A Docker szerint az AI-agentek biztonságához új irányítási réteg kell

Az agentek öröklik a felhasználók jogosultságait

A Docker szeptember 2-án közzétett írásában azt állítja, hogy a jövő többmodelles és több agentkeretrendszerre épül. A vállalat szerint egy agent sok lépésből álló ciklusokban dolgozik, ezért minden egyes lépés tokenköltséggel jár. Emiatt gazdaságilag nem célszerű minden feladathoz a legújabb, élvonalbeli modellt használni. A Docker arra is számít, hogy a vezető modellek és beszállítóik néhány havonta változhatnak, miközben a szervezetek saját adataikból és környezetükből származó, testreszabott modelleket is alkalmazhatnak.

Az agentek közben gyakran olyan tartalmakat olvasnak, amelyekre a fejlesztőknek nincs teljes ráhatásuk, például támogatási jegyeket, weboldalakat, dokumentációt vagy mások által írt kódot. Ezzel párhuzamosan a felhasználó által biztosított jogosultságokkal dolgoznak, beleértve a hitelesítő adatokat, a kódtárakhoz való hozzáférést, az éles rendszerek API-jait és a nyílt internet elérését. A Docker ezt az ellentmondást a confused deputy, vagyis a megtévesztett meghatalmazott problémájához kapcsolja, amelyet Norm Hardy írt le 1988-ban.

A keretrendszeren belüli védelem megkerülhető

A Docker érvelése szerint önmagában nem elegendő, ha minden agentkeretrendszer saját védelmi szabályokat kínál. Az agent ugyanis megpróbálhat másik csatornát használni, ha egy műveletet letiltanak előtte. A vállalat példája szerint a tiltott Git-push helyett API-hívással próbálkozhat, az API tiltása után pedig egy gistbe vagy egy ellenőrizetlen csatornába helyezheti az adatokat.

A bejegyzés egy korábbi kutatásra is hivatkozik, amely szerint egy nyilvános GitHub-kódtárban létrehozott rosszindulatú issue rávehetett egy kódolási agentet arra, hogy vállalati privát kódtárakat olvasson, majd a tartalmukat egy saját maga által megnyitott pull requestben tegye közzé. A Docker szerint ebben az esetben nem kellett feltörni a rendszert, mert az agent minden lépést a számára jogszerűen biztosított hozzáféréssel hajtott végre.

A vállalat a keretrendszerek elkülönítési modelljeit is kockázatosnak tartja, mivel ezek gyakran zárt forrásúak, és a beszállítók saját ütemezésük szerint módosítják őket. Több keretrendszer használatakor a szervezet biztonsági helyzete a különböző gyártók eltérő megoldásainak összességétől függhet. A saját fejlesztésű agentekhez és a külső szolgáltatásokban működő agentekhez ráadásul eltérő, esetenként korlátozottan ellenőrizhető szabályok tartozhatnak.

A Docker a futtatási rétegben helyezné el a szabályokat

A Docker ezért egy, a keretrendszerek alatt működő futtatási réteget javasol. A vállalat szerint az agentek két módon tudnak hatást gyakorolni a környezetükre: kódot futtatnak, amely fájlokat érint és hálózati kapcsolatokat nyit, vagy eszközöket hívnak meg, amelyek rendszereken hajtanak végre műveleteket. Mindkét út ugyanazon a futtatási felületen halad át, ahol a folyamatok elindulnak, a hitelesítő adatok használatba kerülnek, és a kérések elhagyják a gépet.

A cég szerint ez lehet az a közös pont, ahol minden agentre egységes szabályok érvényesíthetők, függetlenül a modelltől, a gyártótól vagy attól, hogy a rendszert házon belül készítették. A szabályok így kiterjedhetnek a végrehajtásra, az eszközhívásokra, a hitelesítő adatokra és a költésre. A Docker szerint az összes agent művelete egyetlen nyilvántartásban jelenhetne meg, amely rögzíti, mi futott le, mit érintett, és melyik szabály döntött az engedélyezésről vagy tiltásról.

A vállalat ezt a megközelítést a felhasználók számára az autonóm működés lehetőségével kapcsolja össze. Ha a következmények akkor is korlátozottak, amikor egy agent hibázik vagy manipulálják, a szervezetek a Docker szerint nagyobb önállóságot adhatnak neki. A Docker ezt a saját Docker AI Governance megoldásával mutatná be, amelynek célja, hogy a futtatási réteg egységes maradjon a szervezet teljes agentflottájában.