Agenții tăi AI ghicesc la scară: permisiunile decid dauna
de Claudiu Hulea · IT Management Consultant
Agenții AI nu execută un script fix — aleg probabilistic următoarea acțiune, observă rezultatul și se adaptează. Cu alte cuvinte, „ghicesc“, iar uneori ajung la scop pe căi neașteptate. Nu e un defect, e felul în care funcționează. Devine însă un risc în momentul în care le dai permisiuni prea largi: nu contează doar ce decide un agent, ci ce are voie să atingă. Întrebarea de securitate nu e „cum controlez fiecare mișcare?“, ci „cât de mult poate strica dacă greșește?”.
De ce „ghicesc la scară“
Modelele lingvistice funcționează probabilistic: aleg următoarea cea mai bună acțiune, văd ce iese și continuă. Un agent poate lua o cale la care nu te-ai fi gândit ca să ducă o sarcină la capăt — util pentru autonomie, periculos când vine la pachet cu drepturi de acces excesive. Iar spre deosebire de o persoană, un agent face asta la viteză de mașină, de mii de ori.
Riscul = acces × autonomie
Merită gândit ca o înmulțire:
- Accesul determină raza de explozie (blast radius) — cât de multe sisteme și date poate atinge agentul.
- Autonomia îngustează fereastra de intervenție — cât de repede acționează înainte să apuci să te prinzi.
Un agent supra-permisionat care „ghicește“ greșit nu face o greșeală mică, ci una rapidă și cu rază mare.
Explozia identităților non-umane
Fiecare agent, script sau serviciu e o identitate non-umană cu propriile chei. Numărul lor a explodat: Palo Alto Networks a raportat un raport de ordinul 109:1 între identitățile non-umane și cele umane. Problema practică: echipele acordă din reflex „acces complet“, pentru că aplicarea principiului least privilege pentru fiecare agent și fiecare sesiune e greu de făcut operațional. Iar Shadow AI și deploy-ul rapid de agenți depășesc ritmul reviewului de securitate.
De ce „guardrails“ pe prompt nu sunt de ajuns
Filtrarea prompturilor și guardrails-urile pe conținut sunt utile, dar acționează după ce accesul a fost deja acordat. Dacă un agent are cheile către un sistem, o filtrare de text nu schimbă ce poate face cu ele. Punctul de control real e mai jos: la nivel de identitate și permisiuni — locul prin care trec, oricum, toate acțiunile agentului.
Ce ai de făcut
- Least privilege / acces bazat pe intenție: definește ce are nevoie fiecare agent ca să-și facă treaba — și nimic în plus.
- Inventariază identitățile non-umane și agenții: nu poți proteja ce nu vezi; descoperă agenții, inclusiv cei de tip Shadow AI.
- Guvernanță pe ciclul de viață: descoperă → delimitează → impune → retrage agenții și credențialele care nu mai sunt folosite.
- Identitatea ca plan de control: un punct de impunere consistent, în loc de reguli împrăștiate prin fiecare aplicație.
- Credențiale cu scope, scurte și rotite + jurnalizare, ca să poți vedea și limita ce a atins fiecare agent.
Ce reținem
Nu poți prezice următoarea mișcare a unui agent AI — dar poți controla ce are voie să atingă. De aceea permisiunile, nu prompturile, decid dauna. Pe măsură ce intri în automatizări cu agenți, tratează fiecare agent ca pe o identitate cu chei reale și aplică-i aceeași disciplină de acces ca unui utilizator privilegiat. Un audit de securitate scoate la lumină identitățile supra-permisionate și accesul pe care l-ai uitat, iar un test de penetrare arată ce ar putea face un atacator — sau un agent scăpat de sub control — cu ele.
Surse
- BleepingComputer — Your AI agents are guessing at scale: permissions decide the damage
- Date privind identitățile non-umane: Palo Alto Networks.
Întrebări frecvente
De ce „ghicesc" agenții AI?
Pentru că modelele funcționează probabilistic: aleg următoarea cea mai bună acțiune, văd rezultatul și se adaptează. Un agent poate ajunge la scop pe căi neașteptate — util pentru autonomie, riscant când vine cu permisiuni excesive, mai ales că o face la viteză de mașină, de mii de ori.
De ce permisiunile, nu prompturile, decid dauna?
Pentru că riscul = acces × autonomie: accesul determină raza de explozie (câte sisteme poate atinge), iar autonomia îngustează fereastra de intervenție. Filtrarea prompturilor acționează după ce accesul a fost deja acordat; punctul de control real e la nivel de identitate și permisiuni, prin care trec toate acțiunile agentului.
Ce e „explozia identităților non-umane"?
Fiecare agent, script sau serviciu e o identitate non-umană cu propriile chei. Palo Alto Networks a raportat un raport de ordinul 109:1 între identitățile non-umane și cele umane. Echipele acordă din reflex „acces complet", iar shadow AI și deploy-ul rapid de agenți depășesc ritmul reviewului de securitate.
Ce am de făcut?
Least privilege / acces bazat pe intenție, inventariază identitățile non-umane și agenții, guvernanță pe ciclul de viață (descoperă, delimitează, impune, retrage), identitatea ca plan de control, și credențiale cu scope, scurte și rotite, cu jurnalizare. Tratează fiecare agent ca pe un utilizator privilegiat.
