Agent działający bez przerwy potrzebuje celi, nie laptopa