Tre lag til sikker agentisk AI
Agentiske systemer er ikke bare endnu en chatbot oven på en API. De ræsonnerer, træffer valg og udfører handlinger på tværs af miljøer. VentureBeat beskriver det klart: autonome systemer introducerer en type risiko, som applikationskontroller aldrig var bygget til at indeholde. Oscar Wahlberg, produktchef hos Nutanix, udtrykker det skarpt: “The guardrails to catch a malicious prompt won’t stop an agent from hallucinating and doing something it never should have done, like accidentally deleting databases or leaking sensitive data with a credential it was granted but then uses for something entirely different.” (3166). Det er en anden trusselsmodel.
Hvis en agent får eksekveringsrettigheder, skal sikkerheden flyttes fra kanterne og ned i lagene. VentureBeat-analysen rammer derfor et ømt punkt for organisationer, der håber at kunne forstærke guardrails og være færdige. Nej. Defense-in-depth på tværs af infrastruktur, storage/compute, netværk og en styrende kontrolplan. Og en erkendelse af, at ingen enkeltkontrol — eller leverandør — kan dække hele risikoen alene (3166).
Hvorfor det er vigtigt nu
Applikationskontroller har gjort et solidt stykke arbejde for klassiske automatiseringer. Men agentiske systemer skaber nye kædevirkninger. En hallucination er ikke bare forkert tekst; det kan være en forkert handling: slette en database, dele en fil via en forkert credential, eller spinne nye agenter op, der løber i hver sin retning. VentureBeat peger netop på, at det er det centrale problem, når agenter går fra eksperiment til produktion (3166). Det overrasker ikke — men det bider, når man oversætter det til drift.
Tempoet i feltet forstærker behovet for styring. Nye store modeller lander hyppigt, som MarkTechPost beskriver med åbne vægt-modeller fra Z.ai og Alibaba, der konvergerer på lignende arkitekturvalg (3168). Det er baggrund, ikke en sikkerhedskilde i sig selv, men det betyder, at governance skal kunne følge med: politikker, attestation og rollback kan ikke være håndarbejde, når modelversioner skifter hurtigt.
Den tredelte defense-in-depth
VentureBeat skitserer tre lag, som hver dækker en særskilt risikokategori — ikke redundans, men arbejdsdeling (3166). Først infrastruktur: skab en hardwareforankret root of trust. Platform attestation, secure boot, confidential computing. Før man kan stole på, hvad en agent gør, skal man stole på, hvor og hvem der kører den. Verificér identiteten og integriteten af miljøet, inden agenten får lov at handle. I regulerede miljøer giver det isolering af produktions-workloads og afskærmning mod tampering og supply chain-angreb.
Dernæst netværkslaget: agenter taler med alt muligt — andre agenter, APIs, systemer, datakilder. Det skaber dynamiske mønstre og høj concurrency, som faste netværksregler ikke er født til. Wahlbergs anbefaling: behandl agenter som en ny klasse af netværksidentitet og håndhæv eksplicit, dynamisk politik for, hvem de må tale med (3166). Det betyder rate-limiting, API-gatewaying, mikrosegmentering og løbende inspektion af øst-vest-trafik, så lateral bevægelse og eksfiltration ikke forsvinder i støjen.
Kontrolplanen og governance
Til sidst kontrolplanen, hvor policy engines, observabilitet og livscyklusstyring bor. Hvis infrastruktur og netværk er kroppen, er kontrolplanen nervesystemet. Her hører simulerede scenarier, menneske-i-loop-kontroller og automatiseret rollback hjemme. VentureBeat rammer principperne; et Snilld-perspektiv (3167) gør det operationelt: indbyg observabilitet fra første commit, kør adversarial tests i pipelines, og definér tydelige roller for, hvem der ejer politikker og dashboards.
Vigtigt skel: tekniske anbefalinger kontra markedsprodukter. VentureBeat er præsenteret af Nutanix og rummer derfor også produktvinkler. Arkitekturprincipperne om lagdeling, attestation og netværksstyring står dog stærkt, når de krydses med generelle zero-trust-praksisser. Leverandørers løfter bør læses med kildekritik og kræver uafhængig validering.
Hvad det kræver i praksis
Drifts- og platformsteams skal etablere hardwareforankrede tillidsanker: TPM-baseret attestation, secure boot i hele kæden samt confidential computing, hvor data i klartekst ellers kan lækkes i hukommelsen. Ingen eksekvering til agenter, før miljøets identitet er verificeret. Det føles tungt første gang — derefter er det normalform.
Netværksteams må indføre dynamisk, regelstyret gatewaying. Praktisk betyder det, at API’er ikke blot eksponeres, men pakkes ind i identitetsbaserede politikker, rate-limits og kvoter, der tager højde for agenters samtidige kald. Skift fra statiske ACLs til politikmotorer, hvor agentidentitet, formål og kontekst styrer adgangen (3166, 3167). Og der skal være auditspor.
Livscyklus, test og drift
Udviklings- og SRE-teams får en ny disciplin i CI/CD: policy as code, sikkerhedssimuleringer og en rollback-automatik, der faktisk udløses, når adfærden afviger. Snilld-perspektivet (3167) er klart: test mod fjendtlige input, hold et menneske i løkken, og mål agenters effekt i sandboxes før produktion. Små, vedholdende skridt — ikke kvartalsvise kampagner.
Governance og risiko skal have klare ejere: hvem vedligeholder politikmotoren, hvem ser på alarmer fra observabilitet, og hvem kan trykke på stop-knappen. Fraværet af navngivne ejere er ofte der, hvor modeller falder fra hinanden en fredag 16:42.
