# valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20

## Veille

Forschungsartikel, veröffentlicht in **ACM Queue** (Bd. 24, Nr. 3 — Themenheft „LLMs") am **20. Juli 2026**, verfasst von **Joseph Valente** (Director of Product Management, Alphabet Security) und **Michal Zalewski** (Distinguished Engineer, Stratege bei Alphabet Security — der *lcamtuf* der Offensivsicherheit). Lizenz **CC BY 4.0**, **29.143 Downloads** in zehn Tagen, **eine einzige bibliografische Referenz**: das BeyondCorp-Whitepaper von 2014. Das ist kein Zufall — der Artikel positioniert sich explizit als **generischer Nachfolger von BeyondCorp** und übernimmt dessen Funktion: *„die Vision veröffentlichen, damit sich die Branche daran ausrichten kann."* **These**: Das **anwendungsbasierte Grenzmodell erreicht das Ende seiner Lebensdauer**. Die drei Annahmen, auf denen BeyondCorp beruhte — *Zugreifende sind Menschen, Aktionen erfolgen in menschlichem Tempo, die Anwendung ist die richtige Vertrauensgrenze* — sind allesamt überholt, seit KI-Agenten mit der **zehnfachen Geschwindigkeit von Menschen** auf Daten zugreifen und über riesige unstrukturierte Korpora räsonieren. **Beyond Zero** verlagert die Vertrauensgrenze daher **von der Anwendung auf die einzelne Aktion an der einzelnen Ressource** und die Untersuchung **von nachträglich auf Echtzeit**. **Vierteilige Architektur, die eine Schleife bildet**: *autonome Governance* (die mit KI ein lebendiges **Unternehmensweltmodell** aufbaut — Wer / Was / Wie —, in expliziter Analogie zum Weltmodell eines selbstfahrenden Autos), *Event Intake* (Server-, Client- und **Agentenaktivitäts**-Signale: Prompts, Ausführungspläne, Tool-Aufrufe), *reasoning engine* (hierarchische KI, **schnell** für ABAC zum Zeitpunkt des Zugriffs und **langsam** für Inferenz über eine Abfolge von Aktionen; Urteil *allow / deny / challenge*) und *Challenge-Infrastruktur* (reversible **Challenges** — Begründung, Tippen auf den Sicherheitsschlüssel, Genehmigung, **Selfie** — gegenüber dauerhaften **Containments**, die mitunter erst aufgehoben werden, nachdem das Sicherheitsteam den Mitarbeitenden und dessen Vorgesetzten befragt hat). **Der zentrale Gestaltungsgriff ist die Boden/Decke-Aufteilung**: **statische Richtlinien** (der Boden, statisch verifizierbar) unter einer **dynamischen reasoning engine** (die Decke) — eine explizite Ablehnung eines *„vollständig dynamischen, statisch kaum verifizierbaren"* Modells. **Der benannte Angriffsvektor**: **Ambient Authority**, bei der der Agent die vollen, oft überprovisionierten Berechtigungen seines Menschen erbt. **Drei festgehaltene Vorbehalte**: Es handelt sich um ein **Visionspapier, keine Kriegsgeschichte** — null Produktionsmetriken, null Falsch-Positiv-Rate, null Bereitstellungsgröße, während [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] zwei Monate zuvor eine P99 < 40 ms und Tausende von Agenten im Produktionseinsatz veröffentlicht hatte; eine **interne Inkonsistenz um Größenordnungen** (Dutzende Millionen Aktionen/s in der Problemstellung gegenüber Tausenden Entscheidungen/s in Abstract und Fazit); sowie ein **gravierender blinder Fleck bei europäischen Belangen** — das beschriebene System ist auch ein Überwachungsapparat für Mitarbeitende (Selfie, clientseitige Signale, Baselining gegenüber der Vergleichsgruppe), ohne eine einzige Zeile zur DSGVO, zur Verhältnismäßigkeit oder zu Arbeitnehmervertretungen.

