Teadmised
Väikseim privileeg AI agentidele mitme rentnikuga SaaS-is
Üldine prototüübi kiirkäik on anda agendile token, avada kõik tööriistad ja piirata käitumist promptiga. See teeb demo‑versiooni lihtsamaks. Tootmiskeskkonnas tekitab see probleemi: promptides sisalduv kavatsus muutub peamiseks takistuseks mudeli vea ja konto täieliku võimekuse vahel.
Väikseim võimalik õiguste tase (least privilege) agendile ei lõpe „ainult‑lugemis“ rolliga. Vähemalt peaksime piirama viit asja: tööriistad, toimingu tüüp, sihtressurss, andmed ning juurdepääsu eluiga/identiteet.
1. Piira tööriistade komplekti
Agent, kes analüüsib reklaamikampaaniate tulemuslikkust, ei vaja kasutajate haldamise funktsioone. Agent, kes koostab vastavusaruannet, ei vaja piiramatut käsurea juurdepääsu. Agent, kes korraldab faile ühes kataloogis, ei vaja kogu failisüsteemi.
Mida laiem on tööriistade kataloog, seda suurem on pindala:
- vale tööriista valimise;
- prompt‑süstimise (prompt injection) tõttu soovimatu tegevuse käivitamise;
- ootamatute tööriistade kombinatsioonide;
- juhusliku andmete lekitamise;
- konfiguratsiooni viga mudeli kihil.
Seega ei peaks esimene küsimus olema „mida see API suudab?“, vaid:
millised kolm‑või‑viis tegevust vajab see agent selle konkreetse töö jaoks?
Kõik muu võib jääda nähtamatuks.
2. Eralda lugemine, kirjutamine, operatiivne mõju ja hävitamine
„Ligipääs kampaaniatele“ on liiga lai.
Meie tööriistade puhul on kasulikum operatsioonimudel:
| Ulatus | Tähendus | Näide |
|---|---|---|
read |
oleku ja aruannete hankimine | kulude, staatuse või ressursiloendi pärimine |
write |
konfiguratsiooni ettevalmistamine või muutmine | mustandi loomine, ümbernimetamine, parameetri muutmine |
operate |
ärilise tagajärje aktiveerimine | kampaania lubamine, avaldamine, sünkroniseerimise käivitamine |
destructive |
kustutamine, lahutamine või tühistamine | ressursi kustutamine, juurdepääsu eemaldamine, pöördumatute muudatuste tegemine |
Agent võib koostada konfiguratsiooni ilma õigusteta seda aktiveerida. Ta võib lugeda arveldust ilma makse‑seadeid muutmata. Ta võib koostada sõnumi mustandi ilma õigusteta seda saata.
Just see piir on sageli koht, kus kasulik autonoomia elab.
3. Tööriista ulatus ei ole piisav – piirake ka ressursse
Õigus nagu:
campaign.write
on endiselt lai, kui operaatoril on kümme kontot, kuid agent peaks töötama ainult ühega.
Kus võimalik, peaks autoriseerimine arvestama:
Autoriseerimisotsus sisaldab kasutajat, agenti, funktsiooni, toimingu tüüpi, tenant‑/konto‑/projekti, ressursi ja ülesande konteksti.
kes
+ milline agent
+ milline funktsioon
+ milline toimingu tüüp
+ milline tenant/konto/projekt
+ milline ressurss
+ milline ülesande kontekst
Meie sisemine Brillnet Ads MCP nõuab lubatud piiri sees selgeid konto/kliendi identifikaatoreid. Üldine päring ei tohiks lihtsalt ära arvata, millisel kontol toimida.
See on eriti oluline mitme‑tenant‑SaaS‑keskkonnas. Vale tenant’i valimine võib olla tõsisem kui mudeli sisemine loogikaviga.
4. Piira sisendi ja väljundi andmeid
Väikseim võimalik õiguste tase kehtib ka andmete suhtes.
Agent võib vajada:
- kogutud kulutusi, mitte kogu kasutajate nimekirja;
- ülesande olekut, mitte kõiki manuseid;
- kinnitust, et mandaadi olemasolu, mitte selle väärtust;
- isiku identifikaatorit, mitte kogu profiili;
- valitud dokumendi välju, mitte kogu repositooriumi.
Kui tööriist suudab tagastada minimaalset objekti, siis tagastage minimaalne objekt. Ärge avaldage mudelile täielikku pakkuja koormust ainult sellepärast, et API seda võimaldab.
