Az O’Reilly által szervezett, az OpenClawra és a helyben futtatott, saját hosztolású AI-ügynökök ökoszisztémájára fókuszáló legutóbbi AI Superstream eseményen öt előadó — mindegyikük a technológiai verem más-más rétegén dolgozik — a gyakorlatban megvalósítható mintákat vitatta meg. A cél: választ adni arra, hogyan lehet kezelni az ügynökökkel kapcsolatos kockázatokat, a harmadik fél kiterjesztéseinek veszélyétől a modellek téves biztonsági állításain át a nehezen auditálható kódokig és költségtúllépésekig.
Az esemény házigazdája, Alistair Croll rámutatott: egyre jobbá tehetjük az nemdetermininsztikus technológiákat, de soha nem leszünk teljesen biztosak abban, hogy mindig úgy működnek, ahogy kell. Minél nehezebb belátni, mi fut a háttérben, annál fontosabbá válik a kormányzási réteg — ez a munka kevésbé látványos, a felhasználók többsége számára láthatatlan, mégis valószínűleg fontosabb, mint a következő negyedévben megjelenő modellek képességnövelése.
Végrehajtási réteg: a cselekvés biztosítása
Eran Sandler (Canyon Road, AgentSH) előadásában a kompromittálódás tipikus formáit sorolta: prompt-injekció, rosszindulatú fájlok, nem biztonságos eszközök, kompromittált csomagok, telepített „skills” és modellhibák. A legtöbb biztonsági gondolkodás a bemenetek védelmére koncentrál, miközben a cselekvés végrehajtását biztosító réteg gyakran figyelmen kívül marad. Eran szerint „az inputbox védelme nem védi a cselekvést.”
Ajánlása szerint kényszerítésre (enforcement) van szükség az execution layeren, vagyis azon a határon, ahol az ügynök szándéka találkozik az operációs rendszerrel. Bár a konténerizáció csökkentheti a kár terjedését, ez nem hoz döntési képességet: „a falak bent tartanak dolgokat, de nem hoznak ítéletet.”
Az illusztrációban bemutatott példa egy szimulált rosszindulatú csomag telepítése volt — az efféle csomagok gyakran egy látszólag rutinszerű feladathoz, például „építs nekem egy értékesítési előrejelző modellt” csatolva érkeznek. AgentSH deny logjaiból előkerült, hogy míg az ügynök „megveregette magát”, valójában megkísérelt készségmutációt, blokkolt külső domain-hívást és .env titkok, valamint SSH kulcsok olvasását is. Eran figyelmeztet: „a transzkriptek hazudhatnak, a modellek gyakran hallucinálják a megfelelést. Execution-layer kontroll nélkül csak reménykedsz, hogy a modell viselkedik; kontrollal bizonyítani tudod, mi történt.”
Skills: ellátásilánc-kockázat és a felhasználói figyelem hiánya
Egy közelmúltbeli ClawHub-ellenőrzés több mint 900 rosszindulatú skille-t talált, ami akkoriban a teljes csomagállomány közel 20%-át jelentette. Sok ilyen skill professzionálisnak tűnik: dokumentáció, magas letöltésszám és felhasználói értékelések jellemzik őket.
Kesha Williams (Keysoft) egy élő példát ismertetett: egy typosquat (gépelési hibára épülő hamis csomag) a ClawHub CLI eszközről, amely kisbetűs névhasználattal próbálta megtéveszteni a felhasználót. A skill több mint 8 000 letöltést ért el, mielőtt eltávolították.
A működés: a telepítési előfeltételek között hamis függőség (open-claw-core) szerepelt, emellett egy jelszóval védett GitHub ZIP-re hivatkozott (a jelszó „openclaw”), hogy kikerülje az automatikus szkennelést. macOS-telepítésnél egy látszólag jogos parancsot echo-ztak, ami valójában egy base64 kódolt tartalmat dekódolt és átadott a bash-nek.
Kesha javaslata: két eljárás, amit sok felhasználó kihagy, de amivel jó védekezést lehet kezdeni. Először olvassuk el a skill Markdown fájlját telepítés előtt. Másodszor konfiguráljuk az OpenClaw toolsDeny szekcióját, hogy korlátozzuk egy skill hozzáférését; ha egy összegző (summarizer) skillnek exec jogosultságra van szüksége, az gyanús és blokkolandó. Az OpenClaw skillsAllowed beállításával a beépített 50+ skill közül pontosan meghatározhatjuk, melyeket hagyunk aktívnak.
A nyílt forráskódú ellátásilánc mindig is bizalmi problémákkal küzdött; a Markdown-alapú, egy parancsból telepíthető skillek viszont jelentősen lecsökkentik a részvétel technikai küszöbét. Kesha összegzése: "Most a legjobb gyakorlat, ha ember marad a döntési láncban, és saját körültekintést végzel a harmadik féltől származó kiterjesztések telepítése előtt."