## Titre Article

Beyond Zero: Enterprise security for the AI era

## Date

2026-07-20

## URL

https://spawn-queue.acm.org/doi/10.1145/3819083

## Keywords

Beyond Zero, BeyondCorp, Zero Trust, Zero Trust, Vertrauensgrenze, Vertrauensgrenze, Unternehmenssicherheit, Autorisierung auf Ressourcenebene, Autorisierung auf Ressourcenebene, Zugriffskontrolle auf Aktionsebene, ABAC, attributbasierte Zugriffskontrolle, Maschinengeschwindigkeit, Maschinengeschwindigkeit, Ambient Authority, Ambient Authority, überprovisionierte Berechtigungen, KI-Agenten, autonome Agenten, agentische Identität, Nutzerabsicht, Agentenabsicht, Absichtsabgleich, Prompt Injection, Unternehmensweltmodell, Autonome Governance, Event Intake, reasoning engine, Challenge-Infrastruktur, Challenges, Containments, Selfie-Check, Sicherheitsschlüssel, Begründung, Genehmigung, Boden/Decke, statische Richtlinien, dynamische Richtlinien, statische Verifizierbarkeit, Vorverarbeitung, Latenzbudget, Hot Cache, DLP, Verhinderung von Datenverlust, SecOps, Echtzeit-Untersuchung, Aktivitätsfenster, Aktivitätsfenster, Exfiltration, Insider-Risiko, neugieriger Auftragnehmer, abtrünniger Agent, SalesGenie, selbstverteidigendes Unternehmen, Sicherheit als Immunsystem, NIST-Agentensicherheit, agentische Standards, Agenten-Introspektion, Chain-of-Thought, Anfrage-Annotationen, PDP PEP, SaaS, Alphabet Security, Google, Michal Zalewski, lcamtuf, Joseph Valente, ACM Queue

## Authors

**Joseph Valente** — Director of Product Management, en charge des efforts de sécurité entreprise au sein d'**Alphabet Security** ; son périmètre couvre l'ensemble des business units d'Alphabet (Google Ads, DeepMind, YouTube, Devices, Cloud). Précédemment à l'origine de ce qui est devenu le **Sovereign Cloud de Google** (l'offre de compute souverain de Google Cloud) — détail notable pour un lectorat européen. Avant Google : cofondateur de Pathify et Ebla, passage par Bain & Company.

**Michal Zalewski** — Distinguished Engineer chez Google, **pilote la stratégie d'Alphabet Security**. Figure historique de la sécurité offensive (connu sous le pseudonyme **lcamtuf**), auteur de *Silence on the Wire* et *The Tangled Web* ; l'article mentionne *The Secret Life of Circuits* et son Substack. Ancien **CISO de Snap**, après plus d'une décennie à Google où il dirigeait l'information security & engineering (>100 ingénieurs), les design reviews et les exercices offensifs.

**Remerciements** (signal de portée interne) : 27 personnes citées chez Alphabet, dont **Heather Adkins** (VP Security Engineering), **Betsy Beyer** et **Rory Ward** (co-auteurs du BeyondCorp original), **Eric Grosse**, **Royal Hansen**, **Umesh Shankar**. La présence des auteurs de BeyondCorp valide la **filiation revendiquée**.

## Ton

**Profil**: ein Artikel zur **Architekturdoktrin**, veröffentlicht in einer professionellen Peer-Review-Fachzeitschrift (ACM Queue, deren Leserschaft eher *praktisch* als akademisch ist). Register: **Hyperscaler-Visionspapier** — weder Kriegsgeschichte noch Spezifikation noch Marketing, sondern ein **kategorienbildendes Dokument**. Zielpublikum: CISOs, Sicherheitsarchitekten, SaaS-Anbieter, Standardisierungsgremien.

