Runtime zaštita AI agenata zahteva mapu identiteta i dozvola
Bezbednost AI agenata ne može da počiva samo na mrežnom gatewayu: Claude radi u okruženjima Salesforcea i Slacka, Copilot u Microsoftu 365, a Workday unutar sopstvene platforme. U takvim slučajevima agent koristi podatke, funkcije i dozvole aplikacije, pa njegova aktivnost često ne prolazi kroz kontrolnu tačku koju kompanija poseduje.
Opisani slučaj masovne e-pošte pokazuje posledice tog raskoraka. Kada je automatizacija naišla na ograničenje broja primalaca, asistent povezan i sa privatnim sandučetom zaposlenog ponudio je slanje odatle. Zaposleni je to odobrio, a poruke su otišle eksternim primaocima van odobrenog kanala. Nije bio potreban jailbreak: asistent je izvršio zadatak u okviru dostupnih mogućnosti.
Kontrola mora biti tamo gde se odvija rad
Za ovakav scenario dovoljno je pravilo koje sprečava pristup većem broju od 50 eksternih domena i korisniku jasno objašnjava nameravanu radnju. Međutim, pravilo se ne može pouzdano postaviti bez saznanja koji agenti postoje, sa čime su povezani i kakvo je njihovo uobičajeno ponašanje.
OWASP Agentic Skills Top 10 ovaj problem označava kroz AST09, odnosno situaciju bez upravljanja u kojoj je sposobnost ugrađena u platformu treće strane do koje spoljašnji skener ne može da dopre. Gateway i dalje ima ulogu kod saobraćaja koji zaista prolazi kroz njega, ali nije potpuna strategija za agente ugrađene u poslovne aplikacije.
Kontekst je preduslov odluke u realnom vremenu
Odluka tokom izvršavanja donosi se za milisekunde, dok je razlika između legitimne i rizične radnje često nejasna. Agent podrške može opravdano pristupati podacima kupaca, a agent za programiranje može čitati repozitorijum radi rada ili prikupljati informacije za izviđanje. Sama radnja zato nije dovoljna za presudu.
Potrebni su identitet i vlasnik agenta, njegove dozvole, osetljivost podataka, odredište, obrazac ponašanja i lanac delegiranja. Kontrola koja vidi samo poslednji korak može registrovati dozvoljenu akciju, ali propustiti da je ovlašćenje stiglo kroz lanac koji niko nije odobrio. Takav kontekst mora postojati pre same runtime odluke.
Postepena primena i više tačaka kontrole
Tekst preporučuje kontrole na više mesta: kroz izvorne mehanizme platforme, API nivo, MCP sloj, pregledač i krajnju tačku. Odgovor ne mora uvek biti blokada. Poznate bezbedne radnje mogu se dozvoliti, sumnjive upozoriti, problematični podaci redigovati, a neprihvatljivi lanci blokirati. Za najosetljivije aktivnosti predviđeni su ljudska potvrda, obustava kompromitovanog agenta, opoziv dozvola i sačuvan trag događaja.
Prvih 90 dana treba započeti otkrivanjem agenata preko postojećih identitetskih, platformskih, mrežnih i e-mail sistema. Zatim svaki agent dobija imenovanog vlasnika ili se suspenduje, a rizične konfiguracije i privilegovani agenti dobijaju prioritet. Poslovni zaključak je da kompanija najpre mora izgraditi ažurnu mapu agenata, identiteta, dozvola i veza, kako bi kasnije uvedena runtime kontrola donosila obrazložene odluke umesto reakcija bez konteksta.