Működési higiénia: gyakoribb, mint a célzott támadás
Erik Hanchett (AWS, Program with Erik) azt állítja, hogy az OpenClaw kockázatainak többsége működési higiéniai hibákból ered, különösen az első telepítési órában. Jelenleg több ezer OpenClaw példány érhető el a nyilvános interneten, mert a felhasználók nem ellenőrizték a gateway bind módot telepítés után. Az alapértelmezett beállításnak loopbacknek (localhost) kellene lennie; aki VPS-re telepít és LAN-ra állítja a gateway-t, akaratlanul is kiteszi példányát.
Az ilyen hibák gyorsan javíthatók — a javítás percek alatt elvégezhető —, mégis sokan nem végzik el. Erik öt pontos ellenőrzőlistájának első pontja ezért a gateway bind ellenőrzése volt. A többi ajánlás: rögzítsünk stabil verziót a folyamatos legfrissebb frissítések helyett (az "Is It Stable?" közösségi stabilitási tracker segíthet), konfiguráljunk fallback modelleket a drága frontier-tokenek pazarlásának elkerülésére, írjunk valódi SOUL.md fájlt a gyors onboarding helyett, és állítsunk be privát GitHub mentést a workspace fájlokhoz, mielőtt bármi elromlana.
Erik említette a kontextuskezelés gyakorlati tippeit is: használjuk a /new parancsot új munkamenetek indításához a folyamatosan növekvő, teljesítményt rontó beszélgetés helyett, és /compact parancsot, ha a munkamenet túl nagy lesz. Ezek azok az operatív részletek, amelyek sok dokumentációban nem jelennek meg, de a napi használat során döntőek.
A Docker és Kubernetes korszakában ugyanaz az minta jelent meg: erőteljes infrastruktúra korai lelkes alkalmazókkal, akik nem mindig gondolták át az üzemeltetési alapértelmezéseket. Az Erik által leírt problémák — kitettség, elszabaduló tokenköltségek, váratlan memóriaresetek — a leggyakoribb okok, amiért felhasználók néhány hét után elhagyják az ügynökalapú eszközöket. A jó hír, hogy ezek többsége iránymutatással és alapvető óvintézkedésekkel orvosolható.
Szabályozott környezetek: a "plausibility" nem egyenlő a pontossággal
Ari Joury (Wangari Global) azt a problémát tárgyalta, amelyet a legtöbb vállalat feltehetően átél: hogyan kezeljék az autonóm ügynököket olyan környezetben, ahol az AI hibája jogi következményeket vonhat maga után. A Wangari Global intézményi ügyfelek számára fejleszt pénzügyi jelentés-automatizálást. Ari hangsúlyozta, hogy a nagy nyelvi modellek a "plausibility"-re vannak optimalizálva, nem az abszolút pontosságra — a pénzügyi szolgáltatásokban ez megfelelési (compliance) kockázatot jelent.
Példaként említett egy olyan AI-kimenetet, ami hangzásra helyesnek tűnt, egészen addig, amíg egy ügyfél azt nem jelezte: teljes képtelenség. Válaszul Ari és csapata felhagytak a modell „varázsdobozként” való kezelésével, és olyan keretrendszert építettek, amely biztosítja az adatok valódiságát: a számításokat determinisztikus, keménykódolt logika végzi, az ügynök ellenőrzi a számítást plausibility szempontból, külön réteg generálja a kommentárt és egy másik réteg kritizálja azt. Az emberi jóváhagyás vagy elutasítás minden egyes esetben visszajelzést ad a rendszer további tanításához.
Ember a hurkon: a skálázhatóság ellenszere a hanyagságnak
Kyle Balmer (AI with Kyle) zárta az eseményt egy bemutatóval arról, hogyan használ agenteket tartalomgyártásban, és miért elengedhetetlen a szándékos emberi bevitel és felülvizsgálat. Kyle szerint bár az autonóm ügynökök gazdaságilag átalakító hatásúak lehetnek, a rendszer csak akkor működik üzletileg, ha beépítik a humán ellenőrzést.
Kyle napi munkafolyamata egy egyórás élő adásból 20–30 derivált eszközt állít elő (hírlevél, több rövid videó, carouselek, hosszabb YouTube videó). A rendszer működése körülbelül 200 dollár havonta, és Kyle becslése szerint ez napi 1 000–2 000 dollár értékű potenciális ügyfélbeáramlásnak felel meg.
A munkafolyamat nem teljesen automatikus: Kyle különböző pontokon belép a rendszerbe — ő választja a témát, hangjegyzeteket készít saját véleményével, az élő adásban rendszerezi a gondolatokat, saját hangján átírja a AI által generált hírlevél-tervezetet, és a rövid videók forgatókönyvét sem hagyja teljesen a modellre. Az AI kutat, vázlatot készít, diákat generál és fenntartja a visszacsatolási hurkot, de az ember adja a megbízható jelzést.
Kyle tapasztalata: "Teszteltem teljesen automatizált AI-tartalommal. Nem működik. Slop. És az emberek érzik, hogy slop." Ez az esemény összefoglalva azt az üzenetet hordozta: a technikai kontrollok, az ellátásilánc-ellenőrzés, az alapvető üzemeltetési higiénia és a szándékos emberi felügyelet együtt szükségesek ahhoz, hogy az ügynökalapú rendszerek biztonságosan és megbízhatóan működjenek.
