Oprávnenia agentov AI: Ako určiť, k čomu majú prístup a čo môžu robiť

Povolenie AI agent sú odlišné od bežných aplikačných povolení, pretože agenti nielen prístupové systémy. Vykladajú ciele, vyberajú nástroje, kombinujú kontext a môžu vykonávať viacstupňové akcie poloautonómne.

Tradičný model povolenia sa môže spýtať, či sa môže pracovné zaťaženie dostať k CRM API. Model splnomocnenia agenta sa musí opýtať, ktorý agent koná, kto ho vlastní, čo sa snaží robiť, aké nástroje môže nazvať, aké údaje môže použiť, aké akcie vyžadujú schválenie, čo musí byť blokované a aké dôkazy by mali byť zachované.

Protokol o agentskej identite (AIP) od agentaID je určený na zostavenie a presadzovanie týchto povolení. AIP spája identitu agenta, vlastníctvo, rozsah, časové kontroly, schválenia, sémantické rozhodnutia firewallu, audit traily a zrušenie do jednej riadiacej vrstvy.

IAM, OAuth, RBAC, API brány, a servisné účty sú naďalej potrebné. Ale pre autonómne AI agenti, prístup kontroly sám o sebe nestačí. Podniky potrebujú akčný-vnímanie povolenie vrstvu pre kontrolu rozsahu, behu riadenia, a auditability.

Väčšina softvérových povolení bola navrhnutá pre predvídateľné aplikácie. Normálna aplikácia má zvyčajne definovaný pracovný postup. Nazýva známe koncové body, sleduje deterministickú obchodnú logiku a vykonáva akcie, ktoré developer výslovne zabudoval do aplikácie.

AI agenti správajú inak. Autonómny alebo poloautonómny agent môže interpretovať cieľ, vybrať nástroje dynamicky, vykonávať viacstupňové pracovné postupy, kombinovať dáta z viacerých systémov, reagovať na meniace sa podnety, konzumovať nedôveryhodné výstupy nástrojov a konať v mene užívateľa, tím, alebo organizácie.

To mení problém s povolením. Pre agenta AI je riziko nielen "môže sa dostať do systému?" Riziko je tiež "čo by sa mohol rozhodnúť urobiť, keď má prístup?"

Tradičná kontrola prístupu sa zvyčajne pýta, či sa môže pracovné zaťaženie dostať do systému. Agentické povolenia sa pýtajú, čo tento špecifický agent môže robiť v rámci tohto systému.

Servisný účet môže mať prístup k CRM, ale obchodný zástupca AI by nemal automaticky dediť každú CRM akciu k dispozícii na tomto servisnom účte. Môže byť povolené čítať účty a návrhy poznámok, ale nie zmeniť fázy obchodu alebo e-mailových zákazníkov bez schválenia.

Rozsah pôsobnosti agenta je ohraničený súbor systémov, nástrojov, údajov, opatrení, úrovní rizika a podmienok, za ktorých môže agent AI pôsobiť.

Pole užitočného agenta by mal odpovedať, ktorý agent to je, kto vlastní, aký obchodný účel to slúži, ktorý používatelia alebo tímy môžu na to odvolávať, ktoré systémy môžu mať prístup, ktoré údaje môže čítať, ktoré nástroje môže volať, ktoré akcie sú len na čítanie, ktoré je možné zapisovať, ktoré si vyžadujú schválenie, ktoré sú vždy blokované, aké citlivé údaje musia byť zakryté, aké politické kontroly musia prebiehať v čase, aké dôkazy musia byť uložené a ako môže byť agent zrušený.

Slabý rozsah hovorí, že "tento agent má prístup k Salesforce." Silnejší rozsah AIP štýlu hovorí, "ten agent je vo vlastníctve RevOps, môže čítať záznamy o účte a príležitostiach pre pridelené územia, zhrnúť zmeny potrubia, a návrh CRM poznámky, ale nemusí meniť štádium obchodu, export zákazníckych zoznamov, odosielať externé e-maily, alebo prístupové zmluvy označené dôverné."

AIP poskytuje každému zástupcovi balík správy, ktorý zahŕňa jedinečné identifikačné číslo agenta, vlastníka, účel, povolené nástroje, povolené údaje, povolené akcie, blokované akcie, prahové hodnoty schválenia, politiky v rámci bežeckého času, audítorské záznamy a kontroly zrušenia.

IAM môže povedať, že pracovné zaťaženie má prístup k systému. AIP pridáva špecifické agenta vrstvy, ktorá hovorí, čo agent môže robiť, za akých podmienok, a s akými dôkazmi.

