Zarządzanie agentami sztucznej inteligencji: ramy dla zespołów korporacyjnych

Wprowadzenie

W skrócie: Zarządzanie agentami AI to zbiór mechanizmów kontroli tożsamości, zasad, monitorowania i audytu, które utrzymują autonomiczne agenty w bezpiecznych granicach. Tradycyjne zarządzanie IT zostało stworzone z myślą o oprogramowaniu działającym według ustalonych reguł, dlatego nie uwzględnia sposobu, w jaki agenci samodzielnie podejmują decyzje, uruchamiają narzędzia i uzyskują dostęp do danych. Niniejszy przewodnik wyjaśnia, czym jest zarządzanie agentami, jakie ryzyka pomaga ono ograniczyć oraz przedstawia ramy, które można wdrożyć przed włączeniem agentów do krytycznych procesów roboczych.

Agent AI może odczytać zgłoszenie, wysłać zapytanie do trzech systemów wewnętrznych, sporządzić projekt odpowiedzi i zaktualizować rekord, a człowiek nie musi ingerować w żaden z tych etapów. Właśnie o tę autonomię chodzi. Jest to również powód, dla którego większość istniejących mechanizmów zarządzania nie sprawdza się w tym przypadku. Zasady dostępu zakładają, że za każdą czynnością stoi osoba, a dzienniki audytowe zakładają, że można przyporządkować tę czynność konkretnej osobie. Agenci podważają oba te założenia.

Zarządzanie agentami AI wypełnia tę lukę. Nadaje każdemu agentowi własną tożsamość, określa, co każdy z nich może robić, monitoruje jego rzeczywiste działania oraz rejestruje wystarczającą ilość szczegółów, aby później odpowiedzieć na ewentualne pytania. Omówimy, jak to wygląda w praktyce, jakie konkretne zagrożenia musi uwzględniać oraz jak podchodzimy do tego w TrueFoundry.

Czym jest zarządzanie agentami AI?

Zarządzanie agentami AI to dziedzina zajmująca się kontrolowaniem sposobu uwierzytelniania się autonomicznych agentów, dostępu do narzędzi i danych oraz monitorowania i rejestrowania ich działań. Traktuje agenta jako podmiot samodzielny, a nie jako przedłużenie osoby, która go wdrożyła.

To rozróżnienie ma znaczenie, ponieważ agenci dokonują niezależnych wyborów. Agent bazy danych może posiadać uprawnienia do odczytu, ale prawdziwym pytaniem jest, czy powinien wysyłać zapytanie do tabeli zawierającej rekordy klientów w odpowiedzi na dane żądanie. Zarządzanie odpowiada na to pytanie w momencie wysłania żądania, a nie podczas przeglądu kilka tygodni później. Bez niego zespoły w końcu polegają na tym, że agent będzie działał w wyznaczonych granicach, ponieważ jak dotąd nic nie poszło nie tak.

Dobre zarządzanie musi być również praktyczne. Jeśli mechanizmy kontroli spowalniają działanie agentów lub utrudniają ich wdrażanie, zespoły będą je omijać, a my wrócimy do sytuacji, w której mamy do czynienia z niekontrolowanymi agentami, a polityka zarządzania istnieje jedynie na papierze.

Dlaczego tradycyjna kontrola dostępu nie sprawdza się w przypadku agentów

Standardowa kontrola dostępu przypisuje uprawnienia użytkownikom i rejestruje działania na kontach użytkowników. Agenci zacierają ten model na trzy sposoby.

Przypisanie odpowiedzialności staje się niejasne. Kiedy agent wykonuje działanie, w logu zazwyczaj widnieje konto usługi, a nie osoba, która zainicjowała żądanie, ani łańcuch rozumowania, który doprowadził do tego działania. Jeśli coś pójdzie nie tak, widać, że zapytanie zostało wykonane, ale nie wiadomo, dlaczego ani w imieniu kogo.

Dostęp do narzędzi się rozrasta. Pojedynczy agent może mieć dostęp do dziesiątek narzędzi i źródeł danych, z których każde ma własny model uprawnień. Ta powierzchnia rośnie szybciej, niż jest w stanie śledzić jakikolwiek ręczny proces tworzenia zasad, a właśnie w tych lukach dochodzi do incydentów.

Zachowanie ulega zmianom. Tradycyjne oprogramowanie zwraca ten sam wynik dla tego samego danych wejściowych. Agenci tego nie robią. Ich reakcje zmieniają się w zależności od historii rozmów, kontekstu i zmian w modelu bazowym, więc mechanizm kontroli, który w zeszłym miesiącu był bezpieczny, może dziś zachowywać się inaczej.

