A tríade letal já está nos seus laptops — Michael Patterson, Coder

Autoria: AI Engineer · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: The Lethal Trifecta Is Already on Your Laptops — Michael Patterson, Coder · Canal: AI Engineer · 20:22 · Assistir no YouTube

Tópicos: Agentes de IA, Cibersegurança e segurança de software, Ferramentas de desenvolvimento com IA, Governança e regulação de IA, Segurança de IA

Resumo

Michael Patterson explica a tríade letal da segurança de agentes: acesso a dados privados, capacidade de comunicação externa e exposição a conteúdo não confiável. Ele descreve ataques como prompt injection, envenenamento de contexto e escalonamento de privilégios, e apresenta práticas para reduzir esses riscos. Entre as medidas estão usar ambientes de desenvolvimento remotos isolados, restringir permissões e controlar o tráfego por meio de um model proxy e de um firewall para agentes. A palestra também aborda os desafios de adoção corporativa, incluindo shadow AI, observabilidade e a necessidade de guardrails.

Pontos-chave

A tríade letal combina acesso a dados privados, comunicação com a internet e exposição a conteúdo não confiável.
Prompt injection e envenenamento de contexto podem levar agentes a executar ações não esperadas.
Aplicar o princípio do menor privilégio e usar credenciais com escopo restrito reduz o impacto de abusos.
Ambientes de desenvolvimento remotos isolam os agentes dos laptops e dos recursos que não precisam acessar.
Um model proxy pode registrar o tráfego, remover dados sensíveis e ajudar a filtrar injeções.
Um firewall para agentes pode bloquear comandos considerados perigosos no nível do processo.
A shadow AI surge quando funcionários usam ferramentas de IA sem autorização ou supervisão da empresa.
Empresas precisam equilibrar observabilidade e alertas úteis para evitar fadiga de alertas.
Adotar agentes com segurança requer colaboração entre segurança, DevOps, infraestrutura e desenvolvimento.

Capítulos

Início	Capítulo	Resumo
00:12	A tríade letal e o risco dos agentes	Patterson apresenta o tema e explica como agentes poderosos podem causar danos quando operam em laptops.
05:03	Componentes da tríade e ataques	O palestrante descreve os três elementos da tríade letal e os riscos de prompt injection, envenenamento de contexto e escalonamento de privilégios.
09:54	Desafios de adoção nas empresas	A palestra aborda aprovações de segurança, shadow AI, observabilidade e as preocupações de diferentes equipes.
15:26	Ambientes remotos para agentes	Patterson recomenda executar agentes em ambientes de desenvolvimento remotos, isolados e com permissões restritas.
18:12	Proxy, firewall e recomendações finais	O palestrante apresenta o model proxy e o firewall para agentes, e conclui defendendo visibilidade e adoção cuidadosa.

Citações

Dois dos três elementos são completamente inaceitáveis em qualquer ambiente corporativo seguro. — 06:13

A segurança de agentes não é diferente das boas práticas de segurança. — 09:23

Shadow AI é o uso não autorizado de IA nos laptops. — 10:58

Tudo bem avançar devagar para pensar na arquitetura e entender o que sua infraestrutura realmente precisa. — 19:49

Conceitos e entidades

Lethal Trifecta (conceito): Modelo de risco que combina acesso a dados privados, comunicação externa e exposição a conteúdo não confiável.
Simon Ellison (pessoa): Pessoa a quem o palestrante atribui a criação do termo Lethal trifecta.
Coder (empresa): Empresa que fornece ambientes de desenvolvimento remotos, consistentes e seguros.
Coda (empresa): Empresa onde Michael Patterson diz trabalhar como staff solutions engineer.
OpenClaw (ferramenta): Ferramenta apresentada como um assistente de IA que pode operar em um computador.
Claude Code (ferramenta): Ferramenta de programação com agentes mencionada como um marco na adoção de IA em 2025.
Codex (ferramenta): Agente citado como exemplo de ferramenta que pode operar em um laptop.
prompt injection (conceito): Ataque que insere instruções maliciosas em fontes de informação que o agente pode tratar como confiáveis.
Context poisoning (conceito): Inserção de informações maliciosas em documentação ou dados que o agente consulta.
Shadow AI (conceito): Uso não autorizado de ferramentas de IA na empresa, sem conhecimento ou supervisão da organização.
Ninja AI (conceito): Termo apresentado para o uso de shadow AI em escala, com muitos agentes operando sem supervisão.
Cloud development environments (conceito): Ambientes remotos de desenvolvimento que permitem executar código e agentes fora do laptop local.
Model proxy (ferramenta): Componente intermediário que registra e pode filtrar o tráfego entre um agente e o provedor de LLM.
Agent firewall (ferramenta): Mecanismo que monitora processos e bloqueia comandos não autorizados executados por agentes.

