A gyakorlat azt mutatja, hogy amikor szervezetek ügynököket (agenteket) telepítenek, a hibák ismétlődő mintázatot követnek: a csapatok először a gatewayt keresik meg, mégis ez az a kontroll, amit a legkevésbé képesek érdemben működtetni. Ennek oka, hogy a gatewayek azonosítási és attribúciós rétegekre épülnek — és ezek a rétegek sok helyen hiányoznak.
A kockázat nem elméleti: júniusban a CISA felvette a Known Exploited Vulnerabilities katalógusába a LiteLLM hibát miután a támadók élőben kihasználták azt. A hibán keresztül parancsokat futtattak a gazdagépen a gateway maga által, és egy másik sebezhetőséggel kombinálva hitelesítés nélkül is működött. Egyetlen AI-gatewayben egy hónap alatt hét közismert sebezhetőséget (CVE) publikáltak. Érdekesség, hogy ez az a réteg, amelyet sok vállalat próbál először biztosítani.
A helyes sorrend
Nik Kale szerint a gateway-kontrollok nem az első, hanem inkább az ötödik rétegnek kellene lenniük. A legtöbb érettségi modell azt írja le, hogy milyen kontrollokra lesz szükség idővel, de ritkán foglalkozik a brownfield helyzettel: hogyan kell ezeket a kontrollokat sorrendbe tenni egy már meglévő identitás- és hozzáférés-kezelő (IAM) rendszer mellett?
Ha a kontrollelési sík nem tudja megmondani, melyik ügynök cselekszik, ki delegálta a feladatot, mi a feladat célja és milyen hitelesítő adatok használatosak, akkor hiányos a kontextus. Egy gateway képes blokkolni nyilvánvaló szabálysértéseket, de nehezen különbözteti meg a jogos, célzott műveletet egy olyan cselekvéstől, amely ugyan technikailag engedélyezett, de operatív szempontból nem megfelelő.
A rossz kezdőpont illusztrációja
Gondoljunk egy új futtatókörnyezetű gatewayre: egy pénzügyi egyeztetési (finance-reconciliation) ügynök megpróbál módosítani egy éles rekordot. A gateway ellenőrzi a felhasználói tokent és az API-hívást, de nem látja, hogy a kérés ügynök-kezdeményezésű-e, hogy az ügynök egy szűkebb feladatot hajt-e végre, vagy hogy a kérés egy nem megbízható artefakt által indított eszközlánc része-e. A hitelesítő érvényes, az API-hívás megengedett, mégis a művelet ellentmondhat a delegáció céljának. Ilyenkor a gateway mellett fontos támogatások hiányoznak, és költséges, részleges kontroll kerül alkalmazásra.
Az ügynök jogosultságainak korlátozása
Hasznos, ha az ügynök jogosultságai nem haladják meg a hozzá kapcsolódó emberi jogosultságokat, de ez önmagában nem ad attribúciót. Huszonegy ügynök ugyanazon személy jogosultságaival működhet, és mégis szükségük van egyedi identitásra, auditnaplókra, viselkedési profilokra és visszavonási utakra.
Dependency-gated deployment: a hat kapu
Kale ezt a folyamatot dependency-gated deploymentnek nevezi: a downstream kontrollok csak akkor tekinthetők operatívként, ha az upstream kilépési vizsgálatok teljesültek. Lehetséges a párhuzamos fejlesztés, de a működési kontextust előbb kell előállítani. A javasolt hat kapu és a bizonyítékok, hogy miért működnek:
- Ügynök-inventár és felelős tulajdonos
- Minden éles ügynöknek legyen megnevezett tulajdonosa, célja, jóváhagyott eszközei és életciklus állapota.
- Különálló ügynökazonosság és delegációs kontextus
- A rendszer tudja azonosítani az ügynököt, a tulajdonost és azt a személyt/principált, akinek nevében az ügynök jár el.
- Feladatra szűkített, rövid életű hitelesítők
- Egy kompromittált ügynök ne férhessen hozzá a hozzárendelt feladaton kívüli erőforrásokhoz.
- Attribuálható telemetria
- Egy befejezett feladat rekonstruálható legyen a kezdeményezéstől a downstream hatásig.
- Futásidejű végrehajtás és politikai érvényesítés
- A döntések vegyék figyelembe az ügynököt, a delegált principált, a feladatot és a művelet kontextusát, ne csak a token érvényességét.
- Viselkedési alapvonalak és rendszerek közötti leállítási út
- Az ügynök hatóereje minden érintett ponton megállítható legyen.
Kezdjük a nyilvántartott ügynökökkel
Első lépésként azonosítsák a ténylegesen éles, általánosan használt ügynököket: nyílt forráskódú keretrendszerekben, felhőszolgáltatásokban, SaaS termékekben és fejlesztői eszközökben. Rögzítsék minden esetben a tulajdonost, felelősséget, életciklus állapotát, jóváhagyott eszközöket, adatdomainek és hitelesítési forrásokat. Ha ezt kihagyják, az incidens-válasz első óráját veszíthetik el, miközben kiderítik, mihez tartozik egy adott tevékenység.
Az ügynöknek saját identitás kell, de a mögötte álló ember nem tűnhet el
Az ügynök ne legyen elrejtve fejlesztői tokenben, közös szolgáltatói fiókban vagy egy emberi munkamenetben. A hívó ügynök mivolta önmagában nem elég; szükség van delegációs kontextusra is: ki delegálta a munkát, melyik konkrét feladatot kapta az ügynök, és mely erőforrásokhoz kell hozzáférése. Ha ez a kapcsolat megszakad, a későbbi naplók a kölcsönvett token tulajdonosához kötik az ügynök műveleteit — olyan személyhez, aki nem indította azokat.