Sama põhimõte kehtib logimise suhtes: audit‑rajatis peaks sisaldama piisavalt tõendeid, mitte kogu lähteandmete duplitseeringut.
Loetu: AI‑agendi audit‑rajatised
5. Mandaat ei tohi elada kauem ega laiemalt kui vajalik
Pikaajaline administraatori token, mis on paigutatud iga komponendi keskkonda, on lihtne seadistada. Samas on seda raske turvaliselt piirata.
Eelistame mustrit, mis sarnaneb järgmisele:
- Agent ei saa saladust.
- Lüüsi (gateway) kontrollib identiteeti, ulatust ja ressurssi.
- See hangib lühiajalise mandaadi.
- See teeb ühe lubatud pakkuja kõne.
- Saladus ei sisene kunagi mudeli vastusesse ega audit‑kirjesse.
Meie sisemise Ads MCP dokumentatsiooni kohaselt hangib süsteem lühiajalisi pakkuja token’e kõne ajal. Mandaatmaterjal käsitletakse väljaspool mudeli konteksti ning seda ei kirjutata rakenduse logidesse.
Kontrolli õigusi täitmise ajal
Agent võib olla alustanud ülesannet, kui operaatoril oli teatud roll. Kümme minutit hiljem võib see roll olla tühistatud. Pikk töövoog ei tohiks eeldada, et sessiooni alguses kehtinud õigus kehtib ka hiljem.
Materiaalsete toimingute puhul kontrollitakse autoriseerimist tööriista täitmise hetkel.
Sama kehtib heakskiidu kohta. Ühe tegevuse nõusolek ei anna õigust teha suvalisi järgnevaid toiminguid.
Prompt ei ole ACL
Juhis nagu:
võid ainult lugeda andmeid ja ei tohi kunagi midagi kustutada
võib olla kasulik käitumisreegel. See ei asenda tehnilist kontrolli, mis blokeerib DELETE.
Kui mudelil on juurdepääs hävitavale tööriistale ja mandaat, mis lubab kustutamist, siis võimekus eksisteerib. Prompt palub mudelil seda mitte kasutada.
Praktiline eraldamine on:
- prompt: mida agent peaks tegema;
- autoriseerimine/poliitika: mida agentil on lubatud teha;
- pakkuja/API roll: mida tehniline identiteet pakkuja juures teha saab.
Kõige turvalisem korraldus on siis, kui kõik kolm kihti on kooskõlas, kuid ükski neist ei ole ainsaks kontrolliks.
Profiilid, mitte üks super‑agent
Meie siseses reklaamitööriistas eraldame lugemise/planeerimise võimed, kampaaniate haldamise võimed ja omaniku‑taseme pindala haruldasteks administraatori toiminguteks.
Nimed ise pole olulised. Oluline on, et tavaline analüüs ei tööta pidevalt kõrgeima õiguste tasemega.
Sarnane disain mujal võiks välja näha:
| Profiil | Lubatud töö | Täiendav piir |
|---|---|---|
| research‑agent | otsing, lugemine, kokkuvõtte tegemine | ei muudeta olekut |
| operations‑agent | lugemine, mustandi loomine, heakskiidetud väljade uuendamine | operatiivne ulatus |
| admin‑workflow | administraatori toiming | eraldi väljakutse, identiteet/ulatus, kohustuslik hekskiit, kitsas ajavahemik |
Ühe agendi kompromiss või viga ei anna automaatselt ligipääsu kõigile toiminguklassidele.
Piira failisüsteemi ja „universaalseid“ tööriistu
Kaks kategooriat vajavad erilist tähelepanu.
Käsurea / käsu täitmine
Piiramatu käsurea võib mööda minna enamik hoolikalt kujundatud tööriistamudelit. Kui agent saab täita suvalist käsku laialdaselt privileegitud OS‑kasutajana, pakuvad peenhäälestatud ulatused mujal piiratud kaitset.
Eesmärgipõhised tööriistad või lubatud käsud piiratud keskkonnas on tavaliselt lihtsamini mõistetavad.
Failisüsteem
Agent, kes peab kirjutama aruande /workspace/reports kausta, ei vaja /etc, operaatori kodukataloogi ega CI‑saladusi.