To robí AIP obzvlášť relevantným pre správu autonómnych agentov, presadzovanie politiky sprostredkovateľov AI a dôkazy o dodržiavaní predpisov.

1Identita vrstva: ktorý agent pôsobí? Každý agent potrebuje jedinečnú identitu, nie generický automatizačný štítok alebo zdieľaný servisný účet.

2Vlastníctvo vrstva: kto je zodpovedný? Každý agent by mal mať zodpovedného vlastníka, ako je vlastník produktu, bezpečnostný vlastník, obchodný proces vlastník, alebo riadiaci tím.

3Prístupová vrstva: aké systémy a dáta sa môžu dostať? IAM, OAuth, API brány, a servisné účty zostávajú tu dôležité.

4Akčná vrstva: aké operácie môže vykonávať, keď dosiahne systém? Čítanie, navrhovanie, aktualizácia, odosielanie, vývoz, schvaľovanie, vymazávanie a premena by sa nemali považovať za rovnaké povolenie.

5Vrchol riadenia času: čo by malo byť povolené, blokované, maskované, stupňované a zaznamenané v čase realizácie? To je miesto, kde AIP začne fungovať.

Nástroje sú tam, kde sú agenti AI silní a riskantní. Preto by mali byť práva na nástroje explicitné. Začnite s kompletným inventárom nástrojov, ktoré agent môže volať: CRM konektor, e-mail odosielateľ, systém predaja lístkov, kalendár API, vyhľadávanie dokumentov, úložisko kódov, platobný systém, automatizácia pracovného toku, dotaz do databázy, akcia prehliadača alebo interný API.

Každý nástroj by mal byť klasifikovaný podľa schopnosti: čítať, hľadať, zhrnúť, návrh, aktualizovať, poslať, odstrániť, export, transakt. Prístup k čítaniu a zápisom by sa nemal považovať za rovnaké povolenie.

Citlivé nástroje by mali byť označené predvolene: e-mail odosielanie, externé správy, iniciácia platby, kód commit, nasadenie, HR rozhodnutia, právne rozhodnutia, aktualizácie zákazníckych záznamov, hromadný export, a dôveryhodný prístup. Citlivá nástroje by zvyčajne mali vyžadovať silnejšiu politiku bežeckých hodín, schvaľovacie brány, alebo ďalšie dôkazy.

Kontrola prístupu AI agenta musí tiež zodpovedať za citlivosť údajov. Agenti môžu kombinovať údaje spôsobom, ktorý normálne aplikácie nemusia. Môžu zhrnúť, infer, transformovať, exportovať a vystaviť informácie v rámci kontextu.

To znamená, že povolenie na dáta by nemalo len definovať, čo agent dokáže prečítať. Malo by to definovať, ako agent dokáže s dátami.

Praktický model rozdeľuje akcie do štyroch kategórií. Povolené akcie sú zvyčajne nízkorizikové operácie, ako sú zhrnutie, klasifikácia, vyhľadávanie, získanie, porovnanie, návrh, odporúča, označenie, a trasa. Kontrolované akcie môžu zmeniť záznamy, spustiť pracovné postupy alebo odhaliť informácie. Blokované akcie by mali zahŕňať exfiltráciu údajov, politický obchvat, prístup mimo rozsahu, odhaľovanie tajomstiev alebo neoprávnenú externú komunikáciu. Opatrenia požadované na schválenie často zahŕňajú komunikáciu so zákazníkmi, právne rozhodnutia, rozhodnutia o ľudských zdrojoch, platby, zmeny zmlúv, zlúčenie kódov, nasadenie výroby, hromadný vývoz a vymazanie obchodných záznamov.

Princíp dizajnu je jednoduchý: nespoliehajte sa len na agenta, ktorý robí správne rozhodnutie. Navrhnite systém povolenia tak, aby boli rizikové akcie obmedzené, aj keď sa rýchle alebo kontext stane nebezpečným.

Statický rozsah je potrebný, ale agenti AI potrebujú výkon v čase, pretože riziko sa môže počas vykonávania zmeniť. Pohon môže začať ako normálna požiadavka a potom sa posunúť k vysoko rizikovému akcii. Zločinný dokument môže vpichnúť skryté pokyny. Výstup nástroja sa môže pokúsiť prepísať politiku. Užívateľ môže požiadať agenta, aby konal mimo rozsahu.