Csökkentsük a jogosultságokat, mielőtt viselkedést vizsgálunk
Miután egy ügynök azonosíthatóvá válik, korlátozzák a képességeit: az hozzáférés legyen időben korlátozott és csak a feladathoz szükséges eszközökre és forrásokra terjedjen ki. Ezt meg lehet valósítani meglévő IAM-megoldásokkal: workload identity, token exchange, conditional access és időkorlátos jogosultságok alkalmazásával.
A 2026-os Teleport-felmérés, amely 205 biztonsági vezető bevonásával készült, azt mutatja, hogy a hozzáférési környezeti hatókör fontosabb előrejelzője az AI-incidenseknek, mint az iparági érettség vagy önbizalom. Például az over-privileged AI-val rendelkező szervezeteknél az incidensek aránya 76%, míg a legszűkebb jogosultság mellett 17% volt. Ez azt jelzi, hogy a dependency-láncban a hozzáférési hatókör kritikus.
Az alapelv: monotón delegáció — a felelősség átruházásának soha nem szabad növelnie a jogosultságot.
Attribúció rendbetétele az automatikus érvényesítés előtt
A legtöbb audit rendszer képes rögzíteni, mely erőforrást értek el és mely hitelesítő tette lehetővé. A vizsgált ügynök-deployoknál ez a kapu volt a leggyakrabban hiányzó. Mielőtt adaptív futásidejű politikát alkalmaznának, kapcsolják össze az eszközmeghívásokat az ügynökazonossággal, a kezdeményező principállal, a feladatazonosítóval, a szülőművelettel és az eredménnyel. Ezután próbálják meg egy teljesen lezárt feladat kapcsán visszakövetni a kezdeményezőt, az ügynököt, az aláírt hatóságot, a használ eszközöket és az eredményt — szabályozott környezetben az attribúció megléte elengedhetetlen.
A gateway értéke ekkor jön elő
Ha a gateway hozzáfér az ügynök regisztrált identitásához, expliciten jelzett delegációhoz, feladatra szűkített hitelesítőkhez és attribuálható telemetriához, képes megítélni, hogy az ügynök jogosult-e az adott műveletre, az adott principál nevében, a megadott feladat keretében és az érintett erőforrással kapcsolatban. A gateway leghasznosabb pontja azokra az visszafordíthatatlan határokra esik — fizetések, hozzáférés-változtatások, törlések, éles környezeti módosítások, adatexportok — ahol a legsúlyosabb kontroll szükséges.
Detektálás és leállítási út
A viselkedési alapvonalakat később alakítják ki, mert előbb meg kell határozni megkülönböztethető, attribuálható ügynök-aktivitást. Ezt követően a biztonsági csapatok képesek lesznek észlelni az anomáliákat: szokatlan eszközhasználatot, váratlan domain-keresztezéseket és az elvárt feladattól való eltéréseket. A tartás nem csupán egy objektum letiltása: egy teljes kill path magában foglalja az ügynökazonosság letiltását, aktív és származtatott hitelesítők érvénytelenítését, eszközaktiváció blokkolását, futó feladatok leállítását és az ügynököt tartalmazó munkaterhelés izolálását.
Ne cseréljék le az IAM-et azonnal
Egy teljesen új identitásprogram kialakítása nem szükséges. Ha az aktuális identitásszolgáltató nem kezeli az ügynököket natív objektumként, kezdjék egy hitelesített regiszterrel, amely a meglévő workload identitásokhoz kapcsolódik. Ezután terjesszék ki az ügynök- és feladatazonosítókat megbízható végrehajtási kontextusokká, vezessenek be rövid életű hitelesítéseket az örökölt jogosultságok mérséklésére, és szerepeltessék ezeket az azonosítókat az eszköz-hívás naplókban, hogy a későbbiekben a gateway feldolgozhassa őket. A dependency-modell változatlan marad, miközben a gyártói támogatás fejlődik.
Mérhető kontrollhiányok
Az Okta 2026-os felmérésében a vezetők mindössze 34%-a válaszolta, hogy szervezetük mindig ugyanolyan biztonsági szigorral kezeli az ügynök jellegű munkavállalókat, mint az emberi munkavállalókat. A lánc utolsó kontrollját nem lehet az elsőként alkalmazni, hogy ezzel pótolják a hiányt.
Mit tegyenek a következő 30 napban
- Kezdjék 10 éles ügynökkel. Mindenről rögzítsék a tulajdonost, a célt, a jóváhagyott eszközöket és a hitelesítési forrásokat. Így megszületik egy alap agent-regiszter és az első kormányzati meglátások.
- Teszteljék az attribúciót: képesek-e az IAM és a naplók megkülönböztetni az ügynököt a delegáló embertől vagy szolgáltatástól? Ha nem, a gateway láthatatlanul működne.
- Kíséreljenek meg rekonstruálni egy teljes ügynökfeladatot a láncban — kezdeményezéstől a downstream hatásig. Ahol a lánc megszakad, ott van hiányosságuk.
Összefoglalásként: a downstream érvényesítés hozzáadása a szükséges upstream kontextus helyett rontja az ügynökbiztonságot. Az érettségi modellek a célállomást írják le; a helyes építési sorrend viszi el odáig anélkül, hogy működés közben sérülést okozna.
Nik Kale principal engineer, aki vállalati AI-platformokkal és biztonsággal foglalkozik.
