Traditioneller Anwendungszugang:

Traditionell erfolgt der Zugriff auf Anwendungen, egal ob es sich um SaaS-Dienste oder Unternehmensanwendungen handelt, über APIs wie RESTful APIs und gRPC. Selbst der browserbasierte Zugriff auf diese Anwendungen nutzt die APIs über JavaScript. In der Regel gibt es für jede Ressource, die die Anwendung zur Verfügung stellt, einen entsprechenden API-Endpunkt mit HTTP-Methoden, um verschiedene Operationen mit der Ressource durchzuführen. Betrachten wir zur Veranschaulichung eine einfache SaaS HR-Anwendung. Diese Anwendung verwaltet verschiedene Ressourcen wie Mitarbeiter, Abteilungen und Gehaltsabrechnung. Hier sind einige der wichtigsten Ressourcen und ihre entsprechenden API-Endpunkte:

  • Mitarbeiter: GET /api/employees – Abrufen einer Liste aller Mitarbeiter; POST /api/employees – Hinzufügen eines neuen Mitarbeiters; GET /api/employees/{id} – Abrufen von Details zu einem bestimmten Mitarbeiter; PUT /api/employees/{id} – Aktualisieren von Details zu einem bestimmten Mitarbeiter; DELETE /api/employees/{id} – Entfernen eines bestimmten Mitarbeiters
  • Abteilungen: GET /api/departments – Abrufen einer Liste aller Abteilungen; POST /api/departments – Hinzufügen einer neuen Abteilung; GET /api/departments/{id} – Abrufen von Details zu einer bestimmten Abteilung; PUT /api/departments/{id} – Aktualisieren von Details zu einer bestimmten Abteilung; DELETE /api/departments/{id} – Entfernen einer bestimmten Abteilung
  • Gehaltsabrechnung: GET /api/payrolls – Abrufen einer Liste aller Lohn- und Gehaltsabrechnungen; POST /api/payrolls – Erstellen einer neuen Lohn- und Gehaltsabrechnung; GET /api/payrolls/{id} – Abrufen von Details einer bestimmten Lohn- und Gehaltsabrechnung; PUT /api/payrolls/{id} – Aktualisieren von Details einer bestimmten Lohn- und Gehaltsabrechnung; DELETE /api/payrolls/{id} – Entfernen einer bestimmten Lohn- und Gehaltsabrechnung

In diesem Beispiel gibt es drei API-Endpunkte – Mitarbeiter, Abteilungen und Gehaltsabrechnungen.

Zero Trust Sicherheit

Zero Trust Security, die SASE/SSE und Service Mesh-Technologien nutzt, arbeitet mit Regeln, wobei jede Regel einen kontextspezifischen Zugriff auf API-Endpunkte und -Methoden ermöglicht. Zum Kontext gehören die JWT-Ansprüche der Benutzer, die auf die Ressourcen zugreifen, der Netzwerkkontext, von dem aus der Benutzer auf die Anwendungsressourcen zugreift, die Geräteposition des Endpunkts, von dem aus der Benutzer auf die Anwendungsressourcen zugreift, der geografische Standort des Benutzers, der Tag des Zugriffs, die Uhrzeit des Zugriffs und andere relevante Faktoren. Hier finden Sie einige Beispielregeln, die Zero Trust Security für die HR-Anwendung veranschaulichen:

  1. Regel: Zugriff auf Mitarbeiterdaten – Personalverantwortliche, die vom Unternehmensnetzwerk aus auf konforme Geräte zugreifen, können Listen von Mitarbeitern (GET: /api/employees) und Details zu bestimmten Mitarbeitern (GET: /api/employees/{id}) abrufen.
  2. Regel: Abteilungsverwaltung – Administratoren, die werktags zwischen 9.00 und 18.00 Uhr von einem beliebigen Netzwerk aus auf konforme Geräte innerhalb des Landes zugreifen, können Abteilungsdetails hinzufügen (POST: /api/departments), aktualisieren (PUT: /api/departments/{id}) oder entfernen (DELETE: /api/departments/{id}).
  3. Regel: Erstellung von Lohn- und Gehaltsabrechnungsdatensätzen – Lohn- und Gehaltsabrechnungsspezialisten, die über das Unternehmens-VPN auf konforme Geräte innerhalb der Büroräume zugreifen, können bestimmte Lohn- und Gehaltsabrechnungsdatensätze erstellen (POST: /api/payrolls), aktualisieren (PUT: /api/payrolls/{id}), Details abrufen (GET: /api/payrolls/{id}) oder entfernen (DELETE: /api/payrolls/{id}).