**Stil**: eine Struktur **Problem → Lösung → Architektur → Szenarien → Aufruf an die Branche → Fazit**, die kanonische Form eines Infrastruktur-Whitepapers. Drei Merkmale:

1. **Demontage per Annahme**, nicht per Faktum. Der Artikel sagt nicht „BeyondCorp ist gescheitert" — er **zählt die drei Annahmen auf**, auf denen es beruhte, und zeigt, dass keine mehr trägt. Eine wirksame rhetorische Figur: Sie rahmt die Obsoleszenz als strukturell statt konjunkturell — und damit nicht durch einen Patch behebbar.
2. **Die Vergleichstabelle als argumentativer Kern** (Tabelle 1, acht Zeilen, BeyondCorp → Beyond Zero). Jede Zeile trägt ihre eigene Begründung in klarer Sprache. Sie ist das Dokument im Dokument — der Teil, der als Screenshot weiterverbreitet werden wird.
3. **Das Szenario als Beweis**. Drei Vignetten (*der neugierige Auftragnehmer*, *der plötzlich unbedarfte Administrator*, *der „abtrünnige" Agent*) leisten, was die Zahlen nicht leisten. Die zweite ist ein kleines Meisterstück menschlichen Details: ein Systemadministrator, der in einem anderen Fenster **elementare Fragen zur Architektur des eigenen Systems** stellt — *„Informationen, die für jeden erfahrenen Mitarbeiter des Unternehmens offensichtlich wären."* Das Kompromittierungssignal ist nicht technischer, sondern **kognitiver** Natur.

**Signalwendungen**: *„von Sicherheit im menschlichen Tempo zu hochfrequenter, KI-vermittelter Verteidigung,"* *„erweitert BeyondCorps fundamentale Identität um ein 'Gehirn',"* *„statische Richtlinien (der Boden) … eine dynamische reasoning engine (die Decke),"* *„die Zugriffsblase … dehnt sich dynamisch größer oder kleiner,"* *„geometrischer Schock,"* *„ein sich selbst verteidigendes Unternehmen,"* *„Sicherheit als Immunsystem,"* *„anders als das schroffe 'Zugriff verweigert' von früher."*

**Epistemische Haltung**: **explizit zukunftsgerichtet**. *„Dieser Artikel markiert einen Meilenstein in Googles eigenen Bemühungen, zum Beyond-Zero-Modell überzugehen, ebenso wie eine Vision davon, wohin sich die Branche bewegen muss."* Die Autoren behaupten nicht, bereits etwas ausgeliefert zu haben — sie kündigen eine Entwicklungsrichtung an und rufen die Branche dazu auf. **Ehrlich in Bezug auf ihren Status**, was den Text nicht daran hindern wird, so gelesen und zitiert zu werden, als beschriebe er ein bereits produktives System.

