Başarısızlık modu model değil, ortamdaki kimlik bilgisidir
Bir agent, bir insanın OAuth oturumuna bağlandığında o insanın niyetini devralmaz. O insanın kapsamını devralır. "E-posta gönderme" diyen bir system prompt, stokastik bir süreç için bir öneridir; yetkilendirme sunucusu tarafından uygulanan bir kısıt değildir. Model hizalanmış olabilir, prompt dikkatli yazılmış olabilir ve agent yine de kimlik bilgisinin yasal olarak yapmaya yetkili olduğu bir isteği gönderebilir.
Bunun pratik sonucu, prompt injection ile ayrıcalık yükseltmesinin artık ayrı kategoriler olmaktan çıkmasıdır. Enjekte edilen bir talimatın modeli kırması gerekmez. Yalnızca ortamdaki token'ın zaten yetkilendirdiği bir tool call'a ulaşması yeterlidir. Model, konuşma başlamadan önce verilmiş bir yetki için yönlendirme katmanı haline gelir.
Bu yüzden "e-posta gönderme" bir erişim kontrolü ilkel öğesi değildir. Erişim kontrolü ilkel öğeleri scope'lar, audience'lar, son kullanma süreleri ve kaynak kısıtlarıdır. Bunlar token'da ve broker'da yaşar, talimat metninde değil. Bir prompt, uygulama noktası olmayan bir politika ifadesidir. Başarısız olduğunda denetim olayı yoktur, reddetme yoktur, iptal yoktur.
Etki alanı kimlik bilgisi sınıfına göre değişir. Dar ve kısa ömürlü bir scope'a sahip sızdırılmış bir agent token'ı, son kullanma tarihine kadar sınırlı bir kaynak kümesini okuyabilir. Sızdırılmış bir kullanıcı oturumu ise, kimlik sağlayıcısına güvenen her hizmette — parola sıfırlama, faturalandırma ve veri dışa aktarma dahil — insan olarak hareket edebilir. Agent token'ı sınırlı bir araçtır; kullanıcı oturumu bir ana anahtardır. İkisini birleştiren sistemler, her agent turunda ana anahtarın etki alanını devralır.
Birinci sınıf bir artefakt olarak yetki bütçeleri
Bir yetki bütçesi, bir agent'ın neler yapabileceğinin, çalışma zamanının uygulayabileceği birimlerle ifade edilmiş bildirimsel bir tanımıdır. Bir prompt değildir ve bir rol tanımı değildir. Agent ile birlikte gönderilen, agent kodunun bulunduğu aynı depoda sürümlenen ve tool bağlamalarını inceleyen aynı kişilerce incelenen yapılandırmadır.
Kullanışlı bir bütçenin en az dört boyutu vardır:
- Harcama: parasal işlemler üzerinde görev başına ve pencere başına bir üst sınır; broker'ın aşmayı reddettiği katı bir limit olarak ifade edilir.
- Mesaj hacmi: pencere başına giden mesajlar, davetler veya bildirimler üzerinde bir üst sınır; böylece ele geçirilmiş bir agent posta kutusunu yükseltici olarak kullanamaz.
- Yazma işlemleri: mutasyonlar için bir sayı ve kaynak kapsamı; okumalardan ayrı tutulur.
- Dış çağrılar: hedef başına hız limitleriyle birlikte bir hedef izin listesi; böylece veri sızdırma, önceden onaylanmış bir hedef gerektirir.
Bütçe, okuma yetkisini yazma yetkisinden ve geri alınamaz yetkiden ayırmalıdır. Bir takvimi okumak, bir etkinliği silmekle aynı eylem sınıfı değildir. Bir taslak göndermek, bir mesaj göndermekle aynı değildir. Bir kanala gönderi paylaşmak, para transferi yapmakla aynı değildir. Her sınıf kendi tahsisini, kendi son kullanma süresini ve kendi kontrol noktası politikasını alır.
Somut bir mekanizma: agent süreci hiçbir zaman uzun ömürlü bir sır tutmaz. Görev başlangıcında kimliğini ve talep edilen yetenek kümesini bir broker'a sunar. Broker, isteği agent'ın kayıtlı bütçesine göre doğrular, tam olarak o yeteneklere ve kaynaklara kapsamlandırılmış kısa ömürlü bir token üretir ve döndürür. Token bir audience, dakika cinsinden ölçülen bir son kullanma süresi ve bir bütçe tanımlayıcısı taşır. Her alt çağrı bu token'ı sunar. Broker yalnızca çağrıyı değil, tahsisi de kaydeder.
Dürüst ödünleşim gecikme ve karmaşıklıktır. Bir broker gidiş-dönüşü her görevin kritik yolunda yer alır ve bütçe dosyası gerçeklikten sapabilecek bir başka artefakt haline gelir. "Basit" agent'lar için broker'ı atlayan ekipler, genellikle basit agent bir posta kutusu ve bir ödeme yöntemi edindikten sonra, olay baskısı altında ortamdaki kimlik bilgilerini yeniden devreye sokar.
