AI агенту не дајте свој налог — дозволе морају да трају колико и задатак

AI агенту доделите засебан идентитет и само приступ потребан за конкретан задатак. Издајте му краткотрајан токен, подразумевано забраните алате и ресурсе које нисте изричито дозволили, а читање одвојите од измена. Смернице OWASP-а за AI агенте повезују те контроле са изолацијом окружења, људским одобрењем ризичних радњи и евиденцијом позива алата.

Граница приступа је задатак, а не трајање корисничког налога: агент који данас прегледа код не треба сутра да задржи приступ репозиторијуму, нити да из права читања пређе на објављивање измена. За свако овлашћење одредите ко га тражи, којем агенту припада, на којем ресурсу важи, коју радњу покрива и када престаје да важи.

Отворите посебан идентитет и одредите опсег приступа

Направите сервисни налог или други машински идентитет агента који можете независно да искључите. У запису о задатку повежите тај идентитет са корисником који је покренуо рад, одговорном особом, дозвољеним ресурсима и сврхом приступа. Ако агент користи лични налог програмера, у евиденцији је теже разликовати радњу агента од радње човека, а укидање агенту приступа може утицати и на власника налога.

За задатак који захтева само преглед доделите право читања. Ако накнадно затреба измена у удаљеном систему, користите одвојен идентитет или улогу за писање и активирајте је тек за одобрену радњу. Концепт-документ NIST-а о идентитету агената поставља динамичко мењање овлашћења, везу агента са човеком који делегира задатак и проверљив траг радњи као питања за имплементацију; реч је о нацрту, а не о готовом стандарду за подешавање.

Пре покретања забележите и границу података: тачан репозиторијум, директоријум, API или скуп записа којем агент сме да приступи. Дозвола „читај све пројекте“ сувише је широка ако задатак тражи један пројекат. Исто важи за алате: дозвола да агент позове алат не треба аутоматски да му отвори сваки ресурс којем сам алат може да приступи.

Издајте токен за задатак, па га укините по завршетку

Токен ограничите на одређени сервис, скуп радњи и кратак рок важења. Издајте га при покретању задатка преко система за управљање тајнама или механизма идентитета радног оптерећења; по завршетку га опозовите ако је и даље важећи. Ако се задатак наставља са другим ресурсом, поново процените овлашћење уместо да без провере проширите постојеће.

OWASP-ове смернице за управљање тајнама препоручују приступ заснован на идентитету и краткотрајним акредитивима уместо дуготрајних кључева предатих агенту. Вредност токена не стављајте у упит моделу, датотеке пројекта или конфигурацију коју агент може да прочита. Ако алату треба акредитив, поуздан посреднички сервис може да га приложи тек при извршавању дозвољеног позива; у евиденцију улазе опсег и исход, али не и тајна вредност.

Претворите подразумевану забрану у правила алата

Политику проверите пре извршавања сваког позива алата, изван самог модела. Одлука треба да зависи од идентитета агента, задатка, алата, аргумената и циљног ресурса. Следећи шаблон је условни пример за агента који прегледа измену кода; називи правила су описни, а стварну синтаксу прилагодите платформи коју користите.

• Дозволи: читање изворног кода у одређеном репозиторијуму, покретање одобрених тестова и увид у разлику измена. Право читања не обухвата тајне, друге репозиторијуме или произвољне команде.
• Забрани: приступ датотекама са акредитивима, корисничком директоријуму и продукционим тајнама; слање података на неодобрене мрежне адресе; самостално додавање нових алата или сервера. Све што није изричито дозвољено такође је забрањено.
• Тражи одобрење: објављивање кода, спајање измена, брисање података, слање порука, трошење новца и промену дозвола проследите човеку. Одобрење важи за приказану радњу и њене аргументе, а не за трајно откључавање читавог алата.

Локалне измене које агент прави у издвојеном радном простору могу да остану доступне за преглед без права да промени удаљени репозиторијум. Тако припрема предлога и његово објављивање постају различите радње са различитим овлашћењима. Када задатак заиста захтева објављивање, право писања доделите за тај корак и уклоните га после њега.

Спроведите правило тамо где се алат извршава

Захтев за потврду у разговору са агентом није довољна безбедносна граница. Позив алата треба да прође кроз политику коју агент не може да мења, а извршавање кода кроз издвојено окружење са ограниченим датотекама и мрежним одредиштима. Проверите да ли ограничење обухвата алате за датотеке и повезане MCP сервере, а не само команде у терминалу.

Особи која одобрава прикажите тачну команду или API радњу, циљни ресурс, аргументе и очекивану измену. За спајање кода или брисање података одобравалац треба да буде независан од агента. Ако се после одобрења промене аргументи, одредиште или обим захвата, тражите ново одобрење: претходно се односило на другу радњу.

Сачувајте траг и ревидирајте дозволе после промене

За сваки позив алата бележите идентитет агента, корисника који је покренуо задатак, сесију, време, циљ, аргументе без тајних вредности, одлуку политике и резултат. За измене сачувајте разлику пре и после радње, а за одобрене радње и идентитет особе која је дала одобрење. Логове шаљите у систем који агент не може да препише или избрише, како би се радња могла повезати са одговорним човеком.

После промене задатка, додатог алата, новог MCP сервера или проширеног извора података поново попишите доступне алате, API опсеге и акредитиве. Проверите да ли свако старо правило дозволе и даље има сврху, да ли нови алат заобилази мрежно ограничење и да ли радња која мења стање и даље чека одобрење. OWASP-ов водич за тестирање агената обухвата попис дозвола алата, API опсега и акредитива, као и поновну проверу после промена алата и других делова система.

Ревизију завршите пробним позивом који мора бити одбијен: покушајте да приступите недозвољеном ресурсу или покренете радњу за писање са улогом за читање. Проверите да ли је одлуку донео систем који спроводи политику и да ли је забележио одбијање. Тај налаз показује где се граница приступа стварно налази.

Прочитајте и:

• RSA Agent ID сваком AI агенту даје људског власника и траг сваког позива
• Claude отвара директоријум додатака, али плаћени налог је улазница
• GitHub Actions: пуни SHA није довољан без мањих дозвола