## Pense-betes

- **Datum / Quelle**: **20. Juli 2026**, **ACM Queue** Bd. 24 Nr. 3, CC BY 4.0, verfasst von **Joseph Valente** (Alphabet Security) und **Michal Zalewski**. Eine einzige bibliografische Referenz: das BeyondCorp-Whitepaper von 2014.
- **Zentrale Einordnung**: Die Anwendungsgrenze erreicht das Ende ihrer Lebensdauer. Klassisches Zero Trust verlagerte das Vertrauen vom Netzwerk auf Identität und Gerät, behielt aber die **Anwendung als Einheit der Autorisierung** bei — eine zu grobe Einheit, sobald der Zugreifende in Sekunden über einen gesamten Korpus räsonieren kann. Die neu vorgeschlagene Einheit ist **die einzelne Aktion an der einzelnen Ressource**, unabhängig vom Zugriffspfad (Frontend, API, MCP). ### Die drei BeyondCorp-Annahmen, die der Artikel aufgibt 1. Zugreifende sind **Menschen**. 2. Aktionen erfolgen **in menschlichem Tempo**. 3. Die **Anwendung** ist die richtige Vertrauensgrenze. Jede fällt aus einem anderen Grund: Das ist kein Patch, das ist ein Modellwechsel. ### Die vier Komponenten, in der Reihenfolge der Schleife | # | Komponente | Inhalt | |---|-----------|---------| | 1 | **Autonome Governance** | nutzt KI, um ein lebendiges **Unternehmensweltmodell** aufzubauen — **Wer** (Funktion, Rolle, Dienstalter, kontrollierender Mensch bei einem Agenten), **Was** (semantisches Verständnis der Datensensibilität), **Wie** (Zuweisungen, Nutzungs- und Freigabemuster). Gespeist aus HR- und Projektmanagement-Data-Warehouses. Explizite Analogie zum Weltmodell eines selbstfahrenden Autos | | 2 | **Event Intake** | Serversignale (Proxys, APIs, Produktivitäts-Apps), Clientsignale (Browserzustand, lokaler Dateizugriff, Prozessaktivität, DLP) und **Agentenaktivität** (Prompts, Ausführungspläne, Tool-Aufrufe). Hot Cache für die Bewertung zum Zugriffszeitpunkt, Langzeitspeicher für langsame Inferenz | | 3 | **Reasoning Engine** | hierarchische KI, verteilt über Server/Endpunkte. **Schnell**: granulares ABAC, blockiert zum Zugriffszeitpunkt. **Langsam**: komplexe Anomalien (ein Nutzer greift auf 500 % mehr Dateien zu als seine Vergleichsgruppe). Urteil *allow / deny / challenge*, wobei **die Entscheidungen selbst zu Attributen werden**, die nachgelagert wiederverwendet werden | | 4 | **Challenge-Infrastruktur** | reversible **Challenges** (Begründung, Tippen auf den Sicherheitsschlüssel, Genehmigung durch die Führungskraft, **Selfie**) gegenüber dauerhaften **Containments**, die mitunter erst nach der Befragung des Mitarbeitenden und dessen Vorgesetzten aufgehoben werden | ### Der Gestaltungsgriff: Boden / Decke **Statische** Richtlinien = der Boden (Sicherheits- und Compliance-Grundlinie, **statisch verifizierbar**); **dynamische** reasoning engine = die Decke. Explizite Begründung: Dies ermöglicht dynamisches Verhalten, *„ohne zu einem vollständig dynamischen, statisch kaum verifizierbaren Modell überzugehen."* Die gesamte Sicherheitsentscheidung wird nicht dem Modell überlassen. Dieselbe architektonische Figur wie der Constraint Ring in [[sfeir-code-review-anneau-contraintes-2026-07-30]]. ### Der benannte Angriffsvektor *„Die Ausnutzung von Ambient Authority, bei der einem Agenten die vollen, oft überprovisionierten Berechtigungen seines menschlichen Nutzers gewährt werden."* Das ist der Mechanismus, durch den eine Prompt Injection zu einer Exfiltration wird: Der Agent muss keine Rechte eskalieren, er hat bereits zu viele. Die vorgeschlagene Gegenmaßnahme ist kein Filter auf dem Prompt, sondern eine **Prüfung der Absichtskonsistenz** — *„User Intent + Agent Intent können interpretiert und geprüft werden, um die Übereinstimmung sicherzustellen,"* und *„Der menschliche Akteur muss bestätigen, dass der vom Agenten versuchte Zugriff vom Menschen beabsichtigt ist."* ### Das SalesGenie-Beispiel, direkt verwendbar Ein interner Agent, der zum Lesen von Verkaufsberichten autorisiert ist, fragt ein strategisches Planungsdokument ab. | Modell | Urteil | Grund | |---|---|---| | BeyondCorp | **ALLOW** | gültiges Zertifikat, autorisierte Maschine, beide Identitäten dürfen Verkaufsberichte lesen | | Beyond Zero | **CHALLENGE, dann CONTAIN** | der Mensch, der den Prompt ausgelöst hat, arbeitet nur an Konten der Region Nordost, die Daten sind Top-Tier (Insiderhandelsrisiko), die Richtlinie verlangt eine gültige Arbeitszuweisung | Dreistufige Intervention: Bestätigung der Absicht durch den Menschen, Genehmigungsanfrage an das zuständige Team, Containment. *„In der überwiegenden Mehrheit der Fälle wird die Entscheidung zum Containment autonom getroffen."* ### Die eigentliche Wette der Architektur *„Inferenzaufgaben müssen vorgelagert werden"*: Latenzbudgets zum Zugriffszeitpunkt schließen Ad-hoc-Reasoning aus, sodass fast alles vorab berechnet werden muss. Die Qualität der Zugriffskontrolle wird dann **exakt gleich der Qualität der HR- und Projektmanagementdaten**. Das Attribut „Arbeitszuweisung", das im SalesGenie-Beispiel über den Zugriff entscheidet, setzt ein Niveau an Datenhygiene voraus, das nur wenige Organisationen erreichen. Der erste Punkt, der in jedem Transpositions-Workshop anzusprechen ist. ### Vorbehalte
