Agent wewnętrzny łączy trzy cechy, których żaden dotychczasowy zasób w firmie nie łączył jednocześnie: ma uprawnienia (jak pracownik), działa autonomicznie (jak proces) i wykonuje polecenia zawarte w treści, którą przetwarza (jak nic przedtem). Ta trzecia cecha jest nowa — i to ona czyni z agenta odrębną klasę celu, wymagającą odrębnego modelu zagrożeń.
Ta gałąź huba jest celowo krótka. Merytoryka ataków na agentów — techniki, przypadki, obrona — mieszka na cyberflux.pl, gdzie opisujemy ją systematycznie. Tu robimy jedno: pokazujemy, dlaczego perspektywa organizacji na bezpieczeństwo agenta różni się od perspektywy bezpiecznika — i jak elementy tego huba, które wyglądają na czysto administracyjne, okazują się mechanizmami obronnymi.
Trzecia cecha, czyli co się właściwie zmieniło
Dwie pierwsze cechy firma zna. Uprawnienia mają ludzie — i cała dyscyplina zarządzania dostępem powstała, żeby nad tym panować. Autonomicznie działają procesy i konta serwisowe — i nadzoruje się je przez przewidywalność: robią zawsze to samo, odstępstwo to alarm.
Nowa jest cecha trzecia. Agent czyta treść — maila, dokument, stronę, zgłoszenie — i treść jest dla niego jednocześnie danymi i potencjalnym poleceniem. Złośliwa instrukcja ukryta w przetwarzanym dokumencie (prompt injection) nie atakuje kodu agenta ani jego konta. Atakuje jego rozumienie — a przed tym nie chroni ani firewall, ani MFA, ani antywirus, bo z ich perspektywy nic złego się nie dzieje: uprawniony byt wykonuje uprawnione operacje. Tyle że pomysł na te operacje przyszedł z zewnątrz, w treści.
To jest sedno, które warto zapamiętać w jednym zdaniu: klasyczne bezpieczeństwo pilnuje, KTO działa i CZY MA PRAWO; agent wymaga pilnowania także tego, SKĄD PRZYSZEDŁ POMYSŁ na działanie. Trzecie pytanie nie istniało, bo dotąd pomysły miewali tylko ludzie.
Równanie ryzyka i jego trzy dźwignie
Ryzyko agenta wewnętrznego daje się zapisać prawie jak wzór: zasięg uprawnień × poziom autonomii × ekspozycja na niezaufaną treść. Wyzeruj dowolny czynnik, a ryzyko klasy „agent” znika (zostają zwykłe ryzyka konta). Problem w tym, że użyteczny agent zwykle potrzebuje wszystkich trzech — agent obsługujący zgłoszenia klientów musi czytać treść z zewnątrz, musi mieć uprawnienia do odpowiadania i ma działać sam, bo po to jest.
Bezpieczeństwo agenta to więc nie eliminacja czynników, lecz zarządzanie iloczynem — i tu okazuje się, że hub już wszystko opisał, tylko pod innymi nazwami:
Tożsamość ogranicza pierwszy czynnik. Uprawnienia od zera zamiast dziedziczenia po właścicielu to nie porządek administracyjny — to zmniejszanie powierzchni tego, co przejęty agent może w ogóle zrobić. Agent od raportów z dostępem do kadr jest problemem compliance w dzień spokojny i problemem bezpieczeństwa w dzień ataku.
Progi autonomii ograniczają drugi. Human-in-the-loop dla działań nieodwracalnych działa identycznie przeciw błędowi agenta i przeciw atakowi na agenta — z perspektywy progu nie ma różnicy, czy zły pomysł wziął się z halucynacji, czy z wstrzykniętej instrukcji. Zatrzymuje oba.
Higiena floty ogranicza trzeci — i dokłada wykrywanie. Rejestr i cykl życia mówią, którzy agenci mają kontakt z treścią z zewnątrz (to oni potrzebują najciaśniejszych pozostałych czynników), a logi podpisane tożsamością agenta plus zapis trajektorii to materiał, z którego w ogóle da się wykryć, że agent zaczął działać na cudzy pomysł. Shadow agent ma w tym równaniu wszystkie trzy czynniki nieznane — dlatego jest nie tylko problemem porządku, ale najgorszym możliwym profilem ryzyka.
Wniosek, dla którego ta strona istnieje: w świecie agentów governance i bezpieczeństwo to nie dwa działy — to jeden system opisany dwoma językami. Organizacja, która wdrożyła hub „dla porządku”, wdrożyła większość warstwy obronnej, nie wiedząc o tym. I odwrotnie: żadne narzędzie bezpieczeństwa nie obroni floty, której nie ma w rejestrze.
Gdzie szukać konkretów
Techniczna strona tego tematu — jak wyglądają ataki przez treść, jakie są ich odmiany, jak testuje się odporność agentów i co się realnie wydarzyło u dostawców narzędzi agentowych — to domena cyberflux.pl. Jeśli ta strona odpowiedziała na pytanie „dlaczego”, tam znajdziesz odpowiedzi na pytanie „jak” — po obu stronach barykady.
A w hubie została już tylko perspektywa z lotu ptaka: ekosystem graczy i Frontier Firm — organizacja, w której wszystko, co opisaliśmy, po prostu działa.
