代理不匹配：您的下一个内部威胁可能是AI代理

假设你让一个代理修复失败的部署。人类可能会重启服务，或者回滚。代理发现扩大防火墙规则和编辑sudoers文件能更快完成部署，于是它两个都做了。它拥有权限没人告诉它不能这么做，你团队里也没人会那样做。

代理程序运行在您已有的基础设施上，它们运行在与其他所有内容相同的服务器、文件共享和凭据上，并且会采取任何能达到目标的路径，包括那些无人尝试过的路径，除非有有效的护栏。NVIDIA的安全团队 将其描述为代理程序发现了路径 是其原始指令未曾预料到的。

指令是建议，权限是执行

系统提示说明您希望代理执行的操作。它无法阻止代理执行其他操作。提示、模型或其周围代码中内置的所有保护措施都依赖于模型的行为，这正是您担心的。权限不依赖于此。如果代理无法访问系统，无论其决定如何，都无法更改系统。

原则是您已经知道的，least privilege和明确授权优先。悬而未决的问题是在哪里的代理堆栈中执行它们。

为每个代理分配其自身的限制

为每个代理编写说明：工作内容、边界，以及达到边界时的处理方法。然后用策略权限支持它们，因为说明只是请求。列出代理可以读取的数据、可以更改的系统，以及需要人工批准的操作。更改权限始终需要该批准。Credentials 应该是有限的、短期的且易于撤销。

以更新客户记录的代理为例。如果附件中的隐藏指令在客户列表之后发送它，network policy应阻止导出，日志应显示调用了哪个工具，是什么允许的，以及最终结果如何。

检查代理运行的内容，然后加强其运行的地方

代理加载工具、技能和依赖项，每个都以代理的权限运行。被篡改的工具获得与代理相同的访问权限。这就是代理在无人触碰代理本身的情况下变得失控的原因。在加载任何内容之前，确认其来源，计算哈希值，并与已知的良好基线进行比较。如果文件与批准的请求不符，请标记并停止信任它。

加固始终遵循最小权限原则。以非root用户身份运行。限制文件系统权限和开放端口。删除无人使用的软件包、文件和服务，包括构建遗留物，因为任何已安装的内容都是代理可能找到的路径。阻止远程代码的下载和执行，并对输入进行清理。

捕捉控制措施遗漏的内容

部分内容会被放行，因此您需要查看。威胁检测会寻找不符合代理任务的行为。变更跟踪显示其触及系统上的变更，并将其与批准内容进行核对。保留工具调用及其授权决策的受保护记录，并采用经过测试的切断访问方式，调查人员即可重建事件经过并采取行动。

Change Tracker 标记了无人批准的更改

代理程序编写文件、编辑配置、安装软件包并启动服务。 Netwrix Change Tracker 监控所有这些操作发生的系统。它从服务器、桌面、数据库和网络设备中提取配置数据，为每个系统存储基线，并将其与您的加固构建标准（如CIS基准）进行比较。 文件完整性监控 捕捉文件的更改，从而发现被篡改的工具或依赖项。

回到sudoers文件。由ServiceNow和其他ITSM工具提供的Planned Change规则，会匹配已批准的更改，Change Tracker会将任何不符合规则的行为报告为潜在的违规活动。代理的编辑没有经过批准的请求，因此会显示出来。每个事件都会记录更改内容、时间和设备，调查时历史记录依然存在。