Что решает идентичность и что она оставляет открытым
Инфраструктура выдачи учётных данных для автономных агентов быстро развилась, и лежащие в её основе примитивы в основном устоялись. Федерация идентичности рабочих нагрузок позволяет работающему агенту получить краткосрочные учётные данные без долгоживущего секрета. Выпуск и ротация токенов автоматизированы. Отзыв распространяется за секунды. Ограничение аудитории и утверждения области действия сужают, кому может быть предъявлен токен. Это реальные меры контроля, и любая платформа агентов, которая их игнорирует, совершает невынужденную ошибку.
Но токен с ограниченной областью действия отвечает на один вопрос: может ли этот субъект вызвать эту конечную точку. Он не отвечает на вопрос, важный операционно: соответствует ли эта последовательность вызовов задаче, которую запросил пользователь. Токен может быть совершенно действительным, правильно ограниченным по области действия, неистёкшим и неотозванным, в то время как траектория, в которой он участвует, делает то, что пользователь никогда не санкционировал.
Разрыв композиции
Полномочия накапливаются по ходу траектории. Именно это свойство ломает принцип наименьших привилегий на уровне конечных точек. Предположим, у агента есть токен, разрешающий чтение записи клиента, и токен, разрешающий запись в систему тикетов. Оба узкие. Ни один из токенов не ограничивает, сколько записей будет прочитано, в каком порядке или что будет записано после чтений. Агент, который читает десять тысяч записей по одному вызову за раз, никогда не превышает свою область действия ни в одном отдельном вызове. Объём, направление потока данных и комбинация источников — всё это вне того, что может выразить грамматика учётных данных.
Делегирование расширяет разрыв. Оркестратор, который может выпускать субучётные данные для рабочих агентов, фактически может расширить собственный охват: ему не нужен более широкий токен, ему нужно выпустить несколько узких и скоординировать их. Проверка области действия на каждой конечной точке проходит. Эффективные полномочия роя — это объединение всего, что он выпустил, и ничто в пути выпуска не оценивает это объединение относительно исходной задачи.
Это не изъян систем идентичности. Это граница категории. Идентичность — о том, кто вызывает. Разрыв — о том, что дают вызовы в сумме.
Намерение как единица политики
Контроль, закрывающий разрыв, состоит в том, чтобы сделать единицей политики намерение, а не идентичность. Объявите намерение задачи вместе с учётными данными в форме, которую может оценить движок политик: что запросил пользователь, какие классы данных входят в область действия, какие пункты назначения легитимны, какова ожидаемая форма траектории. Затем оценивайте каждый предлагаемый вызов инструмента относительно этого намерения, а не только относительно области действия вызывающего.
Конкретно: точка принятия политических решений перед вызовом инструмента получает предлагаемый вызов плюс траекторию на данный момент и возвращает «разрешить», «запретить» или «требовать одобрения». Объявление намерения — это структурированный объект, а не прозаический промпт, поэтому решение воспроизводимо и поддаётся аудиту. Вызов, который по отдельности разрешён, но несовместим с объявленным намерением, отклоняется. Чтение одной записи клиента для ответа на вопрос поддержки совместимо. Чтение всей таблицы — нет, хотя один и тот же токен разрешает и то, и другое.
Намерение должно подтверждаться заново, а не наследоваться бесконечно. Траектория, которая меняет форму — потому что пользователь добавил требование, потому что был порождён субагент или потому что план был пересмотрен, — должна нести свежее подтверждение намерения с собственной областью действия и собственным сроком действия. Бесконечное наследование исходного намерения — это то, как узкая задача тихо становится широкой. Компромисс реален: повторное подтверждение добавляет трение и задержку, а слишком строгий движок политик будет блокировать легитимную работу. Честная позиция такова: политика на уровне намерения обменивает часть пропускной способности на ограничение совокупного эффекта, и это ограничение и есть сут
Во-первых, точка принятия политических решений перед вызовом инструмента, с траекторией в качестве контекста. Это единственное место, которое может увидеть композицию до её завершения. Ей нужно объявленное намерение, история вызовов и способ классифицировать классы данных и пункт назначения предлагаемого вызова. Решение должно регистрироваться вместе с идентификатором траектории, чтобы расхождение можно было восстановить позже.
Во-вторых, контроль исходящего трафика по объёму данных и классу пункта назначения, независимо от того, какой агент вызывает. Ограничения объёма и списки разрешённых пунктов назначения не зависят от идентичности, и именно поэтому они переживают делегирование: субагент, выпущенный пять минут назад, подчиняется тем же ограничениям исходящего трафика, что и оркестратор. Это контроль, который ловит паттерн «чтение — агрегация — экспорт», даже когда каждый отдельный вызов был в рамках политики.
В-третьих, аварийные выключатели, которые отзывают траекторию, а не просто учётные данные. Отзыв токена останавливает одного субъекта. Отзыв траектории останавливает работу, включая субагентов, которые её унаследовали, и любые вызовы в очереди, которые ещё не выполнились. Эти две меры не заменяют друг друга. Учётные данные можно ротировать, и траектория может продолжиться под новыми; отзыв траектории должен быть тем, что действительно останавливает работу.
Что измерять
Контроль, который не измеряется, деградирует. Стоит отслеживать четыре числа, и ни одно из них не требует изобретения базовой линии.
- Процент вызовов инструментов, оцениваемых с контекстом траектории, а не только по идентичности. Это метрика покрытия, и она должна приближаться ко всей поверхности для любого агента, который может касаться данных.
- Количество траекторий, остановленных из-за расхождения с намерением, вместе с частотой ложных срабатываний этого контроля. Контроль, который останавливает легитимную работу, будет отключён теми, кто его эксплуатирует, поэтому частота ложных срабатываний не является опциональной.
- Время от обнаружения расхождения до отзыва. Обнаружение без своевременного отзыва — это телеметрия, а не контроль.
- Доля траекторий, которые подтверждают намерение заново после изменения формы, что говорит о том, держится ли дисциплина повторного подтверждения.
Заключение
Более сильная аутентификация на входе не ограничивает агента, потому что вход — не то место, где реализуются полномочия. Полномочия реализуются в последовательности вызовов инструментов, совокупный эффект которых не выражается ни одними учётными данными. Платформы идентичности следует внедрять и сохранять; они необходимы и недостаточны. Контроль, соответствующий режиму отказа, — это политика на уровне намерения, оцениваемая для каждой траектории, с ограничениями исходящего трафика и отзывом в масштабе траектории за ней. Это более сложная инженерная задача, чем выпуск токена с ограниченной областью действия, и именно на неё продолжают указывать инциденты.