Uyuyan Agent'lar Anahtarlarını Koruyor: Yaşam Döngüsü Aşaması Olarak Kimlik Bilgisi Geri Kazanımı

Bulgu ve çerçeveleme sorunu

Envanter araştırmalarından tekrar eden bir sonuç, konuşlandırılmış agent'ların çoğunun hiçbir şey yapmadığıdır. Arrakis, agent filoları analizinde, incelenen envanterlerdeki agent'ların çoğunluğunun uyku durumunda olduğunu, ancak yine de kimlik bilgilerini ve alt sistemlere canlı bağlantılarını koruduğunu bildiriyor. Sayı, sorunun şeklinden daha az önemli: envanterin etkin yüzeyi ile yetkilendirilmiş yüzeyi birbirinden ayrılmış durumda.

Bu ayrışma kaza eseri değil, yapısaldır. Uyku durumu, çağrıları kaydeden her neyse — bir API gateway, bir trace deposu, bir sağlayıcının kullanım panosu — tarafından gözlemlenen bir kullanım durumudur. Yetkilendirme ise ayrı bir durumdur; bir kimlik sağlayıcı, bir secrets manager, bir veritabanının grant tablosu, bir SaaS satıcısının OAuth kayıtları tarafından tutulur. Hiçbir şey ikisinin uyuşmasını zorlamaz. Bir agent telemetride görünmeyi bırakabilirken token'ı aylarca geçerli kalabilir ve hiçbir tek sistem bu uyumsuzluğu fark edecek konumda değildir.

Güvenlik incelemesi bu ayrımı devralır. Alışılmış soru — bu agent etkin mi? — gözlemlenebilirlik yığını tarafından yanıtlanır ki bu yanlış tanıktır. Yük taşıyan soru, agent'ın hâlâ neye erişebildiğidir ve bunu yetkilendirme grafiği yanıtlar. Trafiği olmayan ama üretim CRM'ine yazma kapsamlı token'ı olan bir agent emekliye ayrılmamıştır. O, denetlenmeyen bir principal'dır: başında operatör olmayan, yamalanacak süreci bulunmayan ve kullanılsa fark edecek sahibi olmayan bir dizi kalıcı izin.

Agent'lar neden erişimi kaybetmeden uykuya geçer

Kaymanın çoğunu üç mekanizma açıklar ve üçü de ihmal değil, sıradan mühendisliktir.

Birincisi tek seferlik provisioning. Agent bootstrap'i sıklıkla prototip sırasında bir kez yazılmış bir betiktir: bir token üretir, bunu bir environment dosyasına veya secret store'a yazar ve çıkar. Betiğin kayıtlı bir sahip kavramı ve süre sonu kavramı yoktur, çünkü yazıldığı sırada agent'ın geçici olması bekleniyordu. Uzun ömürlü token'lar, alternatifin sürekli çalışmayabilecek bir sisteme yenileme akışı bağlamak olduğu durumda en az dirençli yoldur.

İkincisi silmek yerine duraklatma. Bir agent'ı silmek, ona neyin bağlı olduğunu bilmeyi gerektirir ve bu bilgi nadiren yazıya dökülür. Başka bir agent tarafından referans verilen bir tool tanımı, bir webhook hedefi, zamanlanmış bir job, bir test fixture — bunlardan herhangi biri bir principal kaldırıldığında sessizce bozulabilir. Duraklatma geri alınabilir ve ucuzdur; silme geri alınamaz ve kimsenin sahip olmadığı bir envanter gerektirir. Akılcı operatörler duraklatır ve duraklatma, hiç karar verilmeden kalıcı hale gelir.

Üçüncüsü karşı taraf ataleti. Bir bağlantı sürer çünkü diğer uçtaki sistemin agent'ın durduğuna dair hiçbir sinyali yoktur. Bir SaaS entegrasyonu, iptal edilene kadar bir refresh token tutar. Bir iç servis, biri ACL'yi düzenleyene kadar bir service-account grant'i tutar. Agent'ın kendi sessizliği, bu sistemlerin hiçbirinin aldığı bir mesaj değildir. Dolayısıyla uyku durumu, çağrı yapmayı bırakan taraf dışındaki herkesin bakış açısından görünmezdir.

Bir geri kazanım takvimi

Düzeltme, kimlik bilgisi süresinin dolmasını, verilişle aynı statüye sahip zamanlanmış bir yaşam döngüsü olayı olarak ele almak ve takvimi tavsiye niteliğinde değil uygulanabilir kılmaktır.

Veriliş anında azami ömür ve kayıtlı sahip. Bir agent için üretilen her kimlik bilgisi iki zorunlu öznitelik taşır: katı bir azami ömür ve adlandırılmış bir sahip (bir ekip, bir rotasyon, bir on-call takma adı — bir bireyin hesabı değil). Yenileme, o sahip tarafından gerçekleştirilen açık bir eylemdir; kimlik bilgisini sessizce sonsuza dek uzatan otomatik bir yenileme değil. Ucuz yenilemeyle birlikte kısa azami ömürler varsayılanı tersine çevirir: kimlik bilgisi, biri onu etkin biçimde canlı tutmadıkça sona erer; bu da ihmalin kalıcı erişime değil süre sonuna dönüşmesini sağlar.

Son başarılı çağrı telemetrisi üzerinden uyku tespiti. Süreç canlılığı yanlış sinyaldir. Çalışan ama hata veren bir container ya da iptal edilmiş bir izne ateş eden bir scheduler canlı görünür ama işlevsel olarak ölüdür. Önemli olan sinyal, son başarılı kimlik doğrulamalı çağrının zaman damgasıdır; süreç başına değil, kimlik bilgisi başına toplanır. Geri kazanım job'ının okuduğu şey bu zaman damgasıdır.

Her aşamada loglama ile aşamalı geri kazanım. İptal tek bir eylem değildir ve onu tek eylem olarak ele almak, kullanımdan kaldırmanın bağımlıları bozma biçimidir. Takvim, her biri bir öncekine bağlı ve her biri kaydedilen aşamalarda çalışır:

1. Yazma kapsamlarını iptal et. Principal okuma erişimini korur; böylece yalnızca okuyan her tüketici çalışmaya devam eder ve yazan her tüketici, birinin yanıt verebileceği bir pencerede yüksek sesle ve görünür biçimde başarısız olur.
2. Okuma kapsamlarını iptal et. Olay yaşanmadan tanımlı bir sessizlik döneminin ardından principal veriye erişimini tamamen kaybeder. Birinci aşamadan sağ çıkan bağımlılar şimdi ortaya çıkar.
3. Principal'ı sil. Kimlik, grup üyelikleri, secret girdileri ve karşı taraf grant'leri kaldırılır ve silme işlemi önceki aşamalarla aynı audit log'a yazılır.

Kontrol düzleminin değerlendireceği policy nesnesinin bir taslağı:

principal: agent.reporting.summariser
owner: team-data-platform
issued: 2025-02-11
max_lifetime: 90d
renewal: explicit
last_successful_call: 2025-03-04
stages:
  - revoke_write:  on_dormant(30d)
  - revoke_read:   on_dormant(60d)
  - delete:        on_dormant(90d)
log: audit.credentials

Dürüst ödünleşim operasyonel gürültüdür. Aşamalı iptal, tasarım gereği hatalar üretir ve bu hatalardan bazıları zahmetli olacaktır: üç aylık bir rapor, nadiren kullanılan bir entegrasyon, bir demo ortamı. Alternatif daha az hata değil, daha geç ve daha sessiz hatalardır — bir başkası tarafından kullanılan, olaydan sonra keşfedilen denetlenmeyen bir principal. Takvim, şimdi öngörülebilir ve atfedilebilir kırılmayı, sonra öngörülemez ve atfedilemez erişimle değişir. Bunu benimseyen ekipler ilk döngüyü, önemli olduğu ortaya çıkan agent'lar için ömürleri uzatarak geçirmeyi beklemelidir; bu da zaten daha önce sahip olmadıkları envanterin ta kendisidir.

Bu, filo için neyi değiştirir

Envanter, süreç listesi olmaktan çıkıp yetkilendirme grafiği haline gelir. Herhangi bir agent hakkında faydalı soru, çalışıp çalışmadığı değil, hangi principal'lar olarak hareket edebildiği, bu principal'ların hangi kaynaklara eriştiği ve her kenarın sahibinin kim olduğudur. Bu şekilde sayıldığında, uyku durumundaki ama bağlı agent'lar envanterde kaldırılması en ucuz saldırı yüzeyidir — migrasyon yok, canlı bir tüketiciyle koordinasyon yok, değişiklik penceresi yok — ve aynı zamanda fark edilme olasılığı en düşük olanlardır, çünkü normal işleyişte hiçbir şey onlara dokunmaz.

Geri kazanım politikası da üç aylık bir denetimde değil, verilişle aynı kontrol düzleminde yer almalıdır. Denetim örnekler; kontrol düzlemi uygular. Kimlik bilgilerini üreten sistem, onların süresini sona erdiren sistemle aynıysa, uyku durumu bir gözden geçirenin dile getirdiği ve bir ekibin ertelediği bir bulgu değil, platformun zamanlayıcıyla çözdüğü bir durum haline gelir. Denetimin rolü, takvimin çalıştığını ve istisnaların gerekçelendirildiğini kontrol etmeye kayar; bu, bir agent envanterinin neye erişebildiğini yeniden inşa etmekten çok daha küçük ve daha yönetilebilir bir iştir.

Eksik olan yaşam döngüsü aşaması

Agent yaşam döngüsü modelleri tasarımdan konuşlandırmaya ve kullanımdan kaldırmaya uzanır; kullanımdan kaldırma ise sonunda bir temizlik adımı olarak ele alınır. Arrakis bulgusu, modelin bir aşamayı kaçırdığını gösteriyor: geri kazanım; bu, agent'ın son başarılı çağrısı geriye doğru çekildiği anda başlar ve principal'ı silindiğinde sona erer. Bu aşamanın kendi telemetrisi, kendi sahibi, kendi takvimi ve kendi audit trail'i vardır. Çalışmayı bıraktıktan sonra anahtarlarını koruyan bir agent kullanımdan kaldırılmamıştır — bir saldırgan için önem taşıyan tek anlamda çalışır durumda bırakılmıştır. Filo hijyeni, herkesten önce, bir zamanlayıcıyla fark etme pratiğidir.