Заметки о построении агентных систем
Стенды для оценки, паттерны оркестрации, проектирование памяти и стоящие за ними неудачи — описано, пока детали ещё свежи.
Сохранение доступа после завершения запуска: почему учётные данные агента живут дольше своей задачи
Учётные данные агента часто остаются действительными после завершения задачи. Реальный разрыв — между завершением запуска и истечением срока действия учётных данных, а не между наймом и увольнением.
Журналы исходящего трафика: фиксируем, куда агент ходил, а не только что он отправил
Инспекция содержимого видит полезную нагрузку, но не пункты назначения. Журнал исходящего трафика фиксирует, куда агент ходил, в каком порядке и насколько новым был каждый переход.
Бюджеты исходящего трафика агента: скорость — не то же самое, что охват
Лимиты скорости ограничивают, как быстро действует агент, но не куда. Контроль исходящего трафика должен быть бюджетом назначений и возможностей, применяемым на прокси и сверяемым после каждого запуска.
Устаревшие системы — это проблема усиления агентов
Агенты не изобретают новые уязвимости в устаревших системах; они повышают пропускную способность эксплуатации. Решение — ограничения по скорости и области на границе агента, а не переписывание.
Намерение — недостающий сигнал в телеметрии безопасности агентов
Стеки безопасности логируют, что делают агенты, а не то, что они намереваются сделать. Превращение заявленного намерения в подписанный, доступный для запросов артефакт закрывает этот пробел.
Агент, достигающий государственного портала, — это сбой маршрутизации
Несанкционированный доступ пресекается в точке выхода, а не в промпте. Каждому парку агентов нужна одна аудируемая сетевая граница, отказы которой являются полноценными событиями.
Утечка выходных данных — это сбой происхождения, а не сбой выравнивания модели
Когда агент публикует пользовательские артефакты, которые он не должен был экспортировать, дефект заключается в отсутствии отслеживания происхождения и заражения данных, поступающих в сгенерированный вывод.
Неуправляемый агент — это отсутствующий контракт исходящего трафика, а не неуправляемая модель
Когда агент достигает постороннего хоста, сбой заключается в разрыве между сетью и полномочиями. Решение — явный контракт исходящего трафика, применяемый на уровне сокета, а не более совершенная модель.
Интент во время выполнения побеждает статические списки разрешений для исходящих вызовов агента
Статические списки разрешений не успевают за составными вызовами инструментов агента. Проверка интента во время выполнения ловит то, что пропускает фильтрация по назначению, — если проверка остаётся достаточно дешёвой для горячего пути.