Żadna z tych sytuacji nie jest przypadkiem skrajnym. Są to normalne warunki działania agentów, dlatego też system zarządzania musi być zaprojektowany specjalnie dla nich, a nie zapożyczony ze starszych systemów.

Cztery filary ram zarządzania agentami

Funkcjonujące ramy opierają się na czterech elementach, które wzajemnie się wzmacniają.

Tożsamość jest najważniejsza. Każdy agent potrzebuje własnej tożsamości z uprawnieniami o określonym zakresie, odrębnej od ludzi, którzy go tworzą lub wywołują. To właśnie sprawia, że wszystko inne jest możliwe, ponieważ nie można niczego egzekwować ani kontrolować, jeśli nie da się odróżnić poszczególnych agentów.

Egzekwowanie zasad musi odbywać się w czasie wykonywania. Różnica między monitorowaniem a zarządzaniem polega na tym, czy system może zablokować nieautoryzowaną akcję przed jej wykonaniem, a nie tylko oznaczyć ją po fakcie. Agent z uprawnieniami tylko do odczytu powinien nie mieć możliwości zapisu, a nie tylko być zgłaszany za próbę wykonania tej czynności.

Obserwowalność zapewnia wgląd w czasie rzeczywistym w to, co robią agenci. Chcesz widzieć anomalie, naruszenia zasad i ryzykowne wywołania w momencie ich wystąpienia, aby reagować na sygnały, a nie rekonstruować zdarzenia na podstawie niekompletnych logów.

Rejestrowanie audytowe rejestruje ścieżkę decyzji. Każde wywołanie narzędzia, dostęp do danych i odpowiedź powinny być rejestrowane wraz z przypisaniem i kontekstem, w formie, którą można przekazać audytorowi lub osobie reagującej na incydenty. Na tym polega różnica między stwierdzeniem, że agent zachował się prawidłowo, a możliwością udowodnienia tego.

Ryzyka związane z agentami AI i sposoby ich ograniczania

Agenci niosą ze sobą ryzyko, którego zwykłe zabezpieczenia aplikacji nie obejmują w pełni. Zarządzanie ryzykiem związanym z agentową sztuczną inteligencją zaczyna się od jego nazwania.

Największym zagrożeniem jest wstrzyknięcie treści w pole polecenia. Złośliwe dane wejściowe ukryte w treściach użytkownika lub zewnętrznym źródle danych mogą skłonić agenta do ujawnienia danych lub podjęcia działań, do których nigdy nie był przeznaczony. Najbardziej narażone są agenty przetwarzające treści z niezaufanych źródeł.

Tuż za tym plasuje się ujawnienie danych uwierzytelniających. Agenci przechowujący klucze API lub tokeny mogą je ujawnić w wynikach lub logach, chyba że wartości te zostaną wykryte i zamaskowane w trakcie przetwarzania.

Wyciek danych osobowych (PII) odbywa się po cichu. Dane klientów przepływające przez agenta mogą pojawić się w logu rozmowy, komunikacie o błędzie lub w kolejnym wywołaniu, bez świadomej decyzji, że tak powinno się stać.

Nadmierna swoboda działania to ryzyko związane z przyznaniem agentowi większych uprawnień, niż potrzebuje. Agent programowy z dostępem do zapisu w repozytoriach produkcyjnych niesie ze sobą ryzyko, którego dostęp wyłącznie do odczytu całkowicie wyeliminowałby. Rozwiązaniem jest ograniczenie zakresu uprawnień: przyznaj każdemu agentowi minimum niezbędne do działania i nic więcej.

Ograniczenie tych zagrożeń wymaga zastosowania kombinacji środków kontroli. Należy sprawdzać dane wejściowe i wyjściowe pod kątem danych uwierzytelniających, danych osobowych (PII) oraz treści zabronionych, zanim przekroczą one granicę. Należy tworzyć listy dozwolonych narzędzi, z których każdy agent może korzystać, zamiast domyślnie zezwalać na wszystko. Należy ustawić progi eskalacji tak, aby decyzje o wyższym ryzyku były kierowane do człowieka, a progi te dostosowywać na podstawie rzeczywistych obserwacji w środowisku produkcyjnym.

Tożsamość poszczególnych agentów i poświadczenia o ograniczonym zakresie

Wspólne konta usługowe są najczęstszym „skrótem” i powodują najwięcej problemów. Gdy kilku agentów korzysta z jednego zestawu poświadczeń, traci się możliwość ustalenia, który agent wykonał daną czynność. Naruszenie bezpieczeństwa tego konta wpływa na każdego agenta z niego korzystającego, a nie tylko na tego, którego konto zostało zhakowane. Ponadto każdy agent dziedziczy pełny zestaw uprawnień wspólnego konta zamiast zakresu dostosowanego do jego zadań.