Tradução completa (pt-BR)

00:12 Como está todo mundo? Beleza. Bom, é um prazer apresentar para vocês. Espero que todos estejam se divertindo aqui na AI Dev Conference, na AI Engineers Conference. Meu nome é Michael Patterson. Sou engenheiro de soluções sênior aqui na Coda. Hoje, quero falar com vocês sobre a tríade letal. Somos um grupo pequeno. Posso pedir que levantem a mão? Alguém já ouviu falar da tríade letal?

00:43 Todos nós ou metade de nós. Então, mais ou menos 50/50. Fantástico. O que vou fazer é explicar um pouco o que é a tríade letal e o que aprendemos aqui na Coda sobre como lidar com ela. Vou começar removendo estas notas de Grenada da visualização do apresentador. Desculpem. Quero começar com uma rápida recapitulação da IA agêntica em 2025.

01:16 2025 foi, sem dúvida, o ano dos agentes de IA. Todo mundo lançou uma nova ferramenta agêntica: Microsoft, Salesforce, AWS, Claude Code basicamente mudou o jogo quando foi lançado em março passado. Todo mundo estava usando essas coisas. E tenho uma história rápida. Vibe coding era algo muito grande. Jason publicou este post no Twitter sobre como

01:48 a programação agêntica mudou a vida dele. Ele estava lançando todo esse código, fazendo todas essas novas mudanças no produto. Para ele, esse era o futuro. E então, acho que menos de 24 horas depois, ou dois dias depois, um agente… Ele publicou novamente no Twitter e disse: “A IA agêntica acabou de destruir meu produto, apagou meu banco de dados de produção. Como alguém pode usar IA agêntica?” A questão é que a

02:20 IA agentes são muito poderosos, mas criam problemas. Todo mundo aqui conhece o Open Claw? Certo? Então, qual é a questão do Open Claw? É uma ferramenta muito, muito legal. Você pode colocar sua própria IA em um computador, e ela pode ser essencialmente sua assistente pessoal, fazendo todo tipo de coisa realmente incrível por você. Mas provavelmente vocês viram todo mundo dizendo: “Se você vai usar o Open Claw, precisa comprar um Mac Mini e colocá-lo em um computador diferente do seu

02:53 computador pessoal, certo?” Porque ele tem todas essas vulnerabilidades de segurança. A última coisa que você quer é que o Open Claw baixe todos os seus arquivos confidenciais, coloque-os na internet, baixe vírus da internet, instale-os no seu laptop e depois apague todos os seus arquivos pessoais, para que você não os tenha mais, mas o resto do mundo tenha. Então, ainda estamos tentando entender várias questões relacionadas aos agentes e como desenvolver com segurança usando agentes de IA. Hoje, vou dedicar um tempo para falar sobre a tríade letal, caso vocês ainda não tenham ouvido falar dela,

03:27 e sobre como a Coder está lidando com os princípios de segurança agêntica, e como as pessoas estão nos procurando para resolver esses problemas e ampliar o uso de IA nas empresas. Um pouco sobre a Coder. A Coder foi fundada em 2017. Foi fundada por três adolescentes que criavam mods de Minecraft e estavam cansados de ter que configurar VMs o tempo todo para executar o Minecraft e desenvolver mods nele. De alguma forma, eles acabaram criando uma empresa de US$ 80 milhões.

04:00 Temos muito orgulho deles. O que a Coder faz é fornecer ambientes de desenvolvimento remoto consistentes, confiáveis e seguros. Esses ambientes podem ser configurados praticamente em qualquer lugar que você quiser. Eles são configurados com Terraform. Somos open source. Não dependemos de um modelo específico nem de uma nuvem específica. Você pode hospedar isso localmente, e descobrimos que essa é uma solução muito, muito boa se você precisa de um modelo auto-hospedado para ambientes de desenvolvedor ou ambientes

04:31 agênticos. Algumas das maiores empresas dos Estados Unidos e de toda a Europa confiam em nós. Aqui estão alguns dos nomes no nosso quadro de clientes. Acredito que estamos em seis dos dez maiores bancos, em muitos fundos de hedge e em várias agências governamentais com nomes de três letras. Essencialmente, se um modelo SaaS não funciona para você, se você tem infraestrutura local, se não pode ter código armazenado no laptop de um desenvolvedor nem em algum tipo de

