VentureBeat最近與沃爾瑪公司執(zhí)行副總裁兼首席信息安全官Jerry R. Geisler III進(jìn)行了虛擬會面，深入了解這家全球最大零售商在AI日益自主化背景下面臨的網(wǎng)絡(luò)安全挑戰(zhàn)。
我們討論了智能體AI系統(tǒng)的安全防護(hù)、身份管理現(xiàn)代化以及構(gòu)建Element AI(沃爾瑪中心化AI平臺)過程中的關(guān)鍵經(jīng)驗。Geisler以令人耳目一新的坦率態(tài)度，分享了公司如何應(yīng)對前所未有的安全挑戰(zhàn)，從防御AI增強型網(wǎng)絡(luò)威脅到管理大規(guī)?；旌隙嘣苹A(chǔ)設(shè)施的安全。他采用初創(chuàng)思維重構(gòu)身份和訪問管理系統(tǒng)的方法，為各種規(guī)模的企業(yè)提供了寶貴經(jīng)驗。
在沃爾瑪規(guī)模的公司中，Geisler負(fù)責(zé)跨Google云、Azure和私有云環(huán)境的安全管理，在實施零信任架構(gòu)和構(gòu)建他所稱的"治理下的敏捷性"方面帶來了獨特洞察，能夠在可信安全框架內(nèi)實現(xiàn)快速AI創(chuàng)新。在開發(fā)Element AI過程中做出的架構(gòu)決策，塑造了沃爾瑪集中化新興AI技術(shù)的整體方法。
以下是采訪精華摘錄：
**智能體AI帶來全新安全威脅**
VentureBeat：隨著生成式AI和智能體AI日益自主化，您現(xiàn)有的治理和安全防護(hù)措施將如何演進(jìn)，以應(yīng)對新興威脅和意外模型行為?
Geisler：智能體AI的采用引入了繞過傳統(tǒng)控制的全新安全威脅。這些風(fēng)險涵蓋數(shù)據(jù)泄露、API的自主濫用以及智能體間的隱蔽串通，這些都可能破壞企業(yè)運營或違反監(jiān)管要求。我們的策略是使用先進(jìn)的AI安全態(tài)勢管理(AI-SPM)構(gòu)建強大的主動安全控制，確保持續(xù)風(fēng)險監(jiān)控、數(shù)據(jù)保護(hù)、合規(guī)性和運營信任。
**用初創(chuàng)思維重構(gòu)身份管理**
VB：鑒于傳統(tǒng)RBAC在動態(tài)AI環(huán)境中的局限性，沃爾瑪如何改進(jìn)其身份管理和零信任架構(gòu)，以提供精細(xì)化、上下文敏感的數(shù)據(jù)訪問?
Geisler：我們這樣規(guī)模的環(huán)境需要定制化方法，有趣的是，還需要初創(chuàng)思維。我們團(tuán)隊經(jīng)常退一步問："如果我們是一家新公司，從零開始構(gòu)建，我們會構(gòu)建什么?"身份和訪問管理(IAM)在過去30多年中經(jīng)歷了多次迭代，我們的主要關(guān)注點是如何現(xiàn)代化IAM堆棧以簡化它。
我們對MCP和A2A等協(xié)議的重大演進(jìn)和采用感到鼓舞，因為它們認(rèn)識到我們面臨的安全挑戰(zhàn)，并積極實施精細(xì)化、上下文敏感的訪問控制。這些協(xié)議基于身份、數(shù)據(jù)敏感性和風(fēng)險使用短期可驗證憑證，實現(xiàn)實時訪問決策。
**混合多云環(huán)境下的零信任**
VB：沃爾瑪廣泛的混合多云基礎(chǔ)設(shè)施(Google、Azure、私有云)如何影響您對AI工作負(fù)載零信任網(wǎng)絡(luò)分段和微分段的方法?
Geisler：分段基于身份而非網(wǎng)絡(luò)位置。訪問策略在云和本地環(huán)境中始終跟隨工作負(fù)載。隨著MCP和A2A等協(xié)議的發(fā)展，服務(wù)邊緣執(zhí)行正在標(biāo)準(zhǔn)化，確保零信任原則得到統(tǒng)一應(yīng)用。
**AI驅(qū)動的威脅防御**
VB：隨著AI降低了高級威脅(如復(fù)雜釣魚攻擊)的門檻，沃爾瑪正在積極部署哪些AI驅(qū)動的防御措施來主動檢測和緩解這些不斷演進(jìn)的威脅?
