Zbudowanie agenta AI jest łatwe. Bezpieczne wdrożenie już nie.

Każdy agent ma własną tożsamość

Każdy agent blueclip ma odrębną tożsamość, przypisaną rolę oraz zakres uprawnień dopasowany do wykonywanego zadania. Agenci nie korzystają swobodnie ze wspólnych haseł i kluczy, a uprawnienia jednego agenta nie przechodzą automatycznie na innych. Dzięki temu można ustalić:

• Który agent uzyskał dostęp do danych
• Na podstawie czyjego upoważnienia działał
• Jaki cel biznesowy realizował
• Z jakich systemów i informacji korzystał
• Jaką rekomendację przygotował lub jakie działanie wykonał
• Czy pozostał w granicach przyznanych uprawnień

Agenci AI nie mają stałego dostępu

Agenci blueclip rozpoczynają działanie bez z góry nadanego dostępu. Narzędzia potrzebne do wykonania zadania są udostępniane dopiero w momencie jego uruchomienia i ograniczone do organizacji zlecającej, uprawnionego użytkownika oraz konkretnego celu.

Agent nie może samodzielnie się uwierzytelnić, uzyskać nowych danych dostępowych, podłączyć kolejnego systemu ani zachować dostępu po zakończeniu zadania. Jeżeli potrzebuje informacji zewnętrznych, może korzystać wyłącznie z zatwierdzonych stron, domen, interfejsów lub źródeł danych udostępnionych dla danego zadania. Nie może swobodnie przeglądać internetu ani samodzielnie rozszerzyć zakresu dostępu.

Dzięki temu przejęty lub zmanipulowany agent nie dysponuje stałą pulą danych dostępowych, narzędzi i połączeń, które mógłby wykorzystać.

Agent nie może mieć większych uprawnień niż użytkownik

Agent blueclip działa w granicach uprawnień użytkownika, który go uruchomił lub w imieniu którego wykonywane jest zadanie. Jeżeli użytkownik nie ma dostępu do danych finansowych, agent również nie może ich odczytać. Jeżeli użytkownik może przeglądać zamówienia, ale nie może ich zatwierdzać, agent nie zatwierdzi ich w jego imieniu. Nie może też obejść tego ograniczenia przez wykorzystanie innego narzędzia lub przekazanie zadania kolejnemu agentowi.

Uprawnienia użytkownika wyznaczają maksymalną granicę dostępu. blueclip może dodatkowo zawęzić zakres działania agenta, ale nigdy go nie rozszerza ponad to, co wolno użytkownikowi. W praktyce oznacza to dwupoziomową kontrolę:

• Użytkownik musi być uprawniony do dostępu do określonych danych lub wykonania danej czynności.
• Agent musi mieć odrębne uprawnienie do wykorzystania tego dostępu w ramach konkretnego zadania.

Działanie jest możliwe tylko wtedy, gdy spełnione są oba warunki. Dzięki temu agent nie staje się sposobem na obejście obowiązujących w firmie ról, ograniczeń dostępu ani podziału odpowiedzialności.

Uprawnienia są egzekwowane na poziomie konkretnego działania

Agent zajmujący się zapasami nie powinien po prostu otrzymać „dostępu do SAP”. Jego uprawnienia mogą być ograniczone do konkretnych zakładów, materiałów, transakcji i czynności. Agent może odczytać dane o zapasach, zarekomendować przesunięcie materiału i przygotować projekt dokumentu, a jednocześnie nie mieć prawa do zatwierdzenia ani zwolnienia transakcji do realizacji.

W blueclip odczyt, zapis i zatwierdzenie stanowią odrębne zakresy uprawnień. Każde działanie wymaga osobnej zgody. Agent może więc analizować dane bez możliwości ich zmiany albo przygotować transakcję bez prawa do jej zatwierdzenia lub wykonania. Zakres uprawnień można ograniczyć według:

• Systemu
• Rodzaju działania
• Jednostki biznesowej
• Lokalizacji
• Wartości finansowej
• Poziomu ryzyka
• Rodzaju wyjątku

blueclip zapewnia również trzy technicznie egzekwowane poziomy autonomii:

Poziom autonomii może rosnąć wraz z potwierdzaniem jakości decyzji agenta i wzrostem zaufania do jego działania. Firma nie musi wybierać między chatbotem, który nie może niczego wykonać, a agentem posiadającym nieograniczone uprawnienia.

Komunikacja między agentami podlega regułom

Nawet jeżeli każdy agent ma ograniczone uprawnienia, ich swobodna współpraca może zwiększyć możliwości całej grupy. Agenci mogą wymieniać informacje, delegować zadania, wpływać na swoje cele albo próbować łączyć posiadane uprawnienia. Dlatego w blueclip określa się, którzy agenci mogą się komunikować, jakie informacje mogą sobie przekazywać i czy jeden agent ma prawo wydawać polecenia drugiemu. Komunikacja odbywa się przez zatwierdzone i monitorowane kanały, a źródło każdej instrukcji można prześledzić. Zadania i środowiska poszczególnych klientów pozostają odseparowane. Agent nie może samodzielnie utworzyć nowej relacji, przyjąć polecenia od nieuprawnionego agenta ani delegować zadania poza zatwierdzoną strukturą.

