Почему управление ИИ-агентами требует большего, чем просто учетные записи, роли и права доступа
Решающий вопрос больше не сводится исключительно к «у кого есть доступ?». Теперь он звучит так: «почему этому агенту разрешено действовать, в рамках какого утвержденного намерения и как его можно остановить?»
ИИ-агенты меняют ландшафт управления доступом и учетными записями (IAM). Традиционное управление доступом строилось вокруг людей, служебных учетных записей и относительно предсказуемых шаблонов доступа. Автономные ИИ-агенты привносят принципиально иной уровень сложности: агент способен интерпретировать задачу, вызывать инструменты, выбирать альтернативные пути выполнения, сотрудничать с другими агентами, делегировать работу и даже создавать дочерних агентов.
Регистрация агента в качестве нечеловеческой учетной записи имеет важнейшее значение, однако сама по себе она не регулирует причину существования агента и не гарантирует, что его действия по-прежнему служат утвержденным бизнес-целям.
Намерение: недостающий объект управления
Управление намерениями (Intent Governance) устраняет этот пробел, формируя управляемое, машиночитаемое представление бизнес-миссии агента. Намерение объединяет назначение и ожидаемые результаты с техническими целями, разрешенными возможностями, границами рисков, правовыми и этическими ограничениями, ответственными лицами из числа людей, правилами делегирования и требованиями к сбору доказательств. Намерение — это больше, чем метаданные в свободной форме или очередной атрибут роли. Оно служит основой, из которой могут быть выведены принудительно исполняемые политики и на соответствие которой оцениваются действия агента.
Это создает прослеживаемую цепочку управления: Агент → Намерение → Политика → Контекст → Решение → Применение → Доказательства → Локализация. Данная цепочка связывает заданную бизнесом цель с проверкой полномочий во время выполнения и, в конечном итоге, с подотчетностью. Она помогает организациям определить не только то, к чему агент может получить доступ, но и то, что ему разрешено делать, при каких условиях и в каких пределах.
Что меняется на практике?
Практическое следствие: Авторизация должна выходить за рамки доступа в момент входа в систему. Для чувствительных действий полномочия должны проверяться на каждом соответствующем этапе вызова инструментов или выполнения. Действия агента и предполагаемые результаты необходимо сверять с первоначальной утвержденной целью, чтобы гарантировать, что его поведение не выходит за рамки разрешенных границ.
Пул управления, созданный для автономных действий
Традиционная архитектура политик использует компонент администрирования политик (PAP), компонент информации о политиках (PIP), компонент принятия решений по политикам (PDP) и компонент применения политик (PEP). Системы на базе агентов требуют дополнительных мер защиты. Механизм согласованности политик (Policy Consistency Engine) проверяет, остаются ли производные политики в рамках базового намерения. Детерминированное разрешение конфликтов справляется с конкурирующими политиками. Независимые агенты-супервизоры отслеживают отклонения, обход правил, аномальное делегирование и подозрительное сотрудничество. Уровень доказательств и изоляции сохраняет записи и изолирует экосистему в тех случаях, когда превентивные меры контроля не срабатывают.
1. Принятие решений на основе доверенного контекста
Компонент PIP должен управлять авторитетным источником, актуальностью, порядком извлечения, разрешением на кэширование и реакцией на сбои. После этого PDP может отклонять устаревший или выведенный контекст в случаях, когда требуется чтение актуальных данных из источника.
2. Обеспечение контроля за пределами агента
Компоненты PEP должны перехватывать критические действия на уровне шлюзов протокола MCP или API, сервисных сетей, сред выполнения, рабочих процессов и границ инфраструктуры. Средство контроля, зависящее от сотрудничества с самим агентом, не является независимым.
3. Защита целостности политик
Базовые намерения и производные политики должны хешироваться, подписываться, версионироваться и проходить проверку подлинности во время выполнения. Действительная подпись подтверждает происхождение и целостность, но не то, что политика является законной, этичной или логически корректной.
Супервизия, делегирование и аварийный выключатель
Агенты-супервизоры могут обеспечить дополнительный уровень поведенческой надежности, сопоставляя наблюдаемые действия и результаты с утвержденным намерением. Они должны функционировать с отдельными учетными записями, ограниченными полномочиями и независимым мониторингом. Они обязаны дополнять, а не заменять детерминированные криптографические проверки и не становиться единственным авторитетом для локализации.
Делегирование требует определенной дисциплины. Дочерний агент должен создаваться только тогда, когда его назначенное намерение остается в пределах утвержденных границ по возможностям, продолжительности, риску и глубине делегирования. Каждый дочерний элемент должен сохранять связь со своим родителем, базовым намерением, версией политики, решением об авторизации и назначенным ответственным человеком.