Geisler：在沃爾瑪，我們專注于保持威脅防御的領(lǐng)先地位。隨著AI重塑網(wǎng)絡(luò)安全格局，這一點尤為重要。攻擊者越來越多地使用生成式AI制作極具說服力的釣魚活動，但我們在對抗模擬活動中利用同類技術(shù)主動構(gòu)建針對該攻擊向量的韌性。
我們在安全堆棧中集成了先進(jìn)的機(jī)器學(xué)習(xí)模型來識別行為異常和檢測釣魚攻擊。除了檢測之外，我們還主動使用生成式AI模擬攻擊場景，通過將AI廣泛集成到大規(guī)模紅隊演練中來壓力測試我們的防御。
**Element AI的安全經(jīng)驗**
VB：回顧您開發(fā)Element AI的經(jīng)驗，哪些關(guān)鍵的網(wǎng)絡(luò)安全或架構(gòu)經(jīng)驗將指導(dǎo)您未來關(guān)于何時以及如何廣泛集中化新興AI技術(shù)的決策?
Geisler：這是一個關(guān)鍵問題，因為我們今天的架構(gòu)選擇將定義我們未來數(shù)年的風(fēng)險態(tài)勢。回顧開發(fā)中心化AI平臺的經(jīng)驗，出現(xiàn)了兩個重要經(jīng)驗，現(xiàn)在指導(dǎo)著我們的策略。
首先，我們了解到中心化是"治理下敏捷性"的強大推動力。通過為AI開發(fā)創(chuàng)建單一的鋪設(shè)道路，我們大大降低了數(shù)據(jù)科學(xué)家的復(fù)雜性。更重要的是，從安全角度來看，它為我們提供了統(tǒng)一的控制平面。我們可以從一開始就嵌入安全性，確保數(shù)據(jù)處理、模型審查和輸出監(jiān)控的一致性。
其次，它允許"集中防御和專業(yè)知識"。AI的威脅格局以驚人的速度演進(jìn)。中心化架構(gòu)允許我們將有限的AI安全人才和最強大的控制集中在最關(guān)鍵的點，而不是分散到數(shù)十個不同的項目中。
Q&A
Q1：Element AI是什么?它如何幫助沃爾瑪實現(xiàn)安全與創(chuàng)新的平衡?
A：Element AI是沃爾瑪?shù)闹行幕疉I平臺。通過創(chuàng)建單一的AI開發(fā)道路，它大大降低了數(shù)據(jù)科學(xué)家的工作復(fù)雜性，同時提供統(tǒng)一的安全控制平面，能夠從一開始就嵌入安全性，確保數(shù)據(jù)處理、模型審查和輸出監(jiān)控的一致性，實現(xiàn)在可信框架內(nèi)的快速創(chuàng)新。
Q2：沃爾瑪如何應(yīng)對AI增強的網(wǎng)絡(luò)威脅，特別是釣魚攻擊?
A：沃爾瑪采用多層防御策略：在安全堆棧中集成先進(jìn)機(jī)器學(xué)習(xí)模型識別行為異常和檢測釣魚攻擊;主動使用生成式AI模擬攻擊場景進(jìn)行壓力測試;將AI廣泛集成到大規(guī)模紅隊演練中;通過對抗模擬活動構(gòu)建針對攻擊向量的韌性。
Q3：沃爾瑪?shù)牧阈湃渭軜?gòu)在混合多云環(huán)境中是如何實現(xiàn)的?
A：沃爾瑪?shù)牧阈湃螌崿F(xiàn)基于身份而非網(wǎng)絡(luò)位置進(jìn)行分段，訪問策略在云和本地環(huán)境中始終跟隨工作負(fù)載。采用MCP和A2A等先進(jìn)協(xié)議，使用短期可驗證憑證，基于身份、數(shù)據(jù)敏感性和風(fēng)險實現(xiàn)實時訪問決策，確保零信任原則在所有環(huán)境中統(tǒng)一應(yīng)用。