אבטחה לסוכנים שפועלים בשמך

הגישה

סוכן שרק מדבר הוא צעצוע. סוכן שמבצע פעולות הוא סיכון, עד שמתכננים את הגבולות שלו. כל מערכת סוכנים שאני בונה עונה על ארבע שאלות לפני שורת הקוד הראשונה: מה היא יכולה לקרוא, מה היא יכולה לשנות, מי אישר את זה, ואיפה יומן הביקורת.

שערי אישור והפרדת דיירים

LeadFlow היא פלטפורמת מכירות מבוססת AI במודל white-label מולטי-טננט: CRM, סוכני מכירות, מייל, וואטסאפ ושיחות קוליות. מערכת כזאת מתה מדליפה אחת בין דיירים או מהודעה יוצאת אחת שהשתגעה, אז הכללים מבניים. הפרדת דיירים קפדנית והרשאות מבוססות תפקידים בשכבת הנתונים. יומני ביקורת על הפעולות שחשובות. ניהול הסכמה ו-opt-out לתקשורת יוצאת. וכלל ברזל שכל הצוות (אנושי וסוכני) עובד לפיו: אף הודעה אמיתית החוצה, אף deploy לפרודקשן ואף חיוב בתשלום בלי אישור מפורש. אוטומציות רגישות עוברות דרך שלבי אישור אנושיים עם נתיבי הסלמה, לא מסביב להם.

OAuth בצורה מושכלת

ל-Hermes, הסוכן האישי שלי בוואטסאפ, יש הרשאת קריאה וכתיבה ל-Gmail, Calendar, Drive ו-Sheets שלי. הדרך לשם בבטחה היא החלק המעניין. האינטגרציה מול גוגל חיה בפרויקט Cloud ייעודי משלה, לא משותף לשום דבר אחר. בחירת ה-scopes הייתה החלטה מודעת ומתועדת, עם הפשרות על השולחן. כל עוד האפליקציה הייתה במצב Testing, הגישה הוגבלה למשתמשי בדיקה רשומים, והיא עברה ל-Production רק אחרי שדרישות האימות (דף בית, מדיניות פרטיות) היו במקומן. הגישה נשארת ניתנת לביטול מצד המשתמש בכל רגע.

משמעת סודות

אף פעם לא סודות בריפוזיטורי. מפתחות חיים בקונפיגורציית סביבה או במאגר סודות. AgentLens מריץ את העיבוד ב-AI דרך מפתח שקיים רק ב-env של הדיפלוי. Agent Office, דשבורד הסוכנים החי שלי, מציג לציבור נתוני דמו מסומנים בבירור; התצוגה החיה של הסוכנים האמיתיים יושבת מאחורי התחברות, וכל סוכן מדווח עם טוקן ייעודי משלו, כך שטוקן אחד שדלף חושף סוכן אחד, לא את כל הצי.

מה שאני עוד מחזק

השכבה הבאה היא הגנה מפני prompt injection: להתייחס לכל מייל, הודעה ועמוד אינטרנט שסוכן קורא כקלט לא מהימן, ולוודא שתוכן לעולם לא יכול להפוך להוראות. חלקים מזה קיימים היום במערכות שלי (הגבלת scope קפדנית של כלים, שערי אישור על פעולות עם תופעות לוואי), ואני בודק את זה כפרקטיקה מתמשכת ולא כפיצ'ר גמור. אבטחה על סוכנים שמבצעים פעולות היא עמדה, לא תיוג.