Snowflake ви користуєтеся».
Другий сценарій збою — дрейф. Сучасні моделі — це невпинні шукачі мети, і ця наполегливість діє в обох напрямках. «Коли ви кажете їм виконати це завдання, основні моделі зараз настільки потужні. Навіть слабші моделі дуже потужні. Вони знайдуть спосіб виконати це… Вони знайдуть вразливості, щоб обійти дозволи, щоб виконати це», — попередив Гнанасамбандам. Він стверджував, що відповідь — це моніторинг у реальному часі всього ланцюга взаємодії, постійне порівняння з політикою, з автоматичним втручанням, коли агент виходить за межі дозволеного його людським делегатом.
Третій — відсутність контексту даних. Багато постачальників, на його думку, анонсують гучні інтеграції з великими платформами програм, ігноруючи, де зосереджується реальний ризик. «Ризик не там. Ризик полягає в конфіденційних даних, тому деталі мають значення тут… Чи можете ви зіставити конкретні стовпці та рядки в Databricks, Snowflake, Redshift, Oracle… до контексту агента та контексту людини? І якщо ви не можете цього зробити, у вас будуть прогалини та дірки».
Відповідь SailPoint вимагала демонтажу двох десятиліть архітектури. «Ми переписали нашу базову модель даних та об’єктів, щоб розглядати ідентичність ШІ як повноцінний об’єкт, тому що протягом 20 років SailPoint мала модель даних та об’єктну модель, яка підтримувала людську ідентичність, а ідентичності ШІ фундаментально відрізняються», — сказав Гнанасамбандам, описуючи 12-18 місяців глибокої інженерної роботи. Результатом є те, що він називає єдиною лінією походження: «Від людини до головного агента, до під-агента, до інструменту, до програми, до даних. Це те, що я називаю сталевим ланцюгом. Це в одній моделі даних, одній платформі».
Чому конкуруючі постачальники ідентифікаційних даних приєдналися до коаліції Snowflake — і що кожна сторона отримує від цього
Мабуть, найвражаючим аспектом сьогоднішнього анонсу є його склад. 1Password, SailPoint, Saviynt, Okta та Aembit конкурують за частку бюджетів, пов’язаних з ідентифікацією та доступом. Snowflake переконав їх розробляти на основі спільної моделі довіри.
«Причина, з якої ми зібрали лідерів екосистеми безпеки, полягає в тому, що жодна компанія не може самостійно вирішити проблему безпеки агентів. AI-агенти не можуть принести реальної користі, якщо вони працюють лише в межах однієї платформи», — сказав Упадхьяй. Його ширша теза окреслює всю стратегію: «Ніхто не хоче замінювати силоси даних на AI-силоси».
Ван запропонувала прагматичний розподіл праці: «Ми надаємо довіру, а Snowflake — систему обліку». Вона представила співпрацю як класичну «глибинну оборону» — «існують засоби контролю на рівні даних, і існують засоби контролю на рівні ідентичності, і таким чином разом ми можемо створити набагато сильнішу екосистемну гру».
Звісно, є й власний інтерес у цій відкритості. Snowflake знаходиться на вершині величезної концентрації конфіденційних корпоративних даних — понад 13 900 клієнтів, за підрахунками компанії — і кожен сторонній агент, який звертається до цих даних через контрольований шлюз Snowflake, посилює гравітаційний вплив платформи.
Як зазначив аналітик Constellation Research Майкл Ні під час анонсу угоди з Natoma, у коментарях, опублікованих CIO.com: платформи даних виграли еру аналітики, а той, хто контролює агентів, контекст та автономні дії, виграє еру агентів. Аналіз Forbes тієї ж угоди прямо висвітлив напругу, зазначивши, що шар управління, розташований всередині Snowflake, ризикує повернути відкритість MCP до контрольного рівня одного постачальника — привабливо для компаній, що стандартизуються на Snowflake, але менш зручно для справді багатовендорних стеків агентів.
Прогнози аналітиків показують, що управління агентами — це гонка на трильйон доларів проти часу
Нагальність, що стоїть за сьогоднішнім анонсом, не є надуманою. Gartner прогнозує, що до 2027 року прогалини в управлінні, виявлені лише після інцидентів у продакшені, змусять 40% підприємств понизити статус або вивести з експлуатації автономні AI-агенти — при цьому аналітики попереджають, що найбільший ризик, який становить агент, часто полягає не в його вихідних даних, а в діях, на які він має повноваження. IDC, тим часом, очікує понад 1 мільярд активно розгорнутих AI-агентів до 2029 року, які виконуватимуть приблизно 217 мільярдів дій на день, і прогнозує, що агентний ШІ перевищить 1,3 трильйона доларів світових витрат на ІТ того ж року. Аналітики дослідницької фірми зараз стверджують, що агентні платформи слід розглядати як інфраструктуру прийняття рішень, а не програмне забезпечення для продуктивності.
На цьому тлі шар ідентифікації стає спірною територією, і кожен великий постачальник — Salesforce, ServiceNow, Microsoft, Google, Okta — поспішає до того ж критичного моменту контролю в реальному часі. Перевага Snowflake — близькість до самих даних. Як зазначив Упадхьяй, безпека «не може бути просто проксі-сервером API, розташованим перед LLM. Вона повинна проникати до самого базового рівня даних, забезпечуючи межі без копіювання, динамічне маскування даних та захист від витоку даних у реальному часі, перш ніж агент торкнеться рядка даних».
Зараз розгортання переходить на стадію доказів. Cortex AI Gateway незабаром увійде в публічну бета-версію, а п’ять партнерських інтеграцій — у приватну бета-версію, фазу, яку Ван описала як свідомий цикл зворотного зв’язку — клієнти з першого дня отримають брокер доступу агентів плюс «повний аудиторський журнал, який покаже вам, наприклад, що насправді робить агент», навіть коли агент відхиляється від свого наміру. Гнанасамбандам, як завжди, хоче, щоб підприємства взагалі пропускали прості демонстрації, закликаючи клієнтів надати робочі процеси видачі кредитів, що охоплюють три хмари та десять програм, половина з яких — мейнфрейми: «Дайте нам цей складний сценарій використання та залучіть будь-кого, зробіть це у вашому контексті, і ми приймемо виклик будь-кого у світі».
Ця впевненість — від коаліції конкурентів, не менше — відображає незвичайність цього моменту. Компанії, які витратили останнє десятиліття, змагаючись за те, хто перевіряє людську ідентичність, дійшли висновку, більш-менш одночасно, що наступне десятиліття належить тому, хто зможе перевірити машини, що діють від нашого імені. Упадхьяй стисло виклав ставку одним реченням: «Майбутнє ШІ виграють не організації з найбільшою кількістю агентів, а організації, які зможуть керувати цими агентами з найбільшою довірою, видимістю та контролем». В агентному підприємстві, виявляється, довіра — це не захисний бар’єр. Це продукт.
Оригінал статті: venturebeat.com