Bezpieczeństwo agentów AI: granice, human-gate i logi

Różnica między chatbotem a agentem to sprawczość: agent nie kończy na odpowiedzi, lecz na zmianie stanu — wysłanym mailu, zaktualizowanym rekordzie, obsłużonym leadzie. To ogromna wartość, ale i odpowiedzialność. Sprawczość bez granic jest ryzykiem, więc granice projektujemy razem ze sprawczością.

• Allow-lista narzędzi — agent ma katalog dozwolonych narzędzi (np. nawigacja, wyszukiwanie, rezerwacja), a nie dowolny dostęp do systemu. Czego nie ma na liście, tego nie zrobi.
• Human-gate — akcje nieodwracalne (wysyłka, płatność, zmiana danych) wymagają serwerowego tokenu potwierdzenia, podpisanego HMAC. Sama deklaracja modelu nie wystarczy — potrzebne jest „tak" człowieka tam, gdzie nie da się cofnąć.
• Pełny log — każdy krok (myśl → narzędzie → wynik) jest logowany, więc po fakcie da się odtworzyć, co i dlaczego agent zrobił. Bez śladu nie ma odpowiedzialności.

Dlatego agentów nie wdraża się „na żywioł". Granicę między rozmową a wykonaniem opisujemy też we wpisie agent vs chatbot.

Nie zaczynamy od pełnej autonomii. Agent startuje z ciasnym human-gate (potwierdzasz prawie wszystko), a w miarę jak dowody zaufania rosną — log jest czysty, decyzje trafne — luzujemy bramki na sprawdzonych ścieżkach. To samo podejście, co przy prompt injection: bezpieczeństwo wbudowane, nie doklejone.

Agenta uruchamiamy w bezpiecznej piaskownicy z przejrzystym śladem (playground: PII maskowane, zero retencji). Poproś model o rozpisanie kroków zadania:

Jest bezpieczny, gdy ma jasne granice: allow-listę narzędzi, human-gate na akcjach nieodwracalnych i log każdego kroku. Sprawczość bez tych barier to ryzyko, dlatego projektujemy je od początku. Agent działa autonomicznie w wąskim, dobrze opisanym zakresie, a nie „w ogóle".

To punkt, w którym akcja nieodwracalna (wysyłka, płatność, zmiana rekordu) wymaga potwierdzenia człowieka — technicznie serwerowego tokenu podpisanego HMAC, nie samej decyzji modelu. Dzięki temu nawet jeśli agent „uzna", że trzeba coś zrobić, nie zrobi tego bez zielonego światła.

Od jednego wąskiego, powtarzalnego procesu z ciasnym nadzorem — potwierdzasz prawie wszystko, log jest pełny. Gdy dowody zaufania rosną, luzujesz bramki na sprawdzonych ścieżkach. Tak bezpiecznie oddaje się AI sprawczość, krok po kroku.