AI सुरक्षा की पहली पीढ़ी मॉडल गेटवे पर केंद्रित थी। अगली पीढ़ी एंडपॉइंट पर आएगी, जहाँ एजेंट वास्तव में काम करते हैं।
गेटवे तब समझ में आते थे जब AI सिस्टम मुख्य रूप से सवालों के जवाब देते थे। एक सुरक्षा टीम उपयोगकर्ता और मॉडल के बीच एक नियंत्रण बिंदु रख सकती थी, प्रॉम्प्ट और आउटपुट का निरीक्षण कर सकती थी, DLP लागू कर सकती थी, मॉडल एक्सेस को मध्यस्थ कर सकती थी, और आदान-प्रदान को लॉग कर सकती थी।
एजेंट उस आर्किटेक्चर को विकसित करने के लिए मजबूर करते हैं। सुरक्षा समस्या अब केवल यह नहीं है कि मॉडल क्या कहता या देखता है। यह है कि एजेंट क्या कर सकता है: उपयोगकर्ता के टूल का उपयोग करना, उनकी अनुमतियाँ प्राप्त करना, और संवेदनशील वातावरण में स्थिति बदलना।
सबसे स्पष्ट उदाहरण डेवलपर मशीन है। Claude Code, Codex, और Cursor जैसे कोडिंग एजेंट सोर्स कोड, टर्मिनल, पैकेज मैनेजर, क्लाउड CLI, स्थानीय क्रेडेंशियल्स, और प्रोडक्शन-आसन्न सिस्टम के साथ चलते हैं। एक एकल प्राकृतिक-भाषा अनुरोध फ़ाइल रीड, शेल कमांड, डिपेंडेंसी बदलाव, क्रेडेंशियल-आधारित कार्रवाइयाँ, और कोड संशोधन में बदल सकता है।
वही पैटर्न अब डेवलपर्स से आगे बढ़कर नॉलेज वर्कर्स तक फैल रहा है। डेस्कटॉप-कनेक्टेड एजेंट SaaS ऐप्स, स्थानीय टूल्स, और आंतरिक सिस्टम पर काम करना शुरू कर रहे हैं। Claude Cowork और OpenClaw जैसे एजेंट वर्कस्पेस एंटरप्राइज़ AI के अगले चरण की ओर इशारा करते हैं: उपयोगकर्ता का लैपटॉप एंटरप्राइज़ एप्लिकेशन में प्रतिनिधि कार्य के लिए रनटाइम बन जाता है।
आज की कठोर वास्तविकता यह है कि सुरक्षा टीमें एजेंट द्वारा कमांड निष्पादित करने, फ़ाइलों को संशोधित करने, डिपेंडेंसी स्थापित करने, या डेटा एक्सफ़िल्ट्रेट करने के बाद ही ब्लास्ट रेडियस देख सकती हैं। विफलता के तरीके पहले से ही गंभीर हैं: Claude Code प्रोजेक्ट कॉन्फ़िगरेशन के माध्यम से रिमोट कोड एक्सीक्यूशन, Copilot Chat प्रॉम्प्ट इंजेक्शन के माध्यम से प्राइवेट कोड एक्सपोज़र, और दुर्भावनापूर्ण npm पैकेजों के माध्यम से क्रेडेंशियल चोरी जो स्थानीय कोडिंग एजेंटों को अटैक पथ में बदल देते हैं।
यही एंडपॉइंट विज़िबिलिटी गैप है जिसे Beacon बंद करने के लिए बनाया गया है।
Beacon @asymptotelabs का ओपन-सोर्स एंडपॉइंट टेलीमेट्री लेयर है AI एजेंटों के लिए। यह स्थानीय एजेंट गतिविधि को देखने योग्य, समझने योग्य, और अंततः पूरे एंटरप्राइज़ में नियंत्रणीय बनाने की दिशा में हमारा पहला कदम है।
सुरक्षा टीमों के लिए इसका क्या अर्थ है
सुरक्षा टीमों के लिए, यह मायने रखता है क्योंकि मौजूदा स्टैक प्रतिनिधि कार्य को समझाने के लिए डिज़ाइन नहीं किया गया था। गेटवे, EDR, और एजेंट-नेटिव टेलीमेट्री सभी महत्वपूर्ण बने हुए हैं, लेकिन प्रत्येक एजेंट जो कर रहा है उसका केवल एक हिस्सा देखता है। एजेंटों को सुरक्षित रूप से नियंत्रित करने के लिए, टीमों को यह देखने की आवश्यकता है कि एजेंट एंडपॉइंट पर इरादे से कार्रवाई तक कैसे जाता है।
