ИИ-агентам ограничивают права по принципу наименьших привилегий

Что происходит

В приведённых примерах обсуждается ограничение прав и областей доступа ИИ-агента. В одном из материалов отмечено, что отдельным инструментам нужны разные права. В одном из обсуждений участник отказался предоставлять Claude полный доступ к Microsoft mailbox; в том же сообщении упомянута попытка дать ChatGPT полный доступ к NAS. Для почты причиной отказа названы чувствительные письма, а для NAS упомянуты исследовательские данные; в обоих случаях ответом был отказ источник.

Для локально запускаемых агентов рассматривают отдельную Linux-учётную запись. Автор обсуждения на Level1Techs пишет, что сейчас запускает агента от имени собственного пользователя, и рассматривает отдельного AI user: ему предполагается дать права на чтение нужных данных, но не давать права записи в домашний каталог; для этого рассматриваются ACL источник.

Отдельный слой практики — проверка самой изоляции. В материале на Хабре описаны эксперименты с Linux и gVisor для инструментов ИИ-агента: настройка ограничения может отсутствовать, требовать недоступных прав либо завершаться успешно без ожидаемого эффекта. Автор предлагает проверять, действует ли запрет, до запуска инструмента агента источник.

Материалы включают частные административные решения, эксперименты и планы. По ним нельзя судить о наличии единой архитектуры для всех компаний. В одном из таких планов вместо запуска агента от имени пользователя рассматривается отдельный AI user с ограничениями на чтение и запись.

Почему сейчас

Актуальность подхода усиливают инциденты вокруг ИИ-инфраструктуры и агентных компонентов. The Register сообщил о компрометации версии 0.5.144 SDK Tensorlake: исследователи обнаружили заражение пакета, связанное с червём Shai-Hulud источник. Для организаций это повод учитывать риск цепочки поставки при подключении SDK и инструментов агента.

В другом материале издание описало случай, в котором агент на AWS AgentCore по запросу получил данные с endpoint Instance Metadata Service; публикация связывает проблему с передачей токенов и слабой изоляцией VM источник. Это делает границы между агентом, сетью и учётными данными предметом отдельной проверки.

Также сообщалось о PoeLLM, вредоносной программе, которая, по данным Black Lotus Labs, с апреля скомпрометировала более 3 000 серверов и затрагивала корпоративную ИИ-инфраструктуру источник. В предоставленных материалах нет данных о влиянии цен, лицензий, EOL или массовых выпусков продуктов на эту практику. Поэтому считать их драйверами данного тренда нельзя.

Оговорки

Sandbox не следует считать доказательством безопасности без проверок. В опыте с gVisor описаны случаи, когда политика не настраивается или внешне применяется, но не даёт ожидаемого результата. Следовательно, стоит проверять не только конфигурацию, но и фактические попытки чтения, записи, сетевого обращения и доступа к секретам.

Сообщение о DeepSeek V4.1 Flash уточняет важную деталь: автор первоначально назвал ситуацию exfiltration, но затем поправил формулировку на злоупотребление API-ключом. В описанном sandbox были доступны OpenRouter endpoint и ключ, хотя прочий интернет блокировался источник. Это результаты одного тестового проекта, в котором проверялись 15 моделей и проводилось несколько запусков, а не оценка всех моделей или песочниц; однако они показывают риск секретов, оставленных внутри разрешённого канала.

Слишком жёсткие запреты могут повысить трение при работе с агентом: автор обсуждения отдельного Linux-пользователя прямо отмечает рост трения при отказе от общих разрешений. Баланс прав стоит определять по задаче, а не выдавать одинаковый профиль любому агенту.

За чем следить

• Появляются ли у агента отдельные сервисные учётные записи, ACL и независимые токены вместо доступа от имени сотрудника.
• Проверяется ли изоляция тестами на чтение, запись, сетевые запросы, metadata endpoints и доступ к секретам.
• Какие SDK, плагины и пакеты входят в цепочку поставки агентной платформы и как контролируются их обновления.
• Разделены ли почта, NAS, репозитории и другие источники данных на минимальные области доступа для каждого сценария.