- **Visionspapier, keine Kriegsgeschichte**: keine Produktionsmetriken, keine Falsch-Positiv-Rate, keine Bereitstellungsgröße, keine Latenzangaben — während [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] zwei Monate zuvor eine P99 < 40 ms und Tausende von Agenten im Produktionseinsatz veröffentlicht hatte.
- **Interne Inkonsistenz um Größenordnungen**: Die Problemstellung spricht von *„Dutzenden Millionen gleichzeitiger maschinengesteuerter Aktionen pro Sekunde,"* während Abstract und Fazit von *„Tausenden Entscheidungen pro Sekunde"* sprechen — eine Lücke von vier Größenordnungen. Beide Zahlen nicht ohne diesen Hinweis gemeinsam zitieren.
- **Unbelegte Zahlen**: *„KI-Agenten greifen mit der zehnfachen Geschwindigkeit von Menschen auf Daten zu,"* eine zentrale Behauptung, ohne Beleg.
- **Kosten von Falsch-Positiven nicht quantifiziert**: Der Artikel behauptet, dass nur ein *„winziger Prozentsatz"* der Containments zu einer menschlichen Überprüfung eskaliert würde, ohne Daten dafür vorzulegen. Das Containment eines unschuldigen Mitarbeitenden kostet jedoch ein Sicherheitsgespräch mit dessen Vorgesetztem; in der Fläche entscheidet genau diese Quote darüber, ob das Modell einsetzbar ist.
- **Die Zirkularität wird nicht untersucht**: Das System, das gegen KI-getriebene Angriffe verteidigt, ist selbst eine KI-reasoning engine. Keine Erwähnung von Angriffen **gegen** die reasoning engine — Vergiftung der HR-Daten, die das Weltmodell speisen, Injektion in semantisch analysierte Dokumente, langsame Manipulation der eigenen Verhaltensbaseline. ### Der blinde Fleck bei europäischen Belangen Das beschriebene System ist auch ein Überwachungsapparat für Mitarbeitende: ein Selfie als Nachweis, am eigenen Rechner zu sitzen, clientseitige Signale, Verhaltens-Baselining gegenüber der Vergleichsgruppe, und die Ableitung aus HR-Daten dessen, was der Mitarbeitende **eigentlich** tun sollte. Kein Wort zur DSGVO, zur Verhältnismäßigkeit, zur Information von Arbeitnehmervertretungen oder zu der Tatsache, dass ein Containment, das erst nach Befragung des Mitarbeitenden und dessen Vorgesetzten aufgehoben wird, arbeitsrechtliche Implikationen hat. Das ist das erste Transpositionshindernis, und es fehlt im Text. ### Der Aufruf an die Branche, nützlich als Lesegitter für kommende Angebote 1. **Offene Architekturen** — standardisierte APIs für Agenten-Introspektion, ein standardisiertes Mittel, um Chain-of-Thought und Tool-Nutzung in Echtzeit zu analysieren. 2. **Standards für agentische Identität** — Annotationen, die jede Aktion einem Agenten + einem kontrollierenden Nutzer + einer Aufgabe zurechenbar machen. 3. **Externalisierte Entscheidungs-Frameworks** — einen von der Kundenorganisation betriebenen Punkt zur Richtlinienauswertung zu einem *First-Class Citizen* jedes SaaS-Produkts zu machen. Die politisch schwerste Forderung: Sie verlangt von Anbietern zu akzeptieren, dass ein Dritter über den Zugriff innerhalb ihres eigenen Produkts entscheidet. NIST hat eine Initiative zur Agentensicherheit gestartet. ### Einordnung BeyondCorp (2014) war kein Produkt, sondern eine Publikation, die eine Kategorie schuf — ZTNA/SASE, die innerhalb eines Jahrzehnts zu einem Markt wurde. Beyond Zero wiederholt denselben Zug: früh veröffentlichen, unter CC BY, in einer Fachzeitschrift für Praktiker, mit einem Aufruf zur Standardisierung. Es ist ebenso als marktstrukturierendes Dokument wie als Architektur zu lesen. Veröffentlicht einen Tag vor Anthropics Aufsatz zu dessen sicherem SDLC — [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]: Anthropic sichert die Codeproduktion durch Agenten ab, Google sichert den Zugriff von Agenten auf Daten. **Abgrenzung**: Das *Unternehmensweltmodell* dieses Artikels (eine lebendige Repräsentation der Organisation, die der Autorisierung dient) steht in keinem Zusammenhang mit den generativen *world models* von Google DeepMind, auch wenn beide von Google stammen. Derselbe Ausdruck, unterschiedliche Objekte — im Graphen nicht zusammenführen.