Дочерний агент необязательно наследует права родительского агента. Вместо этого ему может быть предоставлен собственный набор полномочий по принципу наименьших привилегий, выведенный из делегированной задачи и ограниченный утвержденным намерением и дополнительными релевантными атрибутами риска.
Агент-супервизор будет быстрее достигать точки принятия решений для работающих агентов, поскольку на проверку уходит меньше времени, чем требуется работающему агенту для достижения той же точки принятия решения.
Аварийный выключатель (kill switch) — это не инструкция об остановке, передаваемая агенту в рамках совместной работы. Это независимо контролируемый механизм отзыва прав и изоляции, принудительно применяемый в точках контроля, которые агент не может обойти.
Эффективная изоляция может потребовать нескольких скоординированных действий: отзыва учетных записей, токенов и секретов, блокирования трафика агентов и инструментов, приостановки сред выполнения и планировщиков, помещения сетевых маршрутов в карантин, ограничения доступа к конфиденциальным данным, остановки вычислений и сохранения доказательств во внешней среде. Реальная проверка на устойчивость заключается в том, способна ли организация изолировать отдельный агент, дерево его делегирования, семейство намерений или всю платформу без необходимости сотрудничества со стороны самого агента.
Прагматичный путь движения вперед
Организации могут начать укрепление безопасности ИИ-агентов с помощью ряда практических шагов:
- Обнаружение и назначение владельцев: выявите операционных агентов и агентов-супервизоров, включая нечеловеческие учетные записи, и назначьте за каждым из них ответственного человека.
- Установление утвержденного намерения: требуйте наличия задокументированного машиночитаемого намерения при регистрации и привязывайте к нему принудительно исполняемые политики.
- Приоритизация мер контроля: внедрите концепцию «политика как код», централизованные возможности принятия решений по политикам и точки контроля на путях выполнения наиболее рискованных действий.
- Защита элементов управления: рассматривайте политики, манифесты, промпты и определения доверенного контекста как критически важные для безопасности активы.
- Управление делегированием и изоляцией: контролируйте создание агентов и процесс делегирования как привилегированные виды деятельности, а также тестируйте локализацию в ограниченных рамках и восстановление.
Эти шаги закладывают основу для эволюции систем управления доступом с целью противодействия специфическим рискам автономных и все более взаимосвязанных ИИ-систем.
Практическая реализация управления намерениями
Создание и поддержание согласованных политик на уровне бизнеса, приложений и инфраструктуры представляет собой серьезную задачу в области управления. Политики должны оставаться прослеживаемыми до утвержденного базового намерения, избегая при этом противоречий, пробелов и непреднамеренных путей авторизации. Платформы управления доступом и учетными записями (IGA) служат важной основой для решения этой задачи.
Например, SailPoint Agentic Fabric объединяет контекст учетных записей, мониторинг поведения, оценку политик и контекстное принудительное исполнение, чтобы помочь организациям управлять агентами ИИ и нечеловеческими идентификаторами. Такие возможности, как отслеживание происхождения агентов и сопоставление владельцев, доступ с наименьшими привилегиями, сдерживание на основе политик и доказательства для аудита, могут способствовать достижению более широкой цели — приведению поведения агентов в соответствие с авторизованными бизнес-целями.
Эффективность таких возможностей зависит от того, как они интегрированы с более широкой архитектурой управления, включая независимое применение политик, доверенный контекст, элементы управления делегированием и механизмы сдерживания.
Супервизорный агент может дополнительно проверять, соответствуют ли действия агента исходным промптам. Такое сопоставление первоначального намерения, зафиксированного в исходном промпте, с конечным действием, выполняемым агентом в целевой системе, гарантирует, что агент не отклоняется от этой отправной точки.
Соответствие рекомендациям NIST
Модель управления намерениями реализует темы из структуры управления рисками ИИ NIST, профиля генеративного ИИ, архитектуры нулевого доверия (Zero Trust) и работ NIST по идентификации агентов и авторизации.
Эти фреймворки и публикации обеспечивают полезную основу для управления рисками ИИ, доступом и доверием. Однако конкретная модель управления намерениями, описанная здесь, включая ее расширенные компоненты плоскости управления и цепочку управления, представляет собой подход к реализации, а не архитектуру, предписанную NIST.
От идентификации к намерениям
Идентификация говорит нам, кем является агент. Намерение объясняет, почему он может действовать. Управление должно связывать то и другое с политиками, доказательствами и независимым сдерживанием.
В Capgemini наши услуги IGA помогают организациям укреплять управление учетными записями людей, приложений и нечеловеческих субъектов. По мере того как агенты ИИ становятся все более автономными, эта основа может развиваться, объединяя идентификацию, намерения, исполнение политик и непрерывный надзор, что помогает организациям внедрять агентный ИИ с большей уверенностью.