तीन अंतराल सामने आते हैं:
- एंडपॉइंट लॉग प्रभाव दिखाते हैं, वर्कफ़्लो नहीं। वे कमांड, फ़ाइल परिवर्तन, और प्रक्रिया गतिविधि को कैप्चर कर सकते हैं, लेकिन वे शायद ही कभी उन घटनाओं को एजेंट अनुरोध, टूल निर्णय, अनुमोदन पथ, या अंतिम डिफ से जोड़ते हैं।
- एजेंट टेलीमेट्री को एक सामान्य लेयर की आवश्यकता है। Claude Code, Cursor, Codex, और Claude Cowork जैसे AI कोडिंग एजेंट सभी अलग-अलग टेलीमेट्री सिग्नल उजागर करते हैं। सुरक्षा टीमों को उनमें एक एकीकृत एंडपॉइंट-स्तरीय रिकॉर्ड की आवश्यकता है।
- दृश्यता नियंत्रण से पहले आती है। टीमें कॉन्फ़िगरेशन लागू नहीं कर सकतीं, संवेदनशील कार्रवाइयों को गेट नहीं कर सकतीं, MCP एक्सेस को नियंत्रित नहीं कर सकतीं, या रहस्यों की रक्षा नहीं कर सकतीं जब तक वे नहीं जानतीं कि कौन से एजेंट चल रहे हैं, उनके पास क्या अनुमतियाँ हैं, और वे क्या कार्रवाइयाँ कर रहे हैं।
एंडपॉइंट लॉग एजेंट वर्कफ़्लो को कैप्चर नहीं करते
पारंपरिक एंडपॉइंट टेलीमेट्री आवश्यक है, लेकिन एजेंट व्यवहार को समझने के लिए अपर्याप्त है।
यह दिखा सकता है कि कमांड चले, फ़ाइलें बदलीं, प्रक्रियाएँ स्पॉन हुईं, या कनेक्शन खुले। यह आमतौर पर यह नहीं दिखा सकता कि घटना के पीछे का वर्कफ़्लो क्या था: एजेंट को क्या करने के लिए कहा गया था, उसने क्या करने का फैसला किया, और क्या कार्रवाई कार्य के लिए समझ में आती थी।
एक ही एजेंट कार्रवाई उसके आसपास के कार्य के आधार पर सुरक्षित या जोखिम भरी हो सकती है। उदाहरण के लिए:
- एक kubectl कमांड बुनियादी ढाँचे की घटना के दौरान उपयुक्त हो सकता है, लेकिन एक कोडिंग एजेंट के लिए अनुपयुक्त जिसे यूनिट टेस्ट अपडेट करने के लिए कहा गया हो।
- एक .env रीड स्थानीय डिबगिंग के दौरान अपेक्षित हो सकता है, लेकिन दस्तावेज़ीकरण संपादन के दौरान संदिग्ध।
- एक Terraform परिवर्तन इन्फ्रास्ट्रक्चर रिपॉजिटरी में सामान्य हो सकता है, लेकिन डिपेंडेंसी अपडेट के साइड इफेक्ट के रूप में पेश किए जाने पर खतरनाक।
प्रत्येक मामले में, कच्ची घटना पर्याप्त नहीं है। सुरक्षा अर्थ उसके आसपास के वर्कफ़्लो पर निर्भर करता है: प्रॉम्प्ट, योजना, एक्सेस किया गया संदर्भ, आह्वान किए गए टूल, छुई गई फ़ाइलें, उपयोग किए गए क्रेडेंशियल्स, और दी गई अनुमतियाँ।
एक कोडिंग एजेंट पर विचार करें जिसे एक संकीर्ण टेस्ट बदलाव करने के लिए कहा गया है: उपयोगकर्ता अनुरोध कुछ इस तरह दिख सकता है: "बिलिंग रीट्री लॉजिक के लिए यूनिट टेस्ट अपडेट करें।"
पारंपरिक टेलीमेट्री यह दिखा सकती है:
billing_test.goसंशोधित.envपढ़ा गयाmain.tfसंशोधितkubectl applyनिष्पादित