Tożsamość dla każdego agenta rozwiązuje wszystkie trzy problemy. Każdy wdrożony agent otrzymuje własne poświadczenia, które można samodzielnie rotować i cofać, uprawnienia odzwierciedlające jego przeznaczenie oraz przejrzystą ścieżkę audytu. Jest to również antidotum na niekontrolowany rozrost agentów – sytuację, w której zespoły uruchamiają agentów szybciej, niż ktokolwiek jest w stanie je śledzić. Gdy każdy agent ma zarejestrowaną tożsamość, rozrost staje się widoczny, a nie niewidoczny, i można nim zarządzać.

Zarządzanie tożsamością agentów wymaga innych abstrakcji niż zarządzanie użytkownikami. Agenci potrzebują trwałych tożsamości, które przetrwają dłużej niż pojedyncza sesja, poświadczeń, które są odnawiane niezależnie, oraz zakresów uprawnień powiązanych z tym, co robi agent, a nie z tym, kto go utworzył.

Zgodność z przepisami i gotowość do audytu

Przepisy prawne nadążają za systemami autonomicznymi, a standardy takie jak SOC 2, HIPAA i RODO już nakładają obowiązki, które muszą spełniać wdrożenia agentów. Praktycznym wymogiem jest infrastruktura, która sama generuje dowody, a nie dokumentacja tworzona ręcznie przez kogoś przed audytem.

Oznacza to kompleksowe ścieżki audytowe, w których każda czynność agenta jest rejestrowana wraz z przypisaniem, sygnaturą czasową i kontekstem. Oznacza to niezmienne zapisy, których nie można edytować po fakcie. Oznacza to okres przechowywania zgodny z zasadami dotyczącymi typów zapisów i jurysdykcji oraz możliwość eksportowania logów do narzędzi bezpieczeństwa, z których już korzysta Twój zespół.

W przypadku zespołów podlegających regulacjom równie ważne jest to, gdzie działają agenci, jak i sposób, w jaki są zarządzani. Uruchamianie agentów we własnej sieci VPC, lokalnie lub w środowisku odizolowanym (air-gapped) pozwala utrzymać wrażliwe dane w granicach organizacji, przy jednoczesnym zastosowaniu tych samych mechanizmów kontroli tożsamości, zasad i rejestrowania.

Jak TrueFoundry podchodzi do zarządzania agentami

Zbudowaliśmy naszą platformę tak, aby zarządzanie było integralną częścią działania agentów, a nie warstwą dodaną później. Agent Gateway nadaje każdemu agentowi własną tożsamość wraz z poświadczeniami o ograniczonym zakresie i podlegającymi rotacji, dzięki czemu działania można przypisać konkretnemu podmiotowi, a uprawnienia odpowiadają zadaniom agenta, a nie dostępowi jego twórcy.

Dostęp do narzędzi odbywa się za pośrednictwem tej samej płaszczyzny sterowania. Agenci uzyskują dostęp do narzędzi i danych za pośrednictwem MCP przy zastosowaniu protokołu OAuth2, modelu RBAC oraz zasad dotyczących metadanych stosowanych do każdego wywołania narzędzia, co pozwala zezwolić na odczyt z bazy danych, blokując jednocześnie zapis. Mechanizmy zabezpieczające sprawdzają żądania i odpowiedzi pod kątem danych osobowych (PII) oraz innych zabronionych treści zarówno na ścieżkach wejściowych, jak i wyjściowych, a każde wywołanie jest rejestrowane w celu zapewnienia obserwowalności i audytu. Ponieważ platforma działa w Twojej sieci VPC, w środowisku lokalnym lub w środowisku odizolowanym (air-gapped) z obsługą standardów SOC 2, HIPAA i RODO, mechanizmy zarządzania obowiązują niezależnie od tego, gdzie działają Twoi agenci.

W rezultacie zarządzanie tożsamością, polityka środowiska uruchomieniowego, monitorowanie i audyt są realizowane z jednego miejsca, a nie za pomocą czterech oddzielnych narzędzi, co zapewnia spójność tej struktury na dużą skalę.

Budowanie praktyki wokół technologii

Mechanizmy kontroli działają tylko wtedy, gdy organizacja je wspiera. Zespoły, które traktują zarządzanie jako przeszkodę, znajdą sposoby na obejście tych mechanizmów, dlatego celem jest uczynienie ścieżki zgodnej z zasadami ścieżką najłatwiejszą.