Diese Regeln stellen sicher, dass der Zugriff auf Ressourcen auf der Grundlage einer Kombination aus Benutzeridentität, Netzwerkkontext, Gerätekonformität, Standort und Zeitbeschränkungen gewährt wird, wodurch die Prinzipien der Zero Trust Security umgesetzt werden.

Bedeutung von API-Endpunkten und -Methoden

Wie Sie sehen, ermöglicht die Granularität von API-Endpunkten granulare Zugriffskontrollen. API-Endpunkte spiegeln die Ressourcen der Anwendungen wider und ermöglichen eine präzise Zugriffsverwaltung. Einige Anwendungen verwenden möglicherweise keine URL-Endpunkte für jede Ressource. Stattdessen können sie HTTP-Anfrage-Header verwenden, um die Ressource anzugeben, auf die zugegriffen wird, und in einigen Fällen wird die Ressource selbst explizit als Teil des JSON-Körpers der API erwähnt. In jedem Fall dienen APIs als Schnittstellen zu den Ressourcen, die eine entscheidende Rolle für die Sicherheit spielen. Sie ermöglichen es mittleren Sicherheitsinstanzen wie Reverse Proxies, API Security Gateways und CASB/ZTNA von SASE/SSE-Systemen, die verwaltete Ressource aus den HTTP-Protokollelementen zu extrahieren. Diese Systeme wenden dann kontextspezifische Regeln an, um zu entscheiden, ob die HTTP-Sitzung fortgesetzt werden darf. Dieser Prozess stellt sicher, dass jede Anfrage in Echtzeit auf der Grundlage des aktuellen Kontexts bewertet wird, wodurch Risiken effektiv gemindert und sensible Daten geschützt werden.

GenAI verändert die Art und Weise, wie auf Anwendungen zugegriffen wird

SaaS- und Unternehmensanwendungen entwickeln sich dahingehend weiter, dass sie Eingaben in natürlicher Sprache für die Ressourcenverwaltung akzeptieren. Das bedeutet, dass es einen einzigen API-Endpunkt gibt, der natürlichen Text, Audio oder Bilder interpretieren und verarbeiten kann, um Operationen mit Ressourcen durchzuführen. Eine HR-Anwendung könnte beispielsweise einen API-Endpunkt haben, an dem Benutzer ihre Absicht in natürlicher Sprache eingeben können. Die Anwendung würde dann diese Absicht interpretieren, die notwendigen Operationen intern ausführen und die Ergebnisse zurückgeben. Wenn zusätzliche Klarheit oder Eingaben erforderlich sind, kann das System den Benutzer um weitere Informationen bitten. Im Folgenden finden Sie einige Beispiele für natürliche Eingabeaufforderungen, die zeigen, wie verschiedene Vorgänge ausgeführt werden können:

  • Natürliche Aufforderung: „Zeigen Sie mir die Liste aller Mitarbeiter“
  • Natürliche Aufforderung: „Geben Sie mir die Details der Mitarbeiter-ID 123“ 2. Abteilungsleitung
  • Natürliche Aufforderung: „Fügen Sie eine neue Abteilung namens ‚Marketing‘ hinzu“
  • Natürliche Aufforderung: „Aktualisieren Sie den Namen der Abteilungs-ID 456 auf ‚Vertrieb'“
  • Natürliche Aufforderung: „Entfernen Sie die Abteilung mit der ID 789“ 3. Erstellung von Abrechnungsdatensätzen:
  • Natürliche Aufforderung: „Erstellen Sie einen Abrechnungsdatensatz für Mitarbeiter ID 123“
  • Natürliche Aufforderung: „Aktualisieren Sie den Abrechnungsdatensatz ID 456 mit neuen Details“
  • Natürliche Aufforderung: „Zeigen Sie mir den Abrechnungssatz für ID 789“
  • Natürliche Aufforderung: „Löschen Sie den Abrechnungsdatensatz ID 101112“

Diese Beispiele zeigen, dass natürlichsprachliche Eingabeaufforderungen den direkten Aufruf von APIs auf Ressourcenebene ersetzen können.

Entwicklung von Anwendungen

Bevor wir über die Sicherheitsherausforderungen sprechen, sollten wir uns ansehen, wie sich Anwendungen weiterentwickeln.

