A DigitalOcean az ügynökök elől is elrejtené a hozzáférési kulcsokat

A hibás utasítások a hitelesítő adatokat is veszélybe sodorhatják

A DigitalOcean példája szerint egy ügyfélszolgálati ügynök elolvashatja az ügyfél levelét, ellenőrizheti a számlázási előzményeket, visszatérítést indíthat, majd frissítheti a hibajegyet. Közben azonban olyan tartalommal is találkozhat, amely belső eljárásnak álcázott utasítást tartalmaz. Egy melléklet például arra próbálhatja rávenni, hogy az ügyfél fizetési előzményeit töltsön fel egy nem engedélyezett diagnosztikai címre.

Hasonló kockázat merülhet fel kódolási ügynököknél is, ha egy adattárban található utasítás forráskód vagy hitelesítő adatok feltöltésére próbálja rávenni a rendszert. A DigitalOcean szerint a probléma akkor válik súlyosabbá, ha az ügynök környezetében újrahasznosítható API-kulcs található. Ilyenkor egy hibás döntés után a kulcs kiszivároghat, és az ügynöki munkameneten túl is felhasználható maradhat.

A kulcsokat a rendszer az ügynök helyett kezeli

A DigitalOcean Managed Agents az ügynököket elkülönített munkamenetekben futtatja a DigitalOcean Harness Runtime környezetében. A vállalat állítása szerint ezekben a munkamenetekben nincs tartósan jelen API-kulcs, token vagy olyan fájlban, illetve memóriában tárolt adat, amelyet az ügynök kiolvashatna.

Ha egy művelet hitelesítést igényel, a hívás a DigitalOcean Action Gatewayen keresztül történik. Ez a köztes réteg kapcsolja össze az autonóm munkafolyamatokat a több mint 16 000 elérhető integrációval. A hitelesítő adatot csak a művelet végrehajtásakor illeszti be, így az nem kerül a modell kontextusába és az ügynök homokozójába.

A rendszer három fő elemet használ. Az aktor-kezelés az egyes eszközkapcsolatokat ahhoz köti, akinek a nevében az ügynök eljár. A hívásindítás során maga az ügynök csak a műveletet kéri, a kulcsot az Action Gateway kezeli. A tokenfrissítési folyamatoknál a rendszer szükség esetén bejelentkezési linket jelenít meg, majd a hitelesítés után folytatja a hívást, anélkül hogy frissítési tokent adna az ügynöknek.

A hálózati szabályok a megkerült ügynököt is korlátozzák

A DigitalOcean Managed Agents külön hálózati szabályokkal korlátozza, hogy az ügynök milyen célpontokat érhet el. Így egy nem engedélyezett diagnosztikai végpont blokkolható akkor is, ha az ügynököt egy megtévesztő utasítás rábeszélte az adatfeltöltés szükségességére.

A vállalat megközelítése a NVIDIA Open Agent Safety Platform stratégiájához igazodik, a jogosultságok és a hálózati korlátozások pedig a NVIDIA OpenShell nyílt házirendsémájával való összehangolást célozzák. A DigitalOcean szerint a biztonsági csapatok ezeket a határokat az ügynök feladatát meghatározó konfiguráció mellett vizsgálhatják felül és verziózhatják.

Az Action Gateway által nem kezelt esetekre, például privát MCP-szerverekre, belső API-kra vagy a katalóguson kívüli modellvégpontokra, a Harness Runtime környezeti specifikációja határozza meg a hozzáférést. Az env konfigurációs értékekhez való, a secrets kezelt titoktárolást biztosít, a scoped secrets pedig egyetlen HTTPS-címhez kötheti a hitelesítést. Utóbbi esetben a homokozó rövid életű engedélyezési fogantyút kap, a valódi hitelesítő adatot a kimeneti proxy illeszti be a célhoz küldött kérésbe.

A közlemény szerint a béta állapotú csoportos munkafolyamatokban minden alügynök saját microVM-mel, munkaterülettel, eseménytörténettel és munkamenet-azonosítóval rendelkezik. A testvérmunkamenetek alapértelmezés szerint nem osztják meg egymással ezeket az erőforrásokat. A hozzáférések így külön rögzíthetők és utólag is ellenőrizhetők, ami a DigitalOcean szerint átláthatóbbá teszi az autonóm, több ügynökből álló folyamatokat.