A Microsoft szerint az AI-ügynökök biztonságához több védelmi réteg kell

Az ügynök felismeri a hibát, de a javítás már kockázatos

Az Azure Networking csapata egy olyan ügynököt készített, amely hálózati incidensek kivizsgálásában segít. Az AI lekéri az eszközök állapotát, elolvassa a telemetriai adatokat, összekapcsolja a közelmúltbeli változásokat, osztályozza a hibát, majd összefoglalót ír az incidenshez.

A rendszer a Microsoft leírása szerint a javítást is képes felismerni. Itt azonban már felmerül a kérdés, hogy végrehajthatja-e például egy BGP-kapcsolat leállítását olyan eszközön, amely éles ügyfélforgalmat kezel. Egy lekérdezés eredménye még ellenőrizhető, egy módosítás viszont már megtörtént.

A vállalat ezért arra jutott, hogy az éles környezetben működő autonómiát nem lehet egyetlen biztonsági megoldással megbízhatóvá tenni. A modell intelligenciát ad, az ügynök köré épített determinisztikus szoftver pedig meghatározza, mire kérdezhet rá, milyen eszközöket érhet el, és mi történik hibás válasz esetén.

A jogosultság fontosabb, mint a modell önmagában

A Microsoft szerint az autonómia legnehezebb része a jogosultságok kezelése, nem a javítás felismerése. Egy széles hozzáférésű szolgáltatási fiók vagy korlátozás nélküli parancssor ugyanis nagyobb hatókört adhat az ügynöknek, mint amellyel az őt elindító ember rendelkezik.

A rendszerutasítások segíthetik az ügynök viselkedését, de nem kényszerítik ki a jogosultságokat. A modell félreérthet egy utasítást, illetve rossz hatással lehet rá egy naplóban vagy egy eszköz válaszában megjelenő rosszindulatú szöveg. A Microsoft ezért a biztonságot nem bízná pusztán a modellnek adott instrukciókra.

A cég megközelítésében az ügynököt determinisztikus munkafolyamat veszi körül, amelyben csak szűk, sémával ellenőrzött modell-lépések kapnak helyet. Így a rendszer a modell nem determinisztikus működését előre rögzített lépések közé szorítja.

Négy réteg szabályozza, mit tehet az ügynök

A Microsoft architektúrája négy határvonalra épül: identitásra, eszközhozzáférésre, módosításokra és időre.

• Identitás: az ügynök annak a felhasználónak a nevében dolgozik, aki elindította, és nem kaphat annál szélesebb hozzáférést. Ha szolgáltatási identitásra van szükség, a szűkebb jogosultság érvényesül. A hozzáférési szabályokat az adott eszközért felelős csapat kezeli, módosításuk pull requesten keresztül történik.
• Eszközök: az ügynök nem kap közvetlen, korlátlan parancssort. Minden képesség egyetlen, típusos eszközinterfészen keresztül érhető el, az eszközöket külön engedélyezik, a hívásokat strukturáltan naplózzák.
• Módosítások: a diagnosztika automatikusan futhat, az éles környezetet megváltoztató műveletekhez viszont emberi jóváhagyás kell. Ezt a végrehajtási motor kódja érvényesíti, nem egy modellnek szóló utasítás.
• Idő: ha egy incidens kezelésének menete többször sikeresnek bizonyul, a csapat determinisztikus playbookká alakítja. Így a korábban megoldott problémáknál később már nincs szükség újabb modellhívásokra.

A cél a kevesebb élő modellhasználat

A Microsoft szerint a playbookok használata csökkenti a költséget, növeli a reprodukálhatóságot, és kisebb felületet hagy a hallucinációk, illetve a támadások számára. Az ügynök így elsősorban új problémák felderítésére szolgál, miközben a már ismert incidensek kezelését rögzített automatizmusok vehetik át.

A megközelítés a felhasználók számára azt jelenti, hogy az AI önállósága nem jelent korlátlan hozzáférést az éles rendszerekhez. A Microsoft által bemutatott modellben a hozzáférés a felhasználó jogosultságaihoz kötött, a műveletek ellenőrizhetők, az éles módosítások pedig jóváhagyási pontra állnak meg.