Preto je riadenie v čase bežania nevyhnutné. AIP by malo spojiť vymedzený rozsah agenta s presadzovaním politiky v čase. Každá dôležitá akcia by mala byť overená proti agentskej identite, vlastníkovi, účelu, užívateľovi, nástroji, klasifikácii dát, požadovanej akcii, úrovni rizika, stave schválenia, výsledku politiky a požiadavkám auditu.

Statické povolenie hovorí, že agent má prístup k e-mailovému nástroju. Rozhodnutie o povolení na spustenie sa pýta, či je tento agent oprávnený poslať tento e-mail tomuto príjemcovi, s týmto obsahom, pomocou týchto údajov, na tento účel, bez súhlasu, práve teraz.

Sémantický firewall chápe, čo sa agent snaží urobiť, nielen aký koncový bod volá. Môže zhodnotiť, či sa agent pokúša získať prístup k citlivým údajom, používať nástroj mimo svojho účelu, nasledovať škodlivý pokyn, vykonať vysoko-vplyvné akcie, alebo vytvoriť externé zverejnenie.

AIP a sémantické firewalling spolupracujú: AIP definuje identitu agenta, vlastníka, rozsah a politiku; sémantský fire wall presadzuje tieto politiky počas vykonávania; a audit trails uchováva dôkazy o rozhodnutí.

Každé zmysluplné rozhodnutie o povolení by malo predložiť dôkazy. Užitočný AI agent audit trail by mal zahŕňať agent ID, vlastník, vyvolanie užívateľa alebo systému, nástroj s názvom, dáta prístup, akcia požadovaná, politika aplikovaná, rozhodnutie, dôvod, časová pečiatka, schvaľovacieho stavu, a eskalácie stav.

Najčastejšie chyby nie sú exotické. Zvyčajne sú známe bezpečnostné problémy prenášané do autonómnejšieho prostredia: zdieľané účty služieb, rozsiahle dedičné povolenia, možnosti pre miešanie čítania a zápisu, žiadny explicitný vlastník, slabý návrh schválenia, žiadna politika bežania, slabá protokolovanie, a žiadne zrušenie cesty.

Praktický výsledok je overená automatizácia bez riadenia špecifického pre agenta. Presne to je medzera AIP, ktorá sa má uzavrieť.

AgentID realizuje AIP prostredníctvom riadenia v čase prevádzky, sémantického presadzovania, audítorských záznamov a záznamov zameraných na dôkazy pre systémy AI a agentov AI. Je určený na pomoc tímom prejsť od prístupu k riadeniu len pre akcie-vedomé.

Súvisiace čítanie pozri v ID agent ID vs Identita stroja, MCP a A2A stále potrebujú agentickú identitua Pozorovateľnosť agenta AI.

Aké sú povolenia AI agenta? Povolenie AI agent definovať, čo autonómny agent môže prístup, aké nástroje môže použiť, aké opatrenia môže prijať, aké údaje môže spracovávať a aké schválenia alebo kontroly sa uplatňujú v čase prevádzky.

Čo je rozsah agenta? Rozsah agenta je ohraničená sada systémov, nástrojov, údajov, akcií a politických podmienok, za ktorých má agent AI povolenie pôsobiť.

Prečo sú AI agent povolenia odlišné od aplikačných povolení? Vzhľadom k tomu, agenti interpretovať ciele, vybrať nástroje, a vykonávať viac krokov dynamicky. Otázkou nie je len to, čo môžu prístup, ale to, co môžu robiť, keď majú prístup.

Čo AIP pridáva k AI agentom? AIP dodáva identitu, vlastníctvo, účel, sférické oprávnenia, riadenie času, logiku schvaľovania, sémantickú politiku, audit traily a podporu zrušenia.

Prečo sú statické oprávnenia pre AI agentov nedostatočné? Vzhľadom k tomu, riziko sa môže zmeniť počas vykonávania na základe promptov, získané dáta, výstupy nástrojov, a pracovného postupu stav. Agenti potrebujú riadenie behúňa, rovnako ako statický rozsah.

Aký je najbezpečnejší model predvoleného povolenia? Agent najmenej privilégium: dať každému agentovi minimálne systémy, dáta, nástroje a akcie potrebné na jeho schválený účel.

OWASP Generative AI Security Project

Rámec riadenia rizík NIST AI 1.0

NIST SP 800-53 Bezpečnostné a bezpečnostné kontroly

Dokumentácia OpenAI

MITRO ATLAS

Strana protokolu agentickej identity

Platforma agenta ID

Agent ID Security