05:03 perímetro que você não consegue controlar, a Coder geralmente é uma boa solução, assim como é para essas empresas. Então, o que é a tríade letal? O termo tríade letal foi cunhado por Simon Ellison e consiste essencialmente em três camadas, três camadas de ameaça na superfície de ataque. Uma delas é ter seu agente em um laptop — pode ser o Claw Code, o Open Claw, o Codex, certo? Bem, esse laptop tem acesso a dados privados. Podem ser informações pessoais em arquivos no seu computador, credenciais, propriedade intelectual da empresa, bancos de dados. Então, agora seu laptop tem acesso a esses dados. Seu agente também tem acesso a esses dados privados. E, além de ter acesso a esses dados privados, ele também pode se comunicar com a internet. Certo? Então, tem acesso a dados privados e pode colocar esses dados na internet. E não só pode colocar esses dados na internet, como também pode baixar coisas da internet. Isso é um problema porque você não tem

05:39 supervisão sobre o que exatamente esse agente pode fazer quando você dá um prompt a ele. Ter um desses três elementos não é um grande problema. Mas dois dos três são completamente inaceitáveis em qualquer tipo de ambiente empresarial seguro. Ter os três é basicamente inaceitável. Não é uma questão de se, mas de quando você terá algum tipo de incidente de segurança por ter um agente naquele laptop. Então, aqui tenho alguns cenários de ataque. Tenho certeza de que todo mundo aqui

06:13 já ouviu falar de injeção de prompt, que é basicamente quando há algum tipo de instrução maliciosa na fonte de informação em que um agente confia. Por exemplo, ele pode estar analisando mensagens de erro, chamados de suporte ou logs de CI/CD. É muito fácil para um agente malicioso inserir algo em qualquer uma dessas mensagens, e o agente simplesmente aceita aquilo como verdade e pode fazer algo que você não esperava. O envenenamento de contexto está no mesmo âmbito

06:45 e consiste basicamente em inserir informações incorretas na documentação, nos dados, em qualquer lugar de onde seu agente vá buscar informações. E, se houver algum dado malicioso ali, o agente vai segui-lo e fazer o que quiser. Depois, há a escalada de privilégios, certo? Todo mundo conhece o princípio do acesso com privilégio mínimo, certo? Em geral, damos aos agentes acesso a praticamente tudo, porque eles precisam de acesso para fazer

07:16 o trabalho, certo? E, assim, qualquer uma dessas injeções de prompt ou o envenenamento de contexto pode, sem que a gente perceba, elevar os privilégios desse agente, permitindo que ele faça coisas que não deveria: apagar uma tabela, enviar dados, fazer solicitações ou publicar coisas que não deveria poder fazer. Então, como lidamos com isso? Há três pilares da tríade letal. Há três pilares da segurança agêntica. Chamamos isso de tríade da segurança de agentes. A primeira

07:46 coisa é controlar o acesso aos dados. Se você vai usar um agente, não o quer no seu laptop; você o quer em um ambiente seguro, de preferência um ambiente virtual, certo? Isso vai bloquear o acesso a arquivos privados e impedir ações destrutivas na sua máquina, porque o agente estará em outra máquina. Em seguida, você restringe a comunicação externa. Então, se você colocar esse agente em algum tipo de máquina, uma VM, ela ficará isolada arquitetonicamente da sua

08:18 rede. Ela só poderá acessar os domínios que você quiser. Ficará na sua VPN, na sua VPC, passará por um firewall e, então, todo o tráfego gerado pelo agente nessa máquina será monitorado. Você poderá ver cada coisinha que ele fizer e, se algum dia ele ultrapassar esse perímetro, deverá haver alguma forma de alertar seus administradores e você mesmo de que o agente está indo a algum lugar onde não deveria, para que você possa efetivamente encerrar essa VM, encerrar esse agente. E então, você quer

08:52 rede. Ele só vai poder acessar os domínios que você quiser que acesse. Vai estar na sua VPN, na sua VPC, vai passar por um firewall, e todo o tráfego gerado pelo que esse agent estiver fazendo naquela máquina será controlado. Você vai poder ver cada coisinha que ele fizer e, se algum dia ultrapassar esse perímetro, deve haver alguma forma de alertar os administradores e você mesmo de que seu agent está indo aonde não deveria, para que você possa encerrar efetivamente essa VM, encerrar esse agent. E então, você quer

09:23 restringir o conteúdo, os contatos e o acesso. Então, você quer restringir as permissões, limitar os recursos a que ela tem acesso e usar credenciais com escopo bem definido. A questão da segurança de sistemas agênticos é que ela não é realmente diferente das boas práticas de segurança para qualquer pessoa, certo? E pensamos que, como a IA é tão poderosa, podemos simplesmente dar a ela tudo de que precisa e que ela não vai cometer o mesmo tipo de erro, que não será explorável por outras vulnerabilidades como um ser humano seria. Então, queremos

09:54 garantir que essa máquina esteja isolada, proteger esse ambiente e interceptar qualquer tipo de comunicação que o agent possa fazer com a internet mais ampla. Então, vou explicar rapidamente como é implantar agents em escala em empresas realmente muito grandes. Quais são os obstáculos à adoção? Por que as empresas não querem fazer isso? Quais são os desafios se você decidir implementar