Hvad lover platforme — og hvad de ikke kan
Nutanix positionerer en samlet platform for agentisk AI, hvor et centralt Enterprise AI control plane (Agent Gateway og Inference Management) samler infrastruktur, Kubernetes og data på tværs af on-prem og sky (3169). De taler om mikrosegmentering via Nutanix Flow, om governance, om token-økonomi. Fortællingen er stringent: saml lagene, standardisér driften, styr adgangen fra et kontrolpunkt.
Men intet enkeltprodukt løser hele problemet, som VentureBeat selv understreger — ingen enkeltkontrol eller leverandør kan beskytte alene; lagene skal virke sammen (3166). Der er praktiske begrænsninger: mulig leverandørlåsning, behov for organisatoriske ændringer og fravær af uafhængige evalueringer af specifikke platformløfter (3169). Markedspositionering er legitimt, men ikke bevis i sig selv.
Trade-offs og omkostninger
Der er ingen gratis frokost. Confidential computing kan koste performance. Attestation og secure boot kan forlænge provisioneringstider. Fuld observabilitet er dyrt og kan skabe alarmtræthed. Politikmotorer kan give falske positiver, der blokerer legitime flows på dårlige tidspunkter. De omkostninger betaler sig typisk, når det første fejlscenarie undgås — men det er ikke en matematisk garanti.
Prioritering i praksis: start med infrastrukturens root of trust og netværkets segmentering. Uden dem er kontrolplanen mest pynt. Byg derefter observabilitet, simulering og rollback ind i udviklingsprocessen for at fange de farlige kanter tidligt.
Tjekliste til jeres proof-of-concept
En fokuseret POC måler arkitektur — ikke kun modelkvalitet. Her er en stram liste, sammenstillet ud fra VentureBeat-anbefalingerne og et Snilld-perspektiv på operationalisering (3166, 3167):
- Identitetsanker og attestation: Kræv platform attestation og secure boot før agentens første handling. Succesmål: kryptografisk verifikation logget for 100 procent af POC-kørsler.
- Isoleret testmiljø: Kør agenter i afgrænsede sandboxes med politikbaserede tilladelser. Succesmål: ingen uautoriserede kald uden for POC-scope i netflow-logs.
- API-gateway og rate-limits: Indfør identitetsbundne kvoter pr. agent. Succesmål: stabil p99-latens under spidsbelastning og nul overskridelser af kvoter.
- Policy engine-integration: Versionér politikker i repo og håndhæv i pipeline. Succesmål: politikker rulles automatisk ud ved commit med auditspor.
- Observabilitet og audit: Centraliser beslutningslogs, modelkald og systemevents. Succesmål: fuld korrelation fra prompt til handling på under 3 minutter.
- Adversarial testing: Kør fjendtlige scenarier og injektionsforsøg. Succesmål: dokumenterede blokeringer eller failsafe uden datalæk.
- Automatiseret rollback: Definér betingelser for at rulle tilbage ved afvigelser. Succesmål: gennemsnitlig rollback-tid under 60 sekunder fra trigger.
- Roller og rapportering: Udpeg ejere for politik, drift og incidenthåndtering. Succesmål: kontaktveje testet og bekræftet inden go-live.
Huller i dokumentationen
Der mangler uafhængige casestudier, der dokumenterer faktiske hændelser, hvor agent-hallucinationer førte til datatab eller læk. VentureBeat beskriver plausible, men primært teoretiske risici uden verifikationsrapporter (3166). Det gør ikke risikoen mindre, men journalistisk set er det et hul.
Implementering af platform attestation i heterogene hybridmiljøer er svagt beskrevet. Skaleringsmønstre, nøglehåndtering og drift på tværs af leverandører kræver mere teknisk dybde. Ligeledes er integrationen af policy engines i CI/CD for agent-livscyklus og automatiske rollback-triggere ikke detaljeret i kilderne.
Marked og leverandørvalidering
Nutanix’ Agentic AI-positionering giver et sammenhængende billede af, hvordan lagene kan samles under ét kontrolplan (3169). Men der er begrænset uafhængig evaluering af platformens faktiske egenskaber. Tredjepartsbenchmarks, sikkerhedsrevisioner og referencekunder med dokumenterede resultater vil være vigtige næste datapunkter.
Og hvad med zero-trust-segmentering som sølvkugle? Evidensen peger på risikoreduktion, ikke total forebyggelse. Det stiller krav til løbende validering, ikke kun initialt design.
Ansvarsdeling og zero trust i hverdagen
Snilld-perspektivet (3167) er praktisk: del ansvaret i stacken. Infrastruktur ejer attestation og secure boot. Netværk ejer segmentering, gateways og kvoter. Platform og SRE ejer observabilitet og rollback. Produkt og risiko ejer politikker, simulationer og beslutningslogik. Cross-check med VentureBeats lagmodel og nul-tillidstanken: det matcher i tekniske behov og arbejdsdeling (3166).
Det, der ofte vælter læsset, er grænsefladerne. Hvem udsteder agentidentiteter? Hvor bor nøgler? Hvem lukker for adgang, når modellen opdateres torsdag aften? Små praktiske dilemmaer — men det er dér, sikkerheden enten virker eller smuldrer.
Konklusion og næste skridt
Agentiske systemer ændrer spillereglerne. VentureBeat-analysen — med Wahlbergs citater — gør det tydeligt, at guardrails alene ikke er nok (3166). Tag en kort, målrettet risikovurdering af jeres agentbrug. Planlæg et POC med de otte punkter ovenfor. Forbered roller og kontrolplan, før agenterne får nøglerne. Forskellen bliver tydelig, når man først arbejder med det.