Meie siseses Ads MCP‑s on failitoimingud piiratud heaks kiidetud serveripoolsete asukohtade või piiritletud koormustega. Suvalised süsteemi teed lükatakse tagasi.
Madala taseme lüüsi (gateway) vajab siiski ulatusi
Mõnikord on üldine lüüs kasulik uute pakkuja lõpp-punktide jaoks enne pühendatud tööriista loomist. See ei tohi muutuda põgenemis‑avaeks.
See peaks klassifitseerima:
- HTTP meetod;
- lõpp‑punkt;
- ressurss;
- koormuse omadused;
- kas toiming kirjutab või hävitab oleku.
Ainult siis peaks see päringu kaardistama vajalikele õigustele.
Kui raw_request saab kasutada täiskoormusega tokenit ilma poliitika kontrollita, on see de‑fakto administraatori juurdepääs, sõltumata sellest, kui hoolikalt muud tööriistad on piiratud.
Ajutine õiguste tõstmine kõrge‑riskiga toimingute jaoks
Selle asemel, et määrata laialdane ulatus püsivalt, võib süsteem kasutada kontrollitud tõstmist:
- Agent valmistab toimingu ette;
- Lüüsi tuvastab, et kõrgemad õigused on vajalikud;
- Isik kinnitab täpsed parameetrid;
- Süsteem annab õiguse ainult sellele toimingule või lühikesele perioodile;
- Õigus aegub pärast täitmist;
- Audit‑rajatis salvestab heakskiidu ja tulemuse.
See ei ole kohustuslik igal pool. Kriitiliste toimingute puhul vähendab see aega, mil laialdane õigus eksisteerib.
Loetu: Millal peaks AI‑agent nõudma inimese heakskiitu?
Võimekuse inventuuri mall
Enne tootmist kirjuta piirid tabelisse:
| Agent / töövoog | Tööriist | Toiming | Ressurss | Andmed | Heakskiit | Mandaat | Audit |
|---|---|---|---|---|---|---|---|
| kampaania aruandlus | Ads report | read | konto A | mõõdikud ilma PII‑ta | ei | lühiajaline | jah |
| kampaania ettevalmistus | campaign tool | write | konto A | konfiguratsioon | ei/tingimuslik | lühiajaline | jah |
| kampaania aktiveerimine | campaign operate | operate | kampaania X | eelarve + staatus | jah | lühiajaline | jah |
| ressursi kustutamine | admin tool | destructive | konkreetne ressurss | minimaalne | jah | tõstetud | jah |
See on palju kasulikum kui kirjutada „agendil on ligipääs Google Ads‑ile“.
Anti‑mustrid
Üks API‑võti kogu süsteemi jaoks
Rollide eraldamine ei ole puhtalt võimalik ning ühe töövoo ligipääsu tühistamine on keeruline.
Sama tööriistakomplekt kõigile agentidele
Kataloogi kõige laiem funktsioon muutub iga agendi riskipinnaks.
„Ainult‑lugemine“ ainult promptis
Kui taustasüsteem ikka lubab kirjutamisi, on ainult‑lugemine päring, mitte kontroll.
Automaatne ulatuse laiendamine 403‑väljundi järel
Puuduv õigus on põhjus peatuda ja otsustada, mitte „korda administraatorina“.
Mandaat mudeli kontekstis
Mudel ei vaja saladuse väärtust, et küsida usaldusväärselt lüüsi lubatud kõnet.
Väikseim võimalik õiguste kontrolli kontrollnimekiri agendile
- Agent näeb ainult tööriistu, mis on tema rolli jaoks vajalikud.
- Lugemine ja kirjutamine on eraldatud.
- Operatiivse mõju aktiveerimine on eraldi ulatus konfiguratsiooni ettevalmistamisest.
- Hävitavad toimingud nõuavad täiendavat tõkkeid.
- Õigus on piiratud tenant‑/konto‑/projekti/ressursi tasandile.
- Ebamääraseid sihtressursse ei arvatud automaatselt ära.
- Tööriistad tagastavad minimaalselt vajaliku andmekogumi.
- Mandaatid jäävad mudeli kontekstist välja.
- Tokenid on lühiajalised, kus see on praktiline.
- Autoriseerimine kontrollitakse täitmise ajal, mitte ainult sessiooni alguses.
- Failisüsteemi ja käsurea juurdepääs on piiratud või asendatud eesmärgipõhiste tööriistadega.
- Toores lüüs ei mööda poliitikat.