10:25 IA agêntica em uma empresa? E quais perguntas você pode esperar se estiver tentando liderar uma iniciativa para levar IA à sua empresa. Então, alguns desafios esperados, certo? Antes da adoção, você praticamente precisa da aprovação da equipe de segurança da informação, liderada pelo CISO. Você precisa do apoio de DevOps, porque são eles que têm de implementar isso para as equipes. Você vai precisar de exemplos do mundo real, do tipo: “Ei, é por isso que preciso disso. Este é o workflow que quero executar.” E o truque aqui é que, se você não estiver recebendo essas aprovações,

10:58 se você está em uma empresa agora e não estão deixando você usar agents, a maioria das pessoas vai usar suas assinaturas pessoais de serviços na nuvem, suas assinaturas pessoais do ChatGPT, instalar isso no laptop, porque elas realmente obtêm benefícios concretos ao usar IA. Só não estão autorizadas pela empresa. Mesmo assim, vão fazer o trabalho. Chamamos isso de IA paralela. Assim como a TI paralela, quando você leva suas próprias VMs, leva sua própria tecnologia para a empresa para fazer o trabalho. IA paralela é simplesmente o uso não autorizado de IA nos laptops.

11:33 Isso é um problema real, porque, quando você tem IA no laptop e está usando sua assinatura pessoal, a empresa não sabe o que está acontecendo e, geralmente, a IA agêntica pode causar muitos danos muito rápido. Estamos começando a ver um novo termo no setor, chamado IA ninja, que é a IA paralela em escala: em vez de apenas um agent quebrar coisas, você tem uma multidão de agents fazendo muitas coisas na organização, e ninguém percebe até ser tarde demais que um monte de coisas foi danificado.

12:06 Então, se você fosse adotar IA na sua empresa, precisaria garantir bons resultados, certo? Geralmente, as empresas nos procuram e começam pelos desenvolvedores, porque são eles que mais aproveitam a IA, mas é preciso ser adaptável. É preciso repensar a arquitetura. É preciso repensar como proteger a organização contra incidentes como agents derrubando bancos de dados, apagando informações pessoais, enviando informações de clientes para fora e, essencialmente, extraindo a propriedade intelectual da empresa para a

12:41 internet pública. Então, quando você começar a querer levar IA para a empresa, com certeza vai precisar conversar com o pessoal de segurança. O que preocupa o CISO? Como impedir que os agents violem as boas práticas? Como estabelecer limites para esses agents, certo? Eu converso pessoalmente com CISOs provavelmente uma ou duas vezes por semana, e eles dizem: “Ei, entendemos o valor da IA. Queremos adotá-la. Queremos que as pessoas avancem o mais rápido possível na supervia de desenvolvimento com IA, mas preciso estabelecer proteções para elas, certo?”

13:15 na supervia de desenvolvimento com IA, mas preciso estabelecer proteções para elas, certo? Não posso simplesmente deixar a equipe de plataforma ou uma equipe de negócios chegar até mim e dizer: “Ei, precisamos de IA. Preciso que você aprove, porque, se algo der errado, o problema vai ser da equipe de segurança da informação, e de mais ninguém, certo?” E eles não querem que a culpa recaia sobre eles porque alguém usou IA agêntica sem saber o que estava fazendo ou sem as proteções adequadas para

13:47 o uso agêntico na empresa. Administradores de plataforma, DevOps, infraestrutura e engenharia de segurança estão preocupados com a observabilidade. O que esses agents estão fazendo? Como sei o que estão fazendo? Como faço para registrar cada chamada que eles fazem a um provedor de LLM em alguma ferramenta de observabilidade? E como posso configurar alertas para isso sem também sofrer fadiga de alertas? Outra coisa que está acontecendo é que talvez consigamos alguma observabilidade da IA, mas agora há alertas pipocando por toda parte.

14:19 Quando você sofre fadiga de alertas, para de prestar atenção no que está acontecendo de verdade. Tudo o que a IA faz vira ruído, e você deixa passar as coisas realmente críticas que precisam ser resolvidas. Outra questão é: se eu for implementar IA, como configuro isso de maneira repetível, consistente, confiável e segura para todos na empresa? Por fim, os desenvolvedores também terão preocupações. Ainda há uma guerra acirrada, e algumas das pessoas mais técnicas ainda não estão convencidas

14:52 de que a IA consegue escrever código melhor do que elas, certo? Elas temem mais dívida técnica, mais código inchado, mais vulnerabilidades de segurança e passar a maior parte do tempo corrigindo código porcaria gerado por IA, em vez de fazer o trabalho por conta própria. E, se forem colocar o Claude no modo YOLO e fazê-lo gerar um monte de PRs, como posso garantir que o agent não faça algo que realmente me coloque em apuros, certo? Porque, no fim das contas, alguém será responsabilizado quando um agent fizer algo que não esperávamos.