İlk tool call'dan önce angajman kuralları
Kayıt, angajman kurallarını beyan etmek için doğru andır. Kayıt sırasında agent izin verilen tool'larını, izin verilen hedeflerini ve gerekli insan kontrol noktalarını beyan eder. Broker bu beyanı saklar ve tahsis anında uygular. Beyan edilmemiş bir tool, model ne üretirse üretsin çağrılamaz.
İnsan kontrol noktaları aynı beyana aittir. Geri alınamaz bir işlem, bir insan onaylayıcı kimliği eklenmiş ikinci bir tahsis gerektirebilir. Onay bir sohbet mesajı değil, imzalı bir artefakttır; böylece incelemede yeniden oynatılabilir.
Aracılık katmanı tasarımı bundan doğar. Üç özellik önemlidir:
- Agent hiçbir zaman ham sırrı tutmaz. Bir tahsise referans tutar.
- Broker, referansı kısa ömürlü kapsamlandırılmış bir token ile değiştirir. Değişim, uygulama noktasıdır.
- Kayıt tahsisi yakalar: kim talep etti, hangi yetenek için, hangi kaynağa karşı, hangi bütçeyle ve hangi onaylayıcı imzaladı. Cal
Bir tahsis kaydı, "agent bir e-posta gönderdi" ile "agent, alıcı X için bütçe B kapsamında gönderme yetkisi talep etti ve beyan buna izin verdiği için broker bunu tahsis etti" arasındaki farktır. İkinci ifade incelenebilir. Birincisi bir söylentidir.
Burada gerçek bir maliyet vardır: tahsis kaydı, saklanması, indekslenmesi ve çağrı kayıtlarıyla ilişkilendirilmesi gereken ikinci bir olay akışı üretir. Daha fazla depolama ve daha fazla sorgu yüzeyi demektir. Alternatif ise, yanlış yapılandırılmış bir bütçeyi başarılı bir injection'dan ayırt edemeyen bir olay incelemesidir.
İptal ve yanlış yapmanın operasyonel maliyeti
Rotasyon gecikmesi, olayın ciddiyetini belirler. Bir agent'ın yetkisini iptal etmek saatler alıyorsa, model ne kadar hızlı yamalanırsa yamalansın olay penceresi saatlerdir. İptal, bir tahsis ailesini ve ondan türetilen token'ları geçersiz kılan tek bir broker işlemiyse, pencere token son kullanma süresi artı yayılma süresine iner.
Bu, iptali bir runbook adımı değil, bir tasarım kısıtı haline getirir. Broker şunları desteklemelidir:
- Tahsis iptali: belirli bir tahsisi ve ondan üretilen tüm token'ları geçersiz kılma.
- Bütçe iptali: bir bütçe tanımlayıcısı altındaki her tahsisi geçersiz kılma.
- Agent iptali: bir agent kimliği için her tahsisi geçersiz kılma.
- Anahtar rotasyonu: tam bir yeniden dağıtım olmadan broker imzalama anahtarlarını yeniden düzenleme.
İptal yolları yalnızca üretim runbook'larında değil, değerlendirme harness'ında da yer almalıdır. Bir harness, bir iptal olayından sonra önceden geçerli bir token'ın sınırlı sayıda istek içinde reddedildiğini ve reddin tahsis tanımlayıcısıyla kaydedildiğini doğrulayabilir. Bu test edilebilir bir özelliktir. Bunu bir runbook maddesi olarak ele almak, ilk kez bir olay sırasında test edilmesi anlamına gelir.
Kalan risk sosyal mühendisliktir ve kapsamlandırmayla ortadan kalkmaz. Kapsamlandırılmış bir agent, meşru yetkisini kullanıcının çıkarına aykırı biçimde kullanmaya hâlâ yönlendirilebilir: onaylanmış bir alıcıya inandırıcı bir mesaj göndermek, okumasına izin verilen bir belgeyi okuyup izin listesindeki saldırgan kontrollü bir hedefe özetlemek. Kapsamlandırma etki alanını azaltır; içerik düzeyinde inceleme, alıcı onayı veya hız anomalileri ihtiyacını ortadan kaldırmaz.
Tasarım sonucu dar ve yük taşıyıcıdır. Tasarım birimi yetenek tahsisidir. Prompt'lar davranışı tanımlar; tahsisler onu kısıtlar. Tahsisi yapılandırma olarak ele alan, sürümleyen, inceleyen ve iptal yolunu test eden sistemler, aksi halde ayrıcalık yükseltme olayına dönüşecek injection girişimlerini atlatacaktır. Prompt'u kontrol düzlemi olarak ele alan sistemler ise politikanın başından beri kimlik bilgisi olduğunu keşfetmeye devam edecektir.