Skuteczne jest zazwyczaj wdrażanie etapowe: należy zidentyfikować już działające agenty, nadać im tożsamości, włączyć monitorowanie, a następnie zautomatyzować gromadzenie dowodów zgodności. Harmonogram zależy od stopnia złożoności środowiska oraz obowiązujących przepisów. Oprócz tego decyzje dotyczące zasad powinny leżeć w gestii grupy międzyfunkcjonalnej obejmującej inżynierię platformy, działy prawny, zgodności i operacyjny, która powinna również zajmować się nowymi przypadkami nieobjętymi istniejącymi zasadami. Szkolenia dopełniają ten proces, dzięki czemu osoby tworzące agenty rozumieją model uprawnień i wiedzą, jak stosować zabezpieczenia w swoich własnych przypadkach użycia.

Często zadawane pytania

Czym jest zarządzanie agentami AI?

Zarządzanie agentami AI to zbiór mechanizmów kontrolnych, które regulują sposób uwierzytelniania autonomicznych agentów, określają, do jakich narzędzi i danych mają oni dostęp, oraz sposób monitorowania i audytu ich działań. Traktuje każdego agenta jako odrębny podmiot z ograniczonymi uprawnieniami, zamiast pozwalać agentom na dziedziczenie uprawnień dostępu osoby, która je wdrożyła.

Czym zarządzanie ryzykiem związanym z agentową sztuczną inteligencją różni się od standardowego bezpieczeństwa aplikacji?

Wiąże się ono z dodatkowymi zagrożeniami, których standardowe zabezpieczenia nie uwzględniają w pełni, w tym wstrzykiwaniem treści do poleceń, wyciekiem danych uwierzytelniających poprzez dane wyjściowe agenta, ujawnieniem danych osobowych w logach rozmów oraz nadmierną autonomią wynikającą ze zbyt szerokich uprawnień. Zarządzanie tymi zagrożeniami wymaga kontroli danych wejściowych i wyjściowych w czasie wykonywania, tworzenia list dozwolonych na poziomie narzędzi oraz stosowania zasady minimalnych uprawnień dla każdego agenta.

Dlaczego tożsamość poszczególnych agentów ma znaczenie?

Wspólne konta usługowe uniemożliwiają ustalenie, który agent wykonał daną czynność, zwiększają zasięg skutków w przypadku naruszenia danych uwierzytelniających oraz zapewniają każdemu agentowi większy dostęp niż jest to konieczne. Tożsamość poszczególnych agentów zapewnia każdemu z nich własne, podlegające rotacji dane uwierzytelniające, jednoznaczną identyfikację oraz zakres uprawnień odpowiadający jego przeznaczeniu.

Czy mogę zarządzać agentami we własnej sieci VPC lub lokalnie?

Tak. TrueFoundry działa w Twojej sieci VPC, lokalnie, w środowisku odizolowanym (air-gapped) lub w chmurach, dzięki czemu żadne dane nie opuszczają Twojej domeny. Te same mechanizmy kontroli tożsamości, polityki i audytu mają zastosowanie niezależnie od tego, gdzie działają agenci, dlatego zespoły podlegające regulacjom wybierają model hostowany we własnym zakresie zamiast bramy opartej wyłącznie na modelu SaaS.

Czy rozwiązanie to jest zgodne z normami SOC 2, HIPAA i RODO?

TrueFoundry obsługuje standardy SOC 2, HIPAA i RODO, z wbudowanymi mechanizmami RBAC, SSO oraz niezmiennym rejestrowaniem audytowym. To właśnie ta kombinacja sprawia, że wdrożenia agentów są gotowe do audytu, a nie czymś, co trzeba pospiesznie dokumentować przed przeglądem.

Wnioski

Zarządzanie agentami AI to właśnie to, co odróżnia agentów, których skalowanie jest możliwe, od tych, na których sukces można jedynie liczyć. Zasadniczo struktura ta nie jest skomplikowana: nadaj każdemu agentowi tożsamość, egzekwuj zasady w momencie działania, obserwuj, co robią agenci, i prowadź dokumentację, za którą możesz ręczyć. Trudność polega na tym, by wykonać wszystkie cztery czynności jednocześnie, w odniesieniu do każdego agenta, nie spowalniając przy tym pracy zespołów. Właśnie taką warstwę postanowiliśmy zapewnić. Zobacz, jak rozwiązanie AI Gateway firmy TrueFoundry łączy tożsamość, zasady i monitorowanie w jedną, zarządzaną płaszczyznę kontrolną dla Twoich agentów.