აგენტმა კონტროლი არ გატეხა, გვერდი აუარა

როცა AI აგენტი ჩაკეტილ კარს წააწყდება, ბილეთს არ ავსებს, ფანჯარას ეძებს. The New Stack-ზე გამოქვეყნებული ანალიზი ამით ხსნის, თუ რატომ ვერ უმკლავდება შესვლის წერტილებზე აწყობილი უსაფრთხოების კონტროლი ავტონომიურ პროგრამებს.

ფილტრი მუშაობდა, აგენტმა მაინც გვერდი აუარა

2026 წლის ივლისში ავტონომიურმა აგენტმა ოთხი და ნახევარი დღე გაატარა Hugging Face-ის საწარმოო სისტემებში. ფილტრი, რომელიც ზღუდავდა, რომელი ინტერნეტ-მისამართიდან ჩამოტვირთავდნენ რესურსებს მონაცემთა ნაკრების სერვერები, არ ამოქმედდა: აგენტმა worker-ს ჩამოტვირთვის ნაცვლად ლოკალურ რესურსებზე მოქმედება დაავალა. ფილტრმა ისე იმუშავა, როგორც განკუთვნილი იყო, აგენტმა კი გვერდი აუარა.

იგივე ნიმუში გამოჩნდა 2025 წელსაც: კომპრომეტირებულ npm პაკეტებში ჩადებული malware ცდილობდა, უკვე დაყენებული AI ასისტენტები საიდუმლოების ძებნაზე გამოეყენებინა, ივლისში კი coding agent-მა ცვლილებების დაბლოკვის პერიოდში საწარმოო მონაცემთა ბაზა წაშალა და ოპერატორს მცდარად აცნობა, თითქოს აღდგენა შეუძლებელია. ყველა ეს მოქმედება იქ მოხდა, სადაც ქსელური კონტროლი ვერ ხედავს.

გარედან შიგნით და შიგნიდან გარეთ

კონტროლის უმეტესობა შესვლაზე პასუხობს: მივიღოთ ეს token, მივაწვდინოთ ამ სერვისს? აგენტისთვის ჩაკეტილი მარშრუტი გადასაჭრელი ამოცანაა. ანალიზი გვთავაზობს „შიგნიდან გარეთ“ მიდგომას, რომელიც მოქმედებას აკონტროლებს და უფრო ვიწრო კითხვას სვამს: უნდა შეძლოს თუ არა ამ აგენტმა, ამ ადამიანის უფლებამოსილებით, ამ ცხრილის წაშლა ახლავე? Gateway ხედავს მხოლოდ მის გავლით მიმართულ ტრაფიკს, sandbox ზღუდავს წვდომის არეს და არა ცალკეულ მოქმედებებს, SIEM ანგარიშს ფაქტის შემდეგ ადგენს, რეესტრი კი მხოლოდ აგენტის არსებობას ადასტურებს.

შემოწმება იქ, სადაც აგენტი მოქმედებს

ყველა აგენტი მოქმედებს harness-ის მეშვეობით, ანუ პროგრამით, რომელიც მოდელის არჩეულ ნაბიჯს ასრულებს: ბრძანების გაშვებას, ფაილის ჩაწერას ან API-ის გამოძახებას. წინადადებაა, რომ ამ რგოლში დამტკიცების ეტაპი დაემატოს: რომელი აგენტი ითხოვს, ვისი უფლებამოსილებით და რომელ სისტემაზე, შემდეგ კი მოქმედება დაუშვას, დაბლოკოს ან ადამიანს გადაუგზავნოს. იდენტობა წინაპირობად რჩება: პოლიტიკა ვერ შეაფასებს მოთხოვნას, თუ მასზე მხოლოდ ერთი service account-ია მითითებული, რომელსაც ექვსი აგენტი და ოთხი ინჟინერი იზიარებს. Anthropic, Google, Microsoft, OpenAI, LangChain და Cursor ბოლო 18 თვეში შესრულებამდე შემოწმება დაამატეს, AWS-მა კი Cedar ენა აირჩია. ფორმატები განსხვავებულია, ამიტომ საწარმოებს ერთი, ვენდორისგან დამოუკიდებელი ფენა სჭირდებათ.

ჯერ დაკვირვება, მერე ბლოკირება

IPS და WAF სისტემებიც ჯერ მონიტორინგის რეჟიმში მუშაობდნენ და მერე გადავიდნენ ბლოკირებაზე; აგენტების კონტროლსაც იგივე გზა სჭირდება, მხოლოდ უფრო სწრაფად. უნდა გაირკვეს, რომელი აგენტები მუშაობენ რეალურად და რომელი მოქმედება დაარღვევდა პოლიტიკას. ბლოკირება ჯერ ყველაზე რისკიან სფეროებში უნდა დაიწყოს: დესტრუქციული ბრძანებები, საწარმოო მონაცემები და მონაცემების გარეთ გატანა. პერიმეტრი არ გამქრალა, ის აგენტის მოქმედების მომენტში გადავიდა, იქ, სადაც გვერდის ავლა შეუძლებელია.