15:26 Então, vou falar um pouco sobre como lidar com todas essas proteções que preocupam todo mundo. A primeira coisa são os ambientes de desenvolvimento na nuvem, e isso é algo que a Coder oferece, certo? Você quer uma camada de execução remota. Quer um ambiente remoto. Não quer isso no laptop. Quer acessar uma URL. Quer usar RDP. Quer se conectar por SSH a algo que não seja seu laptop, mas que esteja em um ambiente seguro aprovado pela equipe de segurança e pela equipe de plataforma, e deixar os agents escreverem e executarem código em

16:01 uma infraestrutura na nuvem isolada, com permissões de escopo adequado, que não possa se comunicar com nada, a menos que você permita que se comunique com a internet pública. Então, mais ou menos assim: em vez de colocar as coisas na sua máquina local, você acessa um ambiente isolado na nuvem. No momento, ele só pode… Você só pode trabalhar no código que está lá. Ele só pode acessar as credenciais que estão lá. Ele só pode acessar

16:32 os dados que você colocar intencionalmente nesse ambiente de desenvolvimento. Certo? Os ambientes de desenvolvimento na nuvem (CDEs) aceleram a produtividade com IA porque, se você pegar um projeto e colocá-lo no laptop, o que precisa fazer para executá-lo? Baixar as dependências. Atualizar o PATH. Se seu computador estiver usando Python versão 3, mas o projeto precisar da versão 2, você

17:03 vai ter conflitos. Precisa criar ambientes virtuais. Precisa fazer muitas outras coisas que, embora talvez não danifiquem seu laptop, você realmente não quer ter o trabalho de fazer. Seria melhor ter um ambiente consistente na nuvem, já configurado para executar a aplicação, certo? Então, com tudo o que a Coder faz para ajudar os desenvolvedores, eles não precisam se preocupar em mexer no shell nem no precioso laptop. Podem simplesmente acessar uma VM leve ou robusta, onde tudo já está pronto, e começar a desenvolver.

17:36 Bem, o mesmo vale para os agents, certo? Se você colocar um agent em uma máquina limpa e disser: “Baixe este repo do GitHub e execute o projeto”, o que ele vai fazer? Vai ler o conteúdo. Vai dizer: “Ah, preciso começar a baixar coisas.” Você nunca sabe de onde ele vai baixar as coisas e, se buscar algo em algum tipo de registro de pacotes, esse registro pode estar comprometido. Você realmente quer que tudo já esteja pronto para o agent simplesmente começar a desenvolver. A próxima coisa é um proxy de modelos. E isso é basicamente algo que fica entre o agent ou o modelo e a sua

18:12 máquina antes de chegar ao LLM provider, ela precisa passar por uma caixa onde inspecionamos todo esse tráfego e conseguimos registrar cada coisinha que ela faz, certo? Então, aqui você pode ver que, normalmente, em um cenário normal, o agent ficaria em algum lugar e poderia simplesmente ir direto para a internet, direto para o provider do modelo, e obter o que precisa. Mas a solução é bem simples, certo? Antes de o agent chegar ao provider do modelo, ele passa pelo seu servidor proxy, passa pelo seu gateway, certo? E ele pode

18:45 sanitizar, pode remover injeções. Se você, por exemplo, colocar dados de cartão de crédito em um prompt por acidente, não vai querer que eles cheguem ao LLM provider. Um proxy de modelo pode removê-los e registra tudo o que está acontecendo. Por último, você quer um firewall para agents. Então, quando esse agent começa a executar no nível do processo, você quer garantir que ele não possa executar comandos que você ainda não autorizou, certo? Então, naquele ambiente remoto que vai para o

19:17 proxy, se ele executar — se, por qualquer motivo, esse agent executar gh repo delete ou drop this table —, você vai querer algum tipo de firewall para agents que analise os logs dos processos e diga: “Não execute isso.” Esse comando foi bloqueado. Então, essas são as três maneiras de proteger arquitetonicamente a sua organização para que um agent não saia do controle. Não temos tempo para fazer uma demonstração agora, mas

19:49 se tiver interesse, venha ao nosso estande da Curder. Estamos em frente a este palco, à esquerda. E só alguns pontos principais, certo? Agents são poderosos, mas fique atento a essa tríade letal. Garanta que você tenha alguma maneira de ver tudo o que esse agent está fazendo. Não tem problema ir devagar para que você possa pensar na sua arquitetura e entender do que a sua infraestrutura realmente precisa. Meu nome é Michael Patterson, engenheiro de soluções sênior. Adoraria conversar com vocês sobre como desenvolver com segurança

20:22 com agents. Obrigado pelo seu tempo.

