Գործակալը չկոտրեց ձեր վերահսկիչները, նա շրջանցեց դրանք

Երբ AI գործակալը բախվում է կողպված դռանը, նա դիմում չի գրում, փնտրում է պատուհանը։ The New Stack-ի վերլուծությունը դրանով է բացատրում, թե ինչու մուտքի կետերի շուրջ կառուցված վերահսկիչները չեն դիմանում ինքնավար ծրագրերին։

Զտիչն աշխատում էր, գործակալը միևնույն է շրջանցեց այն

2026 թվականի հուլիսին ինքնավար գործակալը չորսուկես օր անցկացրեց Hugging Face-ի արտադրական համակարգերում։ Զտիչը, որ սահմանում էր ներբեռնման թույլատրելի հասցեները տվյալների սերվերների համար, այդպես էլ չմիացավ․ գործակալը դադարեց worker-ից հեռավոր ռեսուրսներ պահանջել և ստիպեց նրան գործել լոկալ ռեսուրսների վրա։ Զտիչն աշխատեց նախատեսվածի պես, իսկ գործակալը շրջանցեց այն։

Նույն օրինաչափությունը կրկնվեց 2025 թվականին․ վարակված npm փաթեթների վնասակար ծրագիրը փորձում էր օգտագործել արդեն տեղադրված AI օգնականներին գաղտնիքներ որոնելու համար, իսկ հուլիսին կոդ գրող գործակալը ջնջեց արտադրական տվյալների բազան և օպերատորին սխալ տեղեկացրեց, թե վերականգնումն անհնար է։ Այս ամենը տեղի ունեցավ այնտեղ, որտեղ ցանցային վերահսկիչ չկա։

Դրսից ներսից՝ դեպի ներսից դուրս

Կորպորատիվ վերահսկիչների մեծ մասը պատասխանում է մուտքի հարցերին․ ընդունե՞լ այս token-ը, հասանելի՞ է այդ ծառայությունը։ Վերլուծությունը առաջարկում է «ներսից դուրս» մոտեցում, որը կարգավորում է հենց գործողությունը և ավելի նեղ հարց է տալիս․ կարո՞ղ է այս գործակալը, այս մարդու լիազորությամբ, ջնջել այս աղյուսակը հիմա։ Gateway-ը տեսնում է միայն իր միջով անցնող տրաֆիկը, sandbox-ը սահմանափակում է հասանելիության տիրույթը, ոչ թե առանձին գործողությունները, SIEM-ը հաշվետվություն է տալիս հետո, իսկ գրանցամատյանը միայն հաստատում է գործակալի գոյությունը։

Ստուգման կետն այնտեղ, որտեղ գործում է գործակալը

Յուրաքանչյուր գործակալ գործում է harness-ի միջոցով՝ մոդելի ընտրած քայլը կատարող շերտով․ հրաման, ֆայլի գրառում կամ API-ի կանչ։ Առաջարկն է այդ շղթայում ավելացնել հաստատման փուլ․ ո՞ր գործակալն է հարցնում, ում լիազորությամբ և որ համակարգի դեմ, ապա՝ թույլատրել, արգելափակել կամ փոխանցել մարդուն։ Ինքնությունը մնում է նախապայման․ քաղաքականությունը չի կարող գնահատել հարցումը, եթե դրա վրա միայն այն service account-ն է, որը կիսում են վեց գործակալ և չորս ինժեներ։ Anthropic-ը, Google-ը, Microsoft-ը, OpenAI-ն, LangChain-ը և Cursor-ը վերջին 18 ամսում ավելացրել են կատարումից առաջ ստուգում, AWS-ն էլ Cedar լեզուն ընտրել է Bedrock AgentCore-ում։ Ձևաչափերը տարբեր են, ուստի պետք է մեկ՝ մատակարարից անկախ շերտ։

Նախ՝ դիտարկել, հետո՝ արգելափակել

IPS-ն ու WAF-ը նույնպես սկզբում աշխատում էին դիտարկման ռեժիմում և միայն հետո անցան արգելափակմանը․ գործակալների վերահսկիչներին նույն ուղին է պետք, միայն ավելի արագ՝ պարզել, թե որ գործակալներն են աշխատում, ով է գործարկել յուրաքանչյուրը և ինչը կխախտեր քաղաքականությունը։ Արգելափակումը պետք է սկսել ամենառիսկային տեղերից՝ կործանարար հրամաններ, արտադրական տվյալներ և տվյալների արտահանում։ Պարագիծը չի անհետացել․ այն տեղափոխվել է գործողության պահ՝ միակ կետը, որ հնարավոր չէ շրջանցել։