Agent nie kontroluje własnego śladu audytowego

blueclip niezależnie rejestruje cel zadania, wykorzystane dane, przygotowane rekomendacje, otrzymane zatwierdzenia, żądane narzędzia, faktycznie wykonane działania, zmienione transakcje, komunikację między agentami oraz napotkane wyjątki. Platforma zapisuje nie tylko to, o co agent poprosił, lecz również to, co rzeczywiście wydarzyło się na poziomie integracji i systemu źródłowego. Agent nie może edytować, wyłączyć ani zastąpić głównego zapisu swojej aktywności. Ma to szczególne znaczenie po tym, jak podczas testu OpenAI agenci opracowali sposoby fałszowania wyników działania narzędzi i próbowali manipulować historią swojej aktywności. Jeżeli agent może wpływać na dowody wykorzystywane do jego oceny, nie mamy do czynienia z niezależnym audytem.

Monitoring obejmuje całe środowisko, a nie tylko jednego agenta

blueclip pozwala wykrywać między innymi zachowania, które nabierają znaczenia dopiero patrząc na nie łącznie:

• Powtarzające się próby uzyskania dostępu do zastrzeżonych informacji
• Szukanie alternatywnej drogi po odrzuceniu dostępu
• Nietypowy wzrost komunikacji między agentami
• Nieoczekiwane udostępnianie danych lub wyników
• Kierowanie przez jednego agenta dużą liczbą innych agentów
• Skoordynowane działania zmierzające do obejścia jednego zabezpieczenia
• Próby rozszerzenia pierwotnego zakresu zadania lub aktywność niezwiązana z zatwierdzonym celem
• Próby ingerowania w logi, monitoring lub proces zatwierdzania

Agent może bezpiecznie zakończyć zadanie bez wyniku

blueclip ogranicza liczbę ponawianych prób, czas i zakres działania oraz możliwość poszukiwania alternatywnych dróg. Jeżeli agent nie może wykonać zadania w ramach swoich uprawnień, musi przekazać je człowiekowi, poprosić o zgodę albo zakończyć działanie z informacją, że zadania nie można bezpiecznie zrealizować. Nie może samodzielnie rozszerzyć zakresu, szukać nowych danych dostępowych, połączyć się z niezwiązanym systemem ani poprosić innego agenta o obejście ograniczenia. Bezpieczne zatrzymanie jest prawidłowym wynikiem działania, a nie porażką, którą agent powinien przezwyciężyć za wszelką cenę. Ma to szczególne znaczenie, gdy agent jest oceniany na podstawie określonych wskaźników. Źle zaprojektowany cel może zachęcać do coraz bardziej agresywnego poszukiwania sposobu osiągnięcia wyniku, zwłaszcza gdy prawidłowa droga została zablokowana.

Klient może natychmiast zatrzymać działanie

W blueclip klient może wstrzymać pojedynczego agenta, cały proces, konkretne połączenie z systemem lub aktywność w całym swoim środowisku. Dostęp może zostać odebrany, podejrzany element odizolowany, a wyznaczone osoby powiadomione. Jeżeli system źródłowy na to pozwala, wykonane działania można również cofnąć. W środowisku wieloagentowym zatrzymanie jednego agenta może nie wystarczyć, jeżeli zdążył on już przekazać informacje lub instrukcje innym. Dlatego zabezpieczenia muszą działać na poziomie całej sieci, a nie tylko pojedynczego agenta.

Dane klienta są chronione przez pięć niezależnych warstw izolacji

blueclip egzekwuje granice między organizacjami niezależnie na pięciu poziomach:

• Brama uwierzytelniania. Każde żądanie wymaga prawidłowo zweryfikowanej tożsamości.
• Kontrola zakresu dostępu na poziomie API. Każdy interfejs sprawdza tożsamość organizacji i odrzuca próby dostępu do danych innego klienta.
• Ograniczenie narzędzi AI. Narzędzia są udostępniane agentowi dopiero podczas wykonywania zadania i obejmują wyłącznie dane organizacji, która je zleciła.
• Bezpieczeństwo na poziomie rekordów w bazie danych. Granice między klientami są egzekwowane bezpośrednio w bazie, niezależnie od logiki aplikacji.
• Szyfrowanie. Dane są chronione zarówno podczas przechowywania, jak i przesyłania; dostępne są także odrębne klucze szyfrujące dla poszczególnych klientów.

Każda warstwa stanowi osobne zabezpieczenie. Jeżeli jedna z nich zawiedzie, pozostałe nadal chronią przed dostępem do danych innej organizacji. Pamięć przedsiębiorstwa również pozostaje odizolowana dla każdego klienta: zasady firmy, procesy, procedury operacyjne i ograniczenia nie są udostępniane innym organizacjom, a klient może je aktualizować, poprawiać lub usuwać. Dane klientów nie są wykorzystywane do trenowania ani dostrajania modeli AI.