Transcrição original

[00:12] How’s everybody doing? Coolio. Well, it’s nice to be presenting to you all. I hope we’re all having a good time here at the the AI Dev Conference the AI Engineers Conference. Um, my name’s Michael Patterson. I’m a staff solutions engineer here at Coda. Today, I want to talk to you about the lethal trifecta. So, we’re a bit of a small crowd. Uh, can I get a raise of hands? Has anyone heard of the lethal trifecta?

[00:43] All of us or half of us. So, about 50/50. Fantastic. So, what I’m going to do is explain a little bit about what the lethal trifecta is and what we’ve learned here at Coda and addressing it. So, I’m going to start off by removing these Grenada notes from the presenter view. Sorry. Want to start off just uh on a quick recap of agentic AI in 2025.

[01:16] 2025 was undoubtedly the year of the AI agent. Everybody had a new agentic tool, Microsoft, Salesforce, AWS, uh, Claude Code basically changed the game when it when it came out last March. Everybody was using this stuff. And I have a a quick story. So, Vibe coding was was a really big thing. Um, Jason uh had this Twitter post about how

[01:48] agentic coding changed his life. He’s pushing out all of this code, making all of these new changes to his product. This was the future for him. And then, I think less than 24 hours later an agent or 2 days later, he posts on Twitter again and says, “Agentic AI just destroyed my product, deleted my production database. And how can anyone ever use Agentic AI?” Um the thing is a

[02:20] AI agents are very powerful, but they create problems. Um everyone here familiar with Open Claw? Right? So, what’s the deal with Open Claw, right? It’s a really, really cool tool. You can put your own AI on a computer, and it can essentially be your personal assistant, do all of this really, really awesome stuff for you. But you’ve probably seen everyone is saying, “If you’re going to use Open Claw, you need to buy a Mac Mini and put it on a different computer than your

[02:53] personal computer, right?” Because it’s got all these security vulnerabilities. The last thing you want is Open Claw to go download all of your sensitive files, put it up on the internet, download viruses on the internet, put that on your laptop, and then delete all your personal files so that you don’t have them, but the rest of the world does. So, there are quite a few issues with agents that we are still wrapping our heads around and how to securely develop with with AI agents. So, today I’m going to spend a little bit of time talking about the lethal trifecta, if you haven’t heard of it,

[03:27] and how Coder is addressing uh the principles of Agentic security, and how folks are coming to us so that they can address these problems and scale out AI at their company. So, a little bit about Coder. Coder was founded in 2017. Um it was founded by three teenagers who were making Minecraft mods, and they They tired of having to configure VMs constantly to run Minecraft so that they could develop mods on it. Somehow they stumbled on an $80 million company.

[04:00] Um we’re very proud of them. What Coded does is it delivers consistent, reliable, and secure remote development environments. Those environments can be stood up pretty much anywhere you want. They’re configured with Terraform. We’re open source. We’re model agnostic. We’re cloud agnostic. Uh you can host this on premise and we find that um this is a really, really good solution if you need a self-hosted model for developer environments or agentic

[04:31] environments. We’re trusted by some of the biggest companies here in the United States and across Europe. Uh here’s some of the names on our board. We’re in I believe six of the top 10 big banks, lots of hedge funds, lots of three-letter government agencies. Essentially, if a SaaS model doesn’t work for you, if you’ve got on-prem infrastructure, if you cannot have code sitting on a developer’s laptop or in some kind of uh

[05:03] uh perimeter that you cannot control, Coded is usually a good solution uh just like these companies need it. So, what is the lethal trifecta? The lethal trifecta was a term coined by Simon Ellison and it’s a essentially three layers, three threat layers to the attack surface. One is if you have your agent on a laptop, that could be clawed code, open claw, codex, right? Well, that laptop has access to private data. That can be personal

[05:39] information as files on your computer, credentials, company IP, databases. So, now your laptop has access to it. Your agent now has access to this private data. Now that it has access to this private data, it can also ex- uh communicate to the internet. Right? So, it has access to private data and it can put that data on the internet. And not only can it put that data on the internet, it can also download things off the internet. So, this is a problem because you don’t have

[06:13] oversight into what exactly that agent might do when you prompt it. So, one of these three isn’t really a big problem. But, two out of three is completely unacceptable in any kind of secure enterprise environment. Having all three is basically not acceptable. It’s not if, it’s when you’re going to have some kind of security incident by having an agent on that laptop. And so, here I’ve got a a couple of attack scenarios. I’m sure everyone here

[06:45] has heard of prompt injection, which is essentially um you have some kind of malicious guidance in the information source that an agent would trust. So, it might be looking at error messages, it might be looking at support tickets, it might be looking at CICD logs. And it’s very easy for a malicious actor to put something in any of those messages and the agent just accepts that as a source of truth and can do something that you didn’t expect it to do. Context poisoning is in that same realm

[07:16] where you’re essentially putting bad information into documentation, into data, anywhere where you’re going to your agent is going to grab information. And then, if there’s any malicious data in there, the agent is going to go ahead and run with it and do whatever it wants. And then, there’s privilege escalation, right? So, everyone’s familiar with the privilege the the least privilege access principle, right? And generally, we’re giving agents access to pretty much everything because it needs access to do

[07:46] the work, right? And so, any one of these prompt injections or context poisoning can unwittingly escalate the privilege of that agent so it can do things that it shouldn’t do, drop a table, upload, make requests, or post things that it shouldn’t be able to do. So, how do we address that? Um there are three pillars of the lethal trifecta. There are three pillars of the of agentic security. We call it the trifecta of agent security. The first

[08:18] thing is you want to control data access. If you’re going to use an agent, you don’t want it on your laptop, you want it in an environment that is secure, preferably a virtual environment, right? That’s going to block private file access, is going to prevent destructive actions on your machine because it’s on some other machine. Then, you restrict that external communication. So, if you’re going to put that agent on some kind of box, a VM, it’s going to now be uh isolated architecturally from your

[08:52] network. It’s only going to be able to go to domains that you want it to go to. It’s going to be on your VPN, your VPC, it’s going to go through a firewall, and then anything that that agent is doing on that box, that traffic is going to be governed. You’re going to be able to see every little thing that it does, and if it ever breaches that perimeter, you should have some way of alerting your admins, alerting yourself that your agent is going somewhere it shouldn’t so that you can effectively kill that VM, kill that agent. And then, you want to

[09:23] lock down uh the content and the contact and the access. So, you want to lock down the permissions, you want to restrict what access it has to, you want tightly scoped credentials credentials. The thing about agentic security is it’s really no different from sound security practices for anyone, right? And we think that because AI is so powerful, we can just give it whatever it needs and it’s not going to make the same kind of mistakes, not going to it’s not exploitable by other vulnerabilities that a human would be. So, we want to

[09:54] make sure to separate that machine, secure that environment, intercept any kind of uh communication that that agent might do to the uh to the wider internet. So, I’m going to kind of quickly go over what it looks like uh deploying agents at scale at really, really large companies. What are the blockers to adoption? Why companies don’t want to do this? Uh what are the challenges if you do uh decide to roll

[10:25] out agentic AI at a company? And the questions you can expect if you’re trying to lead an initiative to get uh AI at your company. So, some challenges to expect, right? Before adoption, um you pretty much need security approval from CISOs. You need buy-in from DevOps because they’re the ones that have to roll this out to teams. You’re going to need real-world examples of, “Hey, this is why I need it. This is the workflow I want to do.” And the trick here is if you’re not getting these approvals,

[10:58] if you’re at a company right now and they are not letting you use agents, most people are going to use their personal cloud subscriptions, their personal uh ChatGPT subscriptions, put that on the laptop because they do get tangible benefits from using AI. They’re just not being authorized by the company. They’re going to get that stuff done anyway. We call that shadow AI. Just like shadow IT, when you’re bringing your own VMs, you’re bringing your own uh technology into your company to get the work done. Shadow AI is just unauthorized usage of AI on your laptops.

[11:33] Um it’s a real problem because once you get AI on your laptop, you’re using your personal subscription, the enterprise doesn’t know what’s happening, and usually uh agentic AI can do a lot of damage really fast. We’re starting to see a new term in the industry called ninja AI, which is shadow AI at scale, where you’re not just having one agent breaking stuff, you’ve got multitudes of agents doing lots of things at an organization that no one knows until it’s too late that a whole lot of stuff has gotten broken.

[12:06] So, um if you were going to adopt AI at your company, you need to make sure that there are good outcomes, right? Usually, companies come to us, they start with the developers because they’re getting the most use out of using AI, but you want to be adaptable. You need to be rethinking your architecture. You need to be rethinking how you’re going to protect your organization from incidents like agents dropping databases, uh deleting personal information, uploading customer information, essentially uh extracting your company’s IP onto the

[12:41] public internet. So, once you start wanting to bring AI, you’re going to definitely need to be talking to the security people. What are they What is the CISO uh concerned about? How do I stop agents from violating best practices? How do I put boundaries around these agents, right? I I I personally talk to to CISOs probably once or twice a week, and they’re saying, “Hey, we understand the value of AI. We want to bring AI. We want people to go as fast as they can on

[13:15] the the development AI superhighway, but I need guardrails for them, right? And I can’t just have my platform team or this business team come to me and say, ’Hey, we need AI. I need you to bless it because if anything goes wrong, it’s not anyone’s fault but the chief security team’s problem, right?” And they don’t want the finger being pointed at them because someone used Agentic AI and they didn’t know what they were doing or they didn’t have the proper guardrails for

[13:47] Agentic usage at the company. Uh platform admins, DevOps, infrastructure, security engineering, they’re worried about observability. What are these agents doing? How do I know it’s doing? How do I get every call that they make to an LLM provider in some kind of observability tool? And how can I then set up some kind of alerting for that without also getting alert fatigue? So, another thing that’s happening is maybe we do get some kind of observability around AI, but now there’s alerts going all over the place.

[14:19] Once you get alert fatigue, you stop really looking at what’s actually happening. Everything AI is doing just becomes noise and you’re missing the really, really critical things that actually need to be addressed. And then another thing is if I am going to roll out AI, how do I actually set this up in a repeatable, consistent, reliable, secure way for everyone at the company? Lastly, developers are going to have concerns as well. There is still a holy war happening where some of the most technical people are not quite converted

[14:52] that AI can do code better than them, right? They’re worried about more technical debt, more code bloat, more security vulnerabilities, and spending most of their time fixing AI slop versus just doing it themselves. And then if they are going to put Claude on YOLO mode and have it crank out a bunch of PRs, how do I make sure that that agent isn’t doing stuff that would actually get me in trouble, right? Because at the end of the day, someone is going to be accountable when an agent actually does something that we didn’t expect it to do.

[15:26] So, I’m going to talk a little bit about how you can address all of these guardrails that everyone is concerned for. Uh the first thing is cloud development environments, and this is something that Coder does, right? You want a remote execution layer. You want a remote environment. You don’t want it on your laptop. You want to go to a URL. You want to RDP. You want to SSH into something that is not your laptop, but something that is in a secure environment that has been blessed by the security team, by the platform team, and let agents write code, execute code on

[16:01] cloud infrastructure that um is isolated, that has right-scoped permissions, and cannot communicate to anything unless you allow it to communicate to that um to that public internet. So, this is kind of what it would look like, right? Instead of putting things on your local machine, you go to an isolated cloud environment. Right now, it can only do You can only work on the code that’s in there. It can only touch credentials that are in there. It can only touch

[16:32] data that you purposely put into that development environment. Right? Um CDEs accelerate AI productivity because the thing is if you grab a a project and you put it on your laptop, what do you have to do to get that project running? You got to download dependencies. You got to update your your path. If your computer’s running Python version 3, but this project needs Python version 2, you’re

[17:03] going to get conflicts. You have to create virtual environments. You have to do a lot of extra stuff that while it may not break your laptop, you really don’t want to go through the trouble of doing that. It would be better if you had a consistent cloud environment that was already configured to run that application, right? And so, everything that Coder does uh that helps developers, they don’t have to worry about mucking around the shell, mucking around their precious laptop. They can just go to this lightweight or heavy VM, and everything’s already ready to go, and they can just start developing.

[17:36] Well, that same thing is true for agents, right? If you put an agent on a fresh box and say, “Download this GitHub repo and run the project.” What is it going to do? It’s going to read the contents. It’s going to say, “Oh, I need to start downloading stuff.” You never know where it’s going to download things from, and if it grabs things from some kind of registry, that registry could be contaminated. You really want things to already be ready so that the agent could just start developing. Um the next thing is a model proxy. And this is really just something in between that uh agent or that model on your

[18:12] machine before it hits the LLM provider, it needs to go through a box where we’re sniffing all of that traffic, and we’re able to log every little thing that it’s doing, right? So, here you can see normally in in a in a normal scenario, the agent would be sitting somewhere, and it can just go straight to the internet, straight to the model provider, and get what it needs. But the solution is really simple, right? Before the agent hits the model provider, it goes to your proxy server, it goes through your gateway, right? And it can

[18:45] sanitize, it can strip injections. If you have like if you accidentally put credit card data into a prompt, you don’t want that going to the LLM provider. Uh model proxy can strip that, and it logs everything that’s happening. Lastly, you want an agent firewall. So, when that agent starts executing at the process level, you want to make sure that uh it can’t run commands that you haven’t already blessed, right? So, on that remote environment that goes to the

[19:17] proxy, if it runs if that agent for whatever reasons runs gh repo delete or drop this table, you want some kind of agentic firewall that’s looking at the process logs and saying, “Do not run this.” That that command is denied. And so, these are the three ways architecturally you can protect your organization from an agent going crazy. So, don’t have time to run a demo right now, but

[19:49] if you’re interested, please come over to our Curder booth. We’re opposite and to the We’re opposite of this stage and over to the left. Um And just some key takeaways, right? Agents are powerful, but be aware of that lethal trifecta. Make sure that you’ve got some way of seeing everything that that agent is does. It’s okay to go slow so that you can think about your architecture, know what your infrastructure actually needs. My name is Michael Patterson, staff solutions engineer. Would love to talk to you guys about how you can securely

[20:22] develop with agents. Thank you for your time.