Traditionelle Anwendungen mit ihren eigenen GenAI-Schnittstellen

Traditionelle Anwendungen mit natürlichem sprachbasiertem Zugriff verändern die Art und Weise, wie Benutzer mit Software interagieren. Bestehende SaaS- und Unternehmensanwendungen bieten nach wie vor den traditionellen API-Zugriff auf Ressourcenebene, werden jetzt jedoch so erweitert, dass sie den generativen KI-basierten Zugriff unterstützen. Dieser Ansatz ermöglicht es Benutzern, Ressourcen über natürlichsprachliche Eingabeaufforderungen zu verwalten, was die Interaktion intuitiver und benutzerfreundlicher macht. Diese Anwendungen verfügen oft über eigene grafische Benutzeroberflächen (GUIs) zum Chatten, die es ermöglichen, verschiedene zusammenhängende Eingabeaufforderungen in einem großen Gedächtniskontext zu verknüpfen. Das bedeutet, dass die Software den Gesprächsverlauf verstehen und sich daran erinnern kann und so präzisere und relevantere Antworten auf Benutzeranfragen geben kann. Durch die Integration der Verarbeitung natürlicher Sprache können diese Anwendungen komplexe Vorgänge in einfache, dialogfähige Befehle auflösen. Anstatt Daten manuell einzugeben oder komplexe API-Aufrufe zu verwenden, können Benutzer beispielsweise einfach sagen: „Erstellen Sie einen Gehaltsabrechnungsdatensatz für Mitarbeiter ID 123“, und das System wird die Anfrage verstehen und nahtlos ausführen.

Traditionelle Anwendungen werden durch Lösungen von etablierten Anbietern generativer KI ergänzt

In jüngster Zeit haben Anbieter generativer KI-Dienste wie ChatGPT herkömmliche Anwendungen durch Funktionen wie Funktionsaufrufe und Plugins erweitert. Diese Erweiterungen ermöglichen es bestehenden Anwendungen, nahtlos mit ChatGPT und ähnlichen Schnittstellen zu interagieren. Im Wesentlichen erfassen GenAI-Dienstleister Benutzeranfragen über ihre Schnittstellen, interpretieren die zugrundeliegende Absicht und identifizieren die geeigneten Plugins, um diese Anfragen zu erfüllen, indem sie RESTful API-Aufrufe oder neue Anfragen an Backend-Systeme generieren und ausführen. Das Ergebnis wird dann in natürlicher Sprache an den Benutzer zurückgemeldet, was den Prozess intuitiv und benutzerfreundlich macht. Anstatt durch mehrere Schnittstellen zu navigieren, um Operationen auszuführen, können die Benutzer in der ChatGPT-Umgebung bleiben und Befehle über eine einfache Konversationsschnittstelle ausführen. ChatGPT, das bereits über 800 Plugins unterstützt, ermöglicht es verschiedenen Anbietern von SaaS-Anwendungen, ihre Dienste als Plugins zu registrieren. Diese Integration bedeutet, dass die Benutzer nicht die Registerkarte wechseln oder die ChatGPT-Oberfläche verlassen müssen, um Aufgaben auszuführen, die von diesen Plugins abgedeckt werden.

KI-Agenten und agentische Arbeitsabläufe

Im Zuge der Weiterentwicklung von Anwendungen entwickeln sich KI-Agenten mit agentenbasierten Workflows zu einem weiteren transformativen Trend. Diese KI-Agenten sind so konzipiert, dass sie autonom arbeiten und Aufgaben und Arbeitsabläufe im Namen der Benutzer mit minimalem Eingriff verwalten. Durch den Einsatz fortschrittlicher Algorithmen für maschinelles Lernen und ausgefeilter KI-Modelle können diese Agenten eine Vielzahl von Aufgaben ausführen, was sie in modernen Anwendungsökosystemen unverzichtbar macht. KI-Agenten lassen sich nahtlos in bestehende Anwendungen integrieren und erweitern deren Fähigkeiten durch die Automatisierung von Routineaufgaben und die Optimierung von Arbeitsabläufen. In einer Kundendienstanwendung kann ein KI-Agent beispielsweise selbständig allgemeine Anfragen bearbeiten und bei Bedarf sogar komplexe Probleme an menschliche Agenten weiterleiten. Dies verbessert nicht nur die Effizienz, sondern sorgt auch für ein konsistentes und hochwertiges Benutzererlebnis. Diese Agenten sind mit der Fähigkeit ausgestattet, aus Interaktionen zu lernen, ihre Leistung kontinuierlich zu verbessern und sich an die Präferenzen der Benutzer anzupassen. Das bedeutet, dass KI-Agenten im Laufe der Zeit die Bedürfnisse der Benutzer vorhersehen und Aufgaben proaktiv verwalten können, was den Betrieb weiter vereinfacht und die kognitive Belastung der Benutzer verringert. Sie können mit verschiedenen Systemen und Anwendungen zusammenarbeiten und so eine kohärente und integrierte Umgebung schaffen, in der Daten und Aktionen nahtlos ineinander übergehen. Einer der Hauptvorteile von KI-Agenten ist ihre Fähigkeit, innerhalb definierter Grenzen und Ziele zu arbeiten, die oft als agentenbasierte Workflows bezeichnet werden. Dadurch können sie Aufgaben zielgerichtet ausführen und sicherstellen, dass die Aktionen mit den vom Benutzer definierten Prioritäten und Unternehmenszielen übereinstimmen. So kann ein KI-Agent in einem Projektmanagement-Tool selbstständig Aufgaben zuweisen, den Fortschritt verfolgen und Aktualisierungen auf der Grundlage der Projektziele und -fristen bereitstellen. KI-Agenten können bei der Koordination und Kommunikation zwischen verschiedenen Anwendungen und Diensten helfen. Sie fungieren als Vermittler, die Aufforderungen in natürlicher Sprache interpretieren und in ausführbare Aktionen für mehrere Systeme übersetzen. KI-Agenten verwenden Argumentationsmodelle, um Pläne zu erstellen, die aus verschiedenen Aufgaben bestehen, die auf der Absicht des Benutzers basieren, und führen diese Aufgaben dann aus, indem sie mit verschiedenen Plugins und Anwendungen kommunizieren. Diese Fähigkeit ist besonders in Umgebungen von Vorteil, in denen Benutzer mit mehreren Tools und Plattformen interagieren müssen.

Konventionelle Zero Trust Security-Implementierungen sind unzureichend

Wie im Abschnitt „Zero Trust Security“ beschrieben, gehen herkömmliche Zero Trust Network Security-Implementierungen davon aus, dass der gesamte Zugriff auf Anwendungen über ressourcenspezifische APIs und herkömmliche HTTP-Aktionen erfolgt. Bestehende CASB- und ZTNA-Lösungen fallen unter diese konventionellen Zero-Trust-Sicherheitsimplementierungen. Mit dem Aufkommen von GenAI und ihren auf natürlicher Sprache basierenden Interaktionen müssen sich die Sicherheitsimplementierungen weiterentwickeln. Herkömmliche APIs und JSON/XML-Körper werden durch Eingaben und Ausgaben in natürlicher Sprache ergänzt, was eine tiefere Analyse erfordert, um die Absichten und Ergebnisse der Benutzer zu erkennen. Sicherheitsregeln können sich nicht mehr nur auf spezifische API-Endpunkte und Body-Elemente stützen. Sie müssen jetzt mit einem Verständnis der Benutzerabsicht entwickelt werden, um inhalts- und kontextspezifische, granulare Zugriffskontrollen anzuwenden. Stellen Sie sich zum Beispiel vor, ein Benutzer interagiert mit einer Gehaltsabrechnungsanwendung über ChatGPT oder über eine eigene Chat-Schnittstelle. Anstelle eines direkten API-Aufrufs mit festen Parametern könnte der Benutzer sagen: „Zeigen Sie mir die Gehaltsabrechnungen für das letzte Quartal.“ Das Sicherheitssystem muss diese Anfrage in natürlicher Sprache interpretieren und sicherstellen, dass die Anfrage und die Antwort mit den Sicherheitsrichtlinien des Unternehmens übereinstimmen. Dies erfordert ein differenziertes Verständnis sowohl des Kontextes der Anfrage als auch der damit verbundenen spezifischen Sicherheitseinschränkungen. Daher müssen sich entwickelnde Zero-Trust-Sicherheitsmodelle Mechanismen zum Analysieren und Verstehen natürlichsprachlicher Eingaben enthalten, um sicherzustellen, dass die Zugriffskontrollen auch im Zeitalter von GenAI robust und kontextbezogen bleiben.