वे घटनाएँ उपयोगी हैं, लेकिन वे एजेंट वर्कफ़्लो से डिस्कनेक्टेड हैं। लॉग दिखाता है कि एक टेस्ट बदला, एक गुप्त फ़ाइल पढ़ी गई, Terraform संशोधित किया गया, और एक डिप्लॉयमेंट कमांड चला। यह नहीं दिखाता कि क्या वे कार्रवाइयाँ उपयोगकर्ता के अनुरोध का हिस्सा थीं, किस टूल निर्णय ने उन्हें उत्पन्न किया, या क्या उपयोगकर्ता ने संवेदनशील चरणों को मंजूरी दी।
एक एजेंट-जागरूक रिकॉर्ड उन्हीं घटनाओं को वर्कफ़्लो से जोड़ता है:
चरण | विवरण |
|---|---|
अनुरोध | "बिलिंग रीट्री लॉजिक के लिए यूनिट टेस्ट अपडेट करें" |
योजना | टेस्ट फ़ाइल ढूँढें, रीट्री लॉजिक समझें, टेस्ट केस जोड़ें |
टूल कॉल |
|
फ़ाइल परिवर्तन |
|
अन्य गतिविधि |
|
अनुमोदन |
|
उस ट्रेस के बिना, सुरक्षा टीमें बाद में निम्न-स्तरीय कलाकृतियों से इरादे का पुनर्निर्माण करने के लिए छोड़ दी जाती हैं। वे एजेंट गतिविधि के प्रभाव देख सकते हैं, लेकिन यह नहीं कि क्या एजेंट का व्यवहार उस कार्य के लिए उपयुक्त था जो उसे करने के लिए कहा गया था।
Beacon: AI एजेंटों के लिए एक एंडपॉइंट टेलीमेट्री लेयर
अधिकांश सुरक्षा और IT टीमें जवाब दे सकती हैं कि कौन से मॉडल स्वीकृत हैं या कौन से गेटवे तैनात हैं। एक बार एजेंट स्थानीय रूप से चलने लगते हैं, सुरक्षा प्रश्न एंडपॉइंट के करीब चले जाते हैं:
एजेंट इन्वेंटरी: कौन से एजेंट टूल इंस्टॉल हैं? कौन से उपयोगकर्ता और डिवाइस उन्हें चला रहे हैं?
रनटाइम संदर्भ: एजेंट किन रिपॉजिटरी और वर्कस्पेस में काम कर रहे हैं? वे कौन से टूल, क्रेडेंशियल्स, और स्थानीय अनुमतियाँ प्राप्त कर सकते हैं?
एजेंट गतिविधि: एजेंट कौन सी फ़ाइलें पढ़ या संशोधित कर रहे हैं? वे कौन से कमांड, अनुमोदन, और डिफ उत्पन्न कर रहे हैं?
टेलीमेट्री और ऑडिट: कौन सी टेलीमेट्री एकत्र की जा रही है और इसे कहाँ भेजा जा रहा है? क्या सुरक्षा टीमें मूल उपयोगकर्ता अनुरोध को की गई कार्रवाइयों से जोड़ सकती हैं?
एजेंट-नेटिव टेलीमेट्री मदद करती है, लेकिन यह खंडित है। Claude Code और Codex OpenTelemetry निर्यात कर सकते हैं। Cursor सत्र, प्रॉम्प्ट, टूल उपयोग, कमांड निष्पादन, अनुमोदन, MCP-जैसी गतिविधि, और फ़ाइल संपादन के लिए हुक उजागर करता है। Claude Cowork एक प्रशासन-कॉन्फ़िगर OTLP एंडपॉइंट के माध्यम से टेलीमेट्री निर्यात कर सकता है।
सुरक्षा टीमों को जो चाहिए वह एक वर्कफ़्लो रिकॉर्ड है जो उन्हें फैलाता है: एजेंट को क्या करने के लिए कहा गया था, उसके पास क्या संदर्भ था, उसने कौन से टूल आह्वान किए, किन अनुमोदनों की आवश्यकता थी, और एंडपॉइंट पर क्या बदला।
Beacon उस अंतर को भरता है जहाँ समर्थित है वहाँ OpenTelemetry कॉन्फ़िगर करके, जहाँ उपलब्ध है वहाँ स्थानीय सिग्नल एकत्र करके, और खंडित एजेंट गतिविधि को एक सामान्य एंडपॉइंट इवेंट प्रारूप में मैप करके।
जैसा कि चित्र 1 में दिखाया गया है, Beacon चार परतों को जोड़ता है:
- एजेंट रनटाइम: Claude Code, Codex, Cursor, Claude Cowork, OpenClaw, और स्थानीय मॉडल प्रॉम्प्ट, योजनाएँ, टूल कॉल, अनुमोदन, डिफ, और रनटाइम स्थिति उत्पन्न करते हैं।
- एंडपॉइंट गतिविधि: वे एजेंट मशीन के साथ इंटरैक्ट करते हैं: फ़ाइलें, टर्मिनल, पैकेज मैनेजर, MCP सर्वर, क्लाउड CLI, रिपॉजिटरी, क्रेडेंशियल्स, और स्थानीय कॉन्फ़िगरेशन।
- Beacon सामान्यीकरण: Beacon खंडित OpenTelemetry, हुक-आधारित, और एंडपॉइंट सिग्नल को एक सामान्य JSON इवेंट स्ट्रीम में बदल देता है, ताकि सुरक्षा टीमें एजेंट अनुरोध से स्थानीय कार्रवाई तक की श्रृंखला का अनुसरण कर सकें।
- सुरक्षा गंतव्य: Beacon आज Wazuh-संगत JSONL लिखता है। वही सामान्यीकृत इवेंट स्ट्रीम उन SIEM, डेटा लेक, ऑब्ज़र्वेबिलिटी प्लेटफ़ॉर्म, डिटेक्शन पाइपलाइन, और एंडपॉइंट वर्कफ़्लो में विस्तारित हो सकती है जो एंटरप्राइज़ पहले से उपयोग करते हैं।
Beacon के साथ, प्रॉम्प्ट, टूल कॉल, कमांड, फ़ाइल संपादन, अनुमोदन, MCP इंटरैक्शन, और रनटाइम परिवर्तन एक एंडपॉइंट-स्तरीय रिकॉर्ड का हिस्सा बन जाते हैं: उपयोगकर्ता अनुरोध से स्थानीय कार्रवाई तक एक स्पष्ट श्रृंखला, एजेंटों और टूल में।
पहले दृश्यता, फिर नियंत्रण
एजेंट एंटरप्राइज़ के अंदर एक नया निष्पादन लेयर बन रहे हैं।
वे फ़ाइलें पढ़ते हैं, टूल कॉल करते हैं, क्रेडेंशियल्स का उपयोग करते हैं, सिस्टम संशोधित करते हैं, और उन लोगों के अधिकार के साथ कार्य करते हैं जो उन्हें काम सौंपते हैं। उस गतिविधि को अकेले मॉडल गेटवे से नहीं समझा या नियंत्रित किया जा सकता है।
एंडपॉइंट वह जगह है जहाँ एजेंट संदर्भ, अधिकार, और कार्रवाई एक साथ आते हैं। यह वह जगह है जहाँ प्रॉम्प्ट कमांड बन जाते हैं, टूल अनुमतियाँ प्राप्त करते हैं, क्रेडेंशियल्स का उपयोग होता है, और परिवर्तन किए जाते हैं।
यह एंडपॉइंट टेलीमेट्री को एजेंट सुरक्षा की नींव बनाता है।
Beacon स्थानीय एजेंट गतिविधि को उन टूल में देखने योग्य बनाता है जिन्हें एंटरप्राइज़ पहले से अपना रहे हैं। यह सुरक्षा टीमों को एक सामान्य रिकॉर्ड देता है कि एजेंटों को क्या करने के लिए कहा गया था, उन्होंने क्या छुआ, उन्होंने क्या बदला, और क्या संवेदनशील कार्रवाइयों को मंजूरी दी गई थी।
इस लेयर पर भरोसा किया जाना चाहिए। Beacon ओपन सोर्स और MIT-लाइसेंस प्राप्त है क्योंकि यह डेवलपर वर्कफ़्लो, सोर्स कोड, क्रेडेंशियल्स, और प्रोडक्शन-आसन्न सिस्टम के करीब चलता है। डेवलपर्स को यह निरीक्षण करने में सक्षम होना चाहिए कि क्या एकत्र किया जा रहा है। सुरक्षा टीमों को टेलीमेट्री को सत्यापित करने में सक्षम होना चाहिए। IT टीमों को ठीक से समझना चाहिए कि वे क्या तैनात कर रहे हैं।
एजेंट गतिविधि को नियंत्रणीय होने से पहले देखने योग्य होना चाहिए।
Beacon उसे सच बनाने की दिशा में हमारा पहला कदम है।