- Õiguste tõstmine on selge ja auditeeritav.
- Ligipääsu saab keskelt tühistada.
Töökas näide: kvaliteedi aruandlus ühele tootmisliinile
Võtame ette kavandatud töövoo, mitte siin raporteeritud juurutust. Tootja soovib hommikust kokkuvõtet mittevastavustest liinil L1. Agent koondab loendusi, olekuid ja tegevuse tähtaegu. Ta ei otsusta, kas toodet vabastada. Kvaliteedijuh juhib protsessi; rakenduse administraator haldab juurdepääsu konfiguratsiooni.
Alusta õigusega lugeda L1 kirjeid, välistades manused ja töötajate detailid. Salvesta aruanne sisemisse kataloogi. Ära anna funktsioone mittevastavuste sulgemiseks, inspekteerimise tulemuste muutmiseks ega kliendikommunikatsiooni saatmiseks, isegi kui sama API neid toetab.
Kui hiljem on vaja korrektsioonitegevusi, lisa õigus mustandi loomiseks kindlale meeskonnale. Mustandi loomine ei tohi muuta toote olekut. Värskenda juurdepääsu inventuuri ja tuvastada, kes tegeleb valesti määratud ülesandega. Selles näites kasutatud identifikaatorid on disainialused eeldused, mitte Brillneti juurutustulemused.
Mida MCP autoriseerimine kehtestab
See juhend kasutab MCP spetsifikatsiooni versiooni 2026‑07‑28. Selle HTTP‑autoriseerimismudel nõuab kontrolli, et juurdepääsuluba oleks väljastatud kavandatud serveri jaoks. Kehtiv luba teisele teenusele ei tohiks anda MCP‑juurdepääsu. MCP turvalisuse juhised käsitlevad ka kliendi tokenite edastamist all‑pakkuja API‑dele ilma nõuetekohase valideerimiseta.
See ei määra siiski, kas kasutaja võib lugeda kliendi B kirjet. Rakenduse autoriseerimine peab lahendama seose identiteedi ja sihtressursi vahel. OAuth‑ulatused ja tenant‑filtreerimine katavad piiride erinevaid osi. Mõlemad on olulised. Kontrolli protokolli üksikasju nende versioonide suhtes, mida tegelikult kasutad; „MCP‑kompatne“ üksi vähe räägib juurdepääsu piirangutest.
Kontrolli keeldumist samaaegselt edukusega
Õige aruanne tõestab, et lubatud tee töötab. See ei tõesta, et teised teed on suletud. Vastuvõtu käigus säilita tulemused väikese konkreetsete kontrollide komplekti jaoks:
- küsi sama tüüpi objekt teiselt tenant‑ilt;
- tee kirjutamistoiming aruande profiili kaudu;
- täida pärast operaatori rolli tühistamist;
- pääse failile väljaspool aruande kataloogi;
- proovi sama keelatud toimingut üldise lüüsi kaudu.
Oota keeldumist ilma oleku muutuse või ressursi‑andmete lekitamiseta. Salvesta kontrolli identifikaator, poliitika versioon ja tulemus, välistades saladused ja täiskliendi kirjed. Need on soovitatud vastuvõtu kontrollid antud töövoo jaoks, mitte täielik turvatestimise programm.
Hoia omanikku õiguste muutuste eest
Ligipääs kipub kasvama järk-järgult: veel üks ühendus, üks erand, täiendav kataloog. Küsige, kas agent täidab ikka sama tööd. Ühendus, mis võimaldab sõnumeid saata, ei tohi vaikimisi laiendada aruande profiili.
Protsessi omanik kinnitab ärilise vajaduse. Administraator haldab ja tühistab juurdepääsu. Turvaomanik vaatab erandeid ja mööda‑teid. Väikeses ettevõttes võib üks inimene täita mitut rolli, kuid otsused peavad jääma jälgitavaks. Määra ülevaatuse intervall vastavalt muutuste sagedusele ja võimalikele tagajärgedele. Eemalda paigaldusõigused, kui paigaldus on lõpetatud.
Homme inventaari üks agent. Eemalda õigus, mida tema ülesanne ei nõua, ja kontrolli keeldumist väljaspool heakskiidetud piiri. See annab kasulikke tõendeid ilma kogu arhitektuuri asendamiseta.
