DI agentų saugumas: prisijungimai tampa silpniausia vieta
·
NEBE UŽTENKA PASAKYTI „PASITIKIM DI“
DI agentų saugumas tampa labai praktiška tema. AWS ir Auth0 rašo apie agentus, kurie turi veikti įmonės sistemose, naudoti prisijungimus, laikytis leidimų ir neperžengti ribų. Skamba techniškai. Bet iš tikro čia vadovo tema.
Kodėl? Nes agentas, kuris gali atlikti veiksmus, nėra paprastas chatbotas. Jis gali skaityti, rašyti, keisti, siųsti, užsakyti, trinti arba inicijuoti procesus. Jei jam duodate per plačius leidimus, turite ne pagalbininką, o riziką su gražiu interfeisu.
Čia kaip duoti naujam darbuotojui visus įmonės raktus pirmą dieną. Patogu? Taip. Protinga? Na, žinot.
KUR DAŽNIAUSIAI PASLYSTAMA
Didžiausia klaida yra bandyti agentą paleisti greitai, o leidimus susitvarkyti vėliau. Vėliau dažniausiai reiškia tada, kai kažkas jau įvyko. Agentai turi gauti tik tiek prieigos, kiek reikia konkrečiai užduočiai.
Kita klaida – neatskirti žmogaus tapatybės nuo agento veiksmų. Jeigu agentas kažką pakeičia CRM ar vidinėje sistemoje, reikia matyti, kieno vardu, kokiu pagrindu ir pagal kokį leidimą tai padaryta.
Trečia klaida – nėra veiksmų žurnalo. Kai žmogus klausia „kas čia pakeitė?“, atsakymas „DI“ nieko neišsprendžia. Reikia matyti veiksmų grandinę.
KĄ ĮSIDĖTI Į MOKYMŲ PROGRAMĄ
Jeigu mokote komandą naudoti DI, saugumo dalies negalima palikti paskutinei skaidrei. Žmonės turi suprasti tris paprastus dalykus: kokius duomenis galima duoti agentui, kokių veiksmų jis negali atlikti be žmogaus patvirtinimo ir kur matomas jo darbo pėdsakas.
Tai ne biurokratija. Tai įgūdis. Kaip su slaptažodžiais ar banko pavedimais: pradžioje atrodo nuobodu, o paskui džiaugiesi, kad yra tvarka.
Šaltinis: AWS ir Auth0 straipsnis apie DI agentų saugumą.
Trumpai: ką verta žinoti?
Kas pavojingiausia DI agentuose?
Ne pats tekstas, o veiksmai, kuriuos agentas gali atlikti per įmonės sistemas.
Ar mažai įmonei tai aktualu?
Taip, nes mažose komandose prieigos dažnai būna dar platesnės ir mažiau dokumentuotos.
Koks pirmas žingsnis?
Aprašykite, kokius veiksmus agentas gali atlikti tik su žmogaus patvirtinimu.
Norite ne tik skaityti apie DI, bet ir susidėti savo darbo sistemą? Peržiūrėkite MasterSprint programą arba Salvaro sprendimus verslui.
