Zero Trust
Zero Trust ist ein Sicherheitsmodell, das keiner Anfrage allein aufgrund ihres Netzwerkstandorts vertraut, sondern jede Anfrage einzeln anhand von Identität, Kontext und Regeln prüft.
Klassische Sicherheitskonzepte vertrauen allem, was sich im eigenen Netz befindet. Zero Trust verabschiedet sich davon: Jede Anfrage, ob von innen oder aussen, wird authentisiert, autorisiert und mit möglichst wenigen Rechten ausgeführt. Das NIST hat das Modell 2020 in der Publikation SP 800-207 beschrieben, mit Policy Decision Point und Policy Enforcement Point als Kernbausteinen.
Für KI-Agenten passt Zero Trust besonders gut. Ein Agent kann manipuliert werden, auch wenn er im eigenen Netz läuft. Deshalb sollte jede seiner Handlungen einzeln geprüft werden, gegen den Auftrag, den er tatsächlich hat.
Beispiel
Ein Unternehmen betreibt einen Agenten im eigenen Rechenzentrum. Trotzdem prüft das Gateway jede seiner Anfragen an das Buchhaltungssystem: Identität des Agenten über seine Workload-Identität, Handlung gegen das Mandat, Entscheid der Entscheidstelle. Der Standort im Netz allein öffnet nichts.
Abgrenzung
Zero Trust ist ein Architekturprinzip, minimale Befugnis ein Grundsatz innerhalb davon. Ein Agenten-Mandat überträgt Zero Trust auf die Ebene einzelner Handlungen im Auftrag.
In der Praxis
- Prüfen Sie jede Handlung eines Agenten einzeln, auch wenn er im eigenen Netz läuft.
- Geben Sie Agenten eine eigene Identität statt geteilter Zugänge.
- Kombinieren Sie Zero Trust auf Netzwerk- und Anwendungsebene mit Mandaten für die einzelne Handlung.
Bezug zu KYA
KYA folgt demselben Gedanken: Nichts gilt als belegt, nur weil es behauptet wird oder aus einer vertrauten Umgebung kommt. Eingebettete Schlüssel sind selbst behauptet; erst ein Anker der Prüfstelle macht sie zum Beleg.
Begriff aus dem Ablauf, kein eigener Prüfschritt. Zur Methode
Häufige Fragen
Was bedeutet Zero Trust?
Keiner Anfrage wird allein aufgrund ihres Netzwerkstandorts vertraut. Jede wird anhand von Identität, Kontext und Regeln einzeln geprüft und mit möglichst wenigen Rechten ausgeführt.
Wer hat Zero Trust definiert?
Das Konzept entstand in der Industrie; das NIST hat es 2020 in der Publikation SP 800-207 als Architektur beschrieben.
Warum passt Zero Trust zu KI-Agenten?
Weil Agenten manipuliert werden können, auch wenn sie im eigenen Netz laufen. Eine einzelne Prüfung jeder Handlung begrenzt den Schaden.
Ist Zero Trust ein Produkt?
Nein. Zero Trust ist ein Architekturprinzip, das sich mit verschiedenen Bausteinen umsetzen lässt, etwa Identitäten, Gateways und Entscheidstellen.
Wie hängt Zero Trust mit KYA zusammen?
KYA wendet den Gedanken auf Nachweise an: Selbst behauptete Angaben gelten nicht als belegt, und jede Handlung wird gegen ihr Mandat geprüft.