Tõendid ja piirangud
OWASP juhised toetavad piiratud tööriistu ja autoriseerimiskontrolle. NIST avaldab turvakontrollide kataloogi. Meie lugemis‑/kirjutamis‑/operatsiooni‑/hävitamise mudel ja töökas näide on inseneri soovitused, mitte seadusandlus ega vastavussertifikaat. Määrake eraldi organisatsiooni kohustused. Sisemine Ads MCP dokumentatsioon, versioon 1.0, kuupäev 28. juuli 2026, kirjeldab viidatud kontrolli disaini; see ei tõesta iseenesest tootmise toimimist kliendi juures.
Piir
Väikseim võimalik õiguste tase vähendab maksimaalse kahju ulatust vea või kuritarvituse korral. See ei garanteeri, et lubatud toiming on sisuliselt õige. Seetõttu kombineerime seda sisendi valideerimise, kõrge‑mõju toimingute heakskiidu ja audit‑rajatisega.
Tagasi turvaliste AI‑agentide juhend või vaata Brillnet Security.
Kaks väljamõeldud organisatsiooni, üks piiratud ülesanne
Andke spetsiaalses esitluskeskkonnas assistendile luba lugeda väljamõeldud organisatsioonis A ühte heakskiidetud protseduuri ja koostada mustand. Välistada heakskiit, avaldamine, lubade muudatused ja juurdepääs organisatsioonile B. Jõustamisteenus loob organisatsiooni konteksti autentitud osaleja ja lubatud suhte kaudu; taotluses muudetud identifikaator ei anna õigust kasutada teise organisatsiooni andmeid.
Testige lubatud lugemist, välistatud heakskiitu ja organisatsiooni B taotlust. Iga juhtumi puhul registreerige eeldatav tulemus ja kontrollige tegelikku tulemust. Keeldumisjuhtumid peavad jätma keelatud oleku muutmata ega tagastama teise organisatsiooni andmeid. Säilitage poliitika versioon ja minimaalsed sündmuse metaandmed, mis on vajalikud kontrolli rekonstrueerimiseks, välistades samal ajal mandaadid ja mittevajaliku dokumendisisu.
Lisage sünteetilisesse allikasse kahjutu juhis, mis nõuab sõltumatut eksporti. Käsitle seda dokumendi sisuna. Kinnitatud ülesanne ja serveri õigused jäävad lubatud toimingu aluseks. See näitab, kuidas ebausaldusväärsete juhiste käsitlemine ja juurdepääsukontroll peavad kavandatud kujunduses koos töötama.
Salvestage Pulsaris ülevaatamiseks nõue, risk, tegevus ja väljamõeldud tõendid. See testib, kuidas teie meeskond kontrolli dokumenteerib. See ei tähenda, et avalik Pulsari prooviversioon paljastaks MCP-lüüsi või rakendab teie arhitektuuris kõiki agendilubasid. Vaadake üle 14-päevane prooviperiood, nõutav makseviis ja tühistamise tingimused ning vajadusel leppige eraldi kokku välise integratsiooni osas.
Allikad
- OWASP AI Agent Security Cheat Sheet. Accessed: 2026-10-02.
- OWASP Authorization Cheat Sheet. Accessed: 2026-10-02.
- Model Context Protocol — The 2026-07-28 Specification. Accessed: 2026-10-02. Allikad kontrollitud: 2026-10-10.
- MCP — HTTP authorization specification, 2026-07-28 — Transpordiluba ja ressurssidega seotud märgid.
- MCP — security best practices — Integratsiooni turvalisuse ja autoriseerimise piirid.
- NIST SP 800-53 Rev. 5 — Juurdepääsu kontroll ja auditi-kontrolli põhimõtted.
- OWASP — LLM01 Prompt Injection — Ebausaldusväärsed dokumendijuhised ja agendiriskid.
- OWASP — Logging Cheat Sheet — Kasulikud sündmuste kirjed ja välistatud tundlik teave.
- Pulsar GRC — data-exchange scope — Avaliku integratsiooni väidete piir.
- Avaldatud tootevaliku ja prooviperioodi tingimused — Avaldatud tootevaliku ja prooviperioodi tingimused.
Vaadake tingimused üle ja alustage 14-päevast prooviperioodi
AI toimingu auditeerimine: autoriseerimine, tulemus ja kontrollitud olek
Toidu tootmise CAPA: leiust tõhususe ülevaateni
Farmaatsia SOP muudetud: kontrollige koolitust ja lähteversiooni