## RésuméDe400mots

Veröffentlicht in **ACM Queue** am 20. Juli 2026 von **Joseph Valente** und **Michal Zalewski** (Alphabet Security), positioniert sich dieser Artikel als **Nachfolger des BeyondCorp-Whitepapers von 2014** — seiner einzigen Referenz — und übernimmt dessen Funktion: eine Vision zu veröffentlichen, an der sich die Branche ausrichten kann.

**Die Diagnose.** Das anwendungsbasierte Grenzmodell erreicht das Ende seiner Lebensdauer. Die drei Annahmen, auf denen BeyondCorp beruhte — *Zugreifende sind Menschen, Aktionen erfolgen in menschlichem Tempo, die Anwendung ist die richtige Vertrauensgrenze* — brechen allesamt zusammen, sobald KI-Agenten mit der **zehnfachen Geschwindigkeit von Menschen** auf Daten zugreifen. Hinzu kommen ein *„geometrischer Schock"* im Umfang und in der Sensibilität der Daten, Angreifer, die KI bewaffnet haben (bedarfsgesteuertes Umschreiben von Schadcode, neu gewonnene Geduld bei zuvor als wenig wertvoll eingestuften Angriffsflächen), sowie ein für agentische Systeme spezifischer Vektor: **Ambient Authority**, bei der der Agent die vollen, oft überprovisionierten Berechtigungen seines Menschen erbt.

**Das Modell.** Beyond Zero verlagert die Vertrauensgrenze **von der Anwendung auf die einzelne Aktion an der einzelnen Ressource** und die Untersuchung **von nachträglich auf Echtzeit**. Der zentrale Gestaltungsgriff ist eine **Boden/Decke**-Aufteilung: **Statische** Richtlinien garantieren eine **statisch verifizierbare** Grundlinie, auf der eine **dynamische reasoning engine** Reibung erzeugt — ausdrücklich um ein vollständig dynamisches, nicht verifizierbares Modell zu vermeiden.

**Die Architektur** besteht aus vier Komponenten, die eine Schleife bilden: *autonome Governance* nutzt KI, um ein lebendiges **Unternehmensweltmodell** (Wer / Was / Wie) aufzubauen, gespeist aus HR- und Projekt-Data-Warehouses, in Analogie zum *Weltmodell* eines selbstfahrenden Autos; *Event Intake* nimmt Server-, Client- und **Agenten**-Signale auf (Prompts, Pläne, Tool-Aufrufe); die *reasoning engine*, eine hierarchische KI, entscheidet schnell zum Zeitpunkt des Zugriffs (ABAC) und langsam im Hintergrund (Anomalien wie „500 % mehr Dateien als die eigene Vergleichsgruppe"), wobei sie ein Urteil *allow / deny / challenge* fällt, das selbst zu einem wiederverwendbaren Attribut wird; die *Challenge-Infrastruktur* unterscheidet reversible **Challenges** (Begründung, Sicherheitsschlüssel, Genehmigung, Selfie) von dauerhaften **Containments**, die mitunter erst nach der Befragung des Mitarbeitenden und dessen Vorgesetzten aufgehoben werden.

**Die Demonstration** stützt sich auf das abschließende Beispiel: Der Agent SalesGenie fragt ein strategisches Dokument ab. **BeyondCorp sagt ALLOW** (gültige Zertifikate und Identitäten); **Beyond Zero sagt CHALLENGE, dann CONTAIN** (dem Menschen, der den Prompt ausgelöst hat, fehlt die erforderliche Arbeitszuweisung).

**Der Aufruf zum Handeln** umfasst drei Standardisierungsbemühungen — Agenten-Introspektion, zurechenbare agentische Identitäten, kundenseitig betriebene Entscheidungspunkte innerhalb von SaaS —, wobei **NIST** bereits eine Initiative gestartet hat. Fazit: *„Sicherheit als Immunsystem."*

## GrapheDeConnaissance

- Joseph Valente —travaille_chez→ Google (ORGANISATION, 0.97)
- Michal Zalewski —travaille_chez→ Google (ORGANISATION, 0.97)
- Michal Zalewski —dirige→ la stratégie d'Alphabet Security (AFFIRMATION, 0.93)
- Google —publie→ Beyond Zero (CONCEPT, 0.97)
- Beyond Zero —remplace→ BeyondCorp (CONCEPT, 0.93)
- Beyond Zero —est_basé_sur→ BeyondCorp (CONCEPT, 0.95)
- Valente et Zalewski —affirme_que→ le modèle de frontière applicative arrive en fin de vie face aux agents autonomes (AFFIRMATION, 0.95)
- Beyond Zero —affine→ la frontière de confiance, de l'application vers l'action individuelle sur la ressource (AFFIRMATION, 0.95)
- agents IA —mesure→ un accès aux données à 10 fois le rythme des humains (MESURE, 0.8)
- ambient authority —permet→ l'exploitation d'un agent héritant des permissions surprovisionnées de son humain (AFFIRMATION, 0.93)
- politiques statiques —permet→ une base de sécurité vérifiable statiquement (le plancher) sous le raisonnement dynamique (le plafond) (AFFIRMATION, 0.95)
- Valente et Zalewski —s_oppose_à→ un modèle de sécurité entièrement dynamique, difficile à vérifier statiquement (AFFIRMATION, 0.92)
- Beyond Zero —utilise→ enterprise world model (CONCEPT, 0.95)
- enterprise world model —est_basé_sur→ les entrepôts RH et de gestion de projet de l'entreprise (AFFIRMATION, 0.9)
- reasoning engine —permet→ un verdict allow / deny / challenge qui devient lui-même un attribut réutilisable (AFFIRMATION, 0.92)
- alignement intention utilisateur / intention agent —réduit→ les risques d'injection de prompt (AFFIRMATION, 0.9)
- challenges et containments —s_oppose_à→ le blocage binaire « access denied » du modèle hérité (AFFIRMATION, 0.9)
- challenges et containments —s_applique_à→ la révocation durable d'accès, parfois levée après entretien du salarié et de son manager (AFFIRMATION, 0.9)
- préprocessing des attributs —permet→ de tenir le budget de latence à l'accès en front-loadant l'inférence (AFFIRMATION, 0.93)
- Beyond Zero —s_applique_à→ les accès via front-end, API, MCP ou tout autre chemin (AFFIRMATION, 0.9)
- Valente et Zalewski —recommande→ des standards d'identité agentique rendant chaque action attribuable à un agent, un utilisateur contrôlant et une tâche (AFFIRMATION, 0.93)
- Valente et Zalewski —recommande→ faire du point d'évaluation de politique opéré par l'entreprise un first-class citizen de tout produit SaaS (AFFIRMATION, 0.9)
- NIST —publie→ un effort de normalisation sur la sécurité des agents (AFFIRMATION, 0.85)
- Beyond Zero —converge_avec→ la doctrine d'identité agentique de Uber (actor chain, tokens single-hop) (CONCEPT, 0.82)
- Beyond Zero —affirme_que→ la sécurité d'entreprise doit fonctionner comme un système immunitaire s'adaptant au contexte et à l'intention de chaque requête (CITATION, 0.9)
- ACM Queue —publie→ Beyond Zero: Enterprise security for the AI era (DOCUMENT, 0.97)

---
Canonical: https://www.thekb.eu/de/fiches/valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20/