A Docker hat biztonsági eredményt vár el a vállalati AI-ügynököktől

A természetes nyelvű utasítások új kockázatot hoznak

A Docker augusztus 12-i bejegyzése egy ügyfélszolgálati példával mutatja be a problémát. Egy hibajegyhez csatolt fájl rejtett utasítást tartalmazhat, amely arra kéri az ügynököt, hogy kérdezze le az ügyféladatbázist, majd küldje el az eredményeket egy külső címre. Ha az ügynök olvashatja a hibajegyeket, belső rendszereket kérdezhet le, eszközöket hívhat és kapcsolódhat az internethez, akár minden szükséges hozzáféréssel rendelkezhet ehhez.

A kockázat a Docker szerint nem kizárólag az, hogy a modell felismeri-e a rosszindulatú utasítást. Az is meghatározó, hogy a körülötte működő rendszerek korlátozzák-e, milyen adatokhoz, eszközökhöz, hálózatokhoz és jogosultságokhoz férhet hozzá.

Az ügynökök futás közben természetes nyelvű utasításokkal átprogramozhatók, önállóan választhatják meg a cél elérésének módját, eszközöket hívhatnak, delegált hitelesítő adatokat használhatnak, és további ügynököket indíthatnak. Egy kódolási ügynök például forráskódot és belső dokumentációt olvashat, csomagokat telepíthet, külső API-t hívhat, részfeladatokat delegálhat, majd módosítást véglegesíthet.

Hat területre épül az Agent Baseline

Az Agent Baseline v1.0-s tervezete 35 kontrollt tartalmaz hat biztonsági eredmény köré rendezve. A Discover az ügynök, tulajdonosa, célja, összetevői, függőségei és tényleges hozzáféréseinek pontos nyilvántartását írja elő. A Constrain az ügynök futási idejét, adathozzáférését, eszközeit, hálózati elérését és számítási erőforrásait korlátozza a jóváhagyott célhoz szükséges szintre.

Az Authorize a következményekkel járó műveleteket külön identitáshoz, feladathoz, célhoz, hatókörhöz és érvényességi időhöz köti. Az Observe stabil futási vagy nyomkövetési azonosítóval kapcsolja össze a szándékot, az identitást, a szabályokat, az eszközhasználatot és az eredményeket.

A Validate az ügynök tesztelését azzal a konfigurációval és környezettel várja el, amelyben ténylegesen működni fog, majd az eredmények ellenőrzését is előírja. A Respond az ügynök leállítását, jogosultságainak visszavonását, az érintett összetevők elkülönítését, a bizonyítékok megőrzését és a hatás felmérését foglalja magában.

A gyakorlatban a támadási útvonalat korlátoznák

A Docker példája szerint az ügyfélszolgálati ügynök elszigetelt környezetben futna, korlátozott fájlrendszer-hozzáféréssel és alapértelmezés szerint tiltott, nem engedélyezett hálózati célpontokkal. A külső cím elérésére tett kísérlet meghiúsulna, és bizonyítékot hozna létre. Az ügynök nem széles körű, tartós adatbázis-jogosultságot kapna, hanem rövid élettartamú hozzáférést az adott feladathoz, engedélyezett rekordokhoz és műveletekhez kötve.

Ha további ügynököt indít, az nem kaphatna több jogosultságot az eredeti ügynöknél. A blokkolt kérés és a szokatlan lekérdezés ugyanahhoz a futási azonosítóhoz kerülne. Promptinjekció ellen az ügynököt már működési konfigurációjában tesztelnék. Hiba esetén a futás leállítható, az aktív engedélyek visszavonhatók, a bizonyítékok megőrizhetők, az érintett ügyfélrekordok pedig azonosíthatók.

A Docker szerint sok szervezet már három vagy négy ilyen kontrollt alkalmaz, a hiányosság gyakran az, hogy ezek nem kapcsolódnak egymáshoz, így a riasztás és a bizonyíték külön rendszerekben jelenik meg.

A tervezet közösségi véleményezésre vár

A Docker, a Snyk és a Keycard által létrehozott Agent Baseline-t a Black Hat 2026 rendezvényen mutatták be. Az Agent Baseline v1.0-draft július 30-án jelent meg, és szeptember 30-ig várják a közösség észrevételeit. A készítők megvalósítási visszajelzéseket, hiányzó kontrollokat, hatástalannak bizonyuló követelményeket és aránytalan működési terhekre vonatkozó példákat kérnek.

A Docker a tervezet mellett saját, ügynökökhöz kapcsolódó megoldásait is említi, köztük a microVM-alapú Docker Sandboxes rendszert és a hozzáférések központi kezelésére szolgáló Docker AI Governance réteget. A vállalat szerint ezek a Docker MCP Gateway-jel és a Docker Hardened Images megoldással együtt infrastruktúrát adnak az ügynöki kockázatok kezeléséhez. A keretrendszer alapelve, hogy a szervezetek tudják, mire képes egy ügynök, korlátozzák az elérhető rendszereket, nyomon kövessék a végrehajtott műveleteket, és szükség esetén le tudják állítani a futást.