در بیشتر سازمانها، چیزی که پروژهی هوش مصنوعی را متوقف میکند مدل نیست — تیم امنیت است. و معمولاً حق دارد. این صفحه دقیقاً همان سؤالهایی را جواب میدهد که در جلسهی امنیت پرسیده میشود.
حاکمیت ایجنت یعنی اینکه هر ایجنت با هویت واقعی همان کارمند اجرا شود، مجوز نهاییاش هرگز از مجوز خود او فراتر نرود، و هر فراخوانی در یک رکورد قابل استخراج ثبت شود.
رایجترین الگو در پروژههای ایجنت این است که ایجنت با یک حساب کاربری اختصاصی به سامانهها وصل شود که به همهچیز دسترسی دارد. این سادهترین راه راهاندازی است و چهار پیامد دارد که هر چهار تا بعداً ظاهر میشوند.
| ریسک | نتیجه |
|---|---|
| تزریق دستور از طریق ورودی کاربر | یک ورودی مخرب میتواند به دادهی همهی کاربران برسد |
| ممیزی بیمعنا | لاگ میگوید «ربات ثبت کرد»، نه «چه کسی خواست» |
| بیاثر شدن مجوزها | همهی کنترلهای دسترسی سامانههای موجود دور زده میشوند |
| اعتبارنامه دست پیمانکار | کلید دسترسی خارج از کنترل سازمان است |
بهجای یک حساب دائمی و فراگیر، برای هر فراخوانی یک توکن تازه صادر میشود که به همان یک کار محدود است. ایجنت هرگز اعتبارنامهی سامانه را نمیبیند.
مجوز نهایی برابر است با اشتراک سه چیز: مجوز خود کاربر در سامانهی مقصد، دسترسیای که ایجنت اعلام کرده لازم دارد، و سیاست حوزه. یعنی ایجنت هیچوقت نمیتواند کاری کند که خود کاربر نمیتوانست.
یک جزئیات کوچک با اثر بزرگ: فیلتر مجوز در همان مرحلهی پیدا کردن گزینهها اعمال میشود، نه در لحظهی اجرا. قابلیتی که این کاربر مجوزش را ندارد اصلاً وارد فهرست کاندیدها نمیشود.
تفاوتش در عمل این است که کاربر هرگز نمیبیند «شما اجازهی این کار را ندارید». همان پیام خودش یک نشت اطلاعاتی است: میگوید چنین قابلیتی در سازمان وجود دارد.
هر قابلیت اعلام میکند بالاترین سطح حساسیتی که لمس میکند چیست، و همان تعیین میکند کدام استخر مدل مجاز است آن داده را ببیند. این تشخیص در زمان انتشار انجام میشود، نه در لحظهی اجرا.
🔴 قاعدهای که مذاکرهپذیر نیست: اگر مدل محلی در دسترس نباشد، کار محرمانه «شکست میخورد» و به مدل بیرونی منتقل نمیشود. سیستمی که تحت فشار محرمانگی را رها میکند، بدتر از سیستمی است که اصلاً ادعای محرمانگی ندارد.
لاگی که فقط متن گفتگو را نگه میدارد برای پاسخ به بازرس کافی نیست. رکورد ممیزی باید به هر سه سؤال «چه کسی، چه چیزی، با چه چیزی» جواب بدهد.
فیلدهای حساس در رکورد فقط به شکل hash نگهداری میشوند، نه متن خام.
این نکتهای است که معمولاً دیر کشف میشود: وقتی مدل زیرین عوض یا بهروز شود، رفتار ایجنت عوض میشود بدون اینکه یک خط کدش تغییر کرده باشد. برای همین هر ایجنت اجباراً فایل آزمون میدهد و آزمونها فقط در زمان پذیرش اجرا نمیشوند.
افت کیفیت، هشدار به ناشر میدهد و در کاتالوگ علامت میخورد.
با رکورد ممیزی که برای هر فراخوانی ثبت میکند از کدام مدل استفاده شده — محلی یا بیرونی.
این تنها راه اثباتی است. ادعای شفاهی یا حتی تنظیمات سیستم کافی نیست، چون بازرس میپرسد «در تاریخ فلان، این درخواست مشخص چه مسیری رفت؟». برای همین ثبت مدل استفادهشده یک فیلد اجباری است، نه اختیاری.
کارهای اثرگذار قبل از اجرا به کاربر نشان داده میشوند و هیچ عمل نوشتنی بدون تأیید انسان اجرا نمیشود.
سه سد پشت سر هم قرار دارد: ایجنتی که کاربر مجوزش را ندارد اصلاً پیشنهاد نمیشود؛ ابهام به پرسش ختم میشود نه به حدس؛ و اجرا با هویت خود کارمند انجام میشود، یعنی مجوز نهایی هرگز از مجوز خود او فراتر نمیرود.
برای کارهای نوشتنی خیر — ناشر متن تأیید را مینویسد ولی نمیتواند خود مرحله را حذف کند.
اینکه کدام سطح اثر تأیید لازم دارد، یک تنظیم سطح سازمان است و کارهای خواندنی بهطور پیشفرض بدون تأیید اجرا میشوند. ولی در استقرارهایی که مدل مسیریاب کوچک است، تأیید برای کار نوشتنی غیرقابل غیرفعالسازی است — چون تنها چیزی است که بین یک استخراج ورودی اشتباه و یک عمل اشتباه میایستد.
اعتبارنامه در یک مخزن امن سمت پلتفرم نگهداری و در لحظه تزریق میشود؛ ایجنت هرگز آن را نمیبیند.
این را صادقانه یک بدهی فنی میدانیم نه راهحل زیبا. ولی چون این یک محصول است و نه پروژهی یک سازمان خاص، سامانهی قدیمی واقعیتی است که باید پشتیبانی شود. نکتهی مهم این است که این مسیر استثناست و در ممیزی هم بهعنوان استثنا علامت میخورد.
ایجنت سازمانی ایجنتی است که با هویت واقعی کارمند اجرا میشود، مجوزهای موجود سامانهها را دور نمیزند، و هر فراخوانیاش در لاگ ممیزی قابل استخراج ثبت میشود.
برای راهاندازی پلتفرم ایجنت لازم نیست GPU بخرید؛ پروفایل کاملاً آنلاین بدون هیچ سختافزار خاصی راه میافتد و GPU فقط وقتی لازم میشود که بخواهید متن خام کاربر از سازمان خارج نشود.
ایجنت موجود پیمانکار دور ریخته نمیشود: اگر پیمانکار یک فایل معرفی و یک آدرس HTTP بدهد، همان ایجنت بدون تغییر زبان یا فریمورک زیر پلتفرم میآید.
ایجنت هوش مصنوعی برنامهای است که درخواست کاربر را به زبان طبیعی میگیرد و برای انجام آن در سامانههای واقعی کار میکند — یعنی اثر میگذارد، نه اینکه فقط متن جواب بدهد.
تجربه میگوید پروژههایی که تیم امنیت را از جلسهی اول درگیر میکنند، سریعتر به استقرار میرسند. ما هم ترجیح میدهیم سؤالهای سخت اول پرسیده شوند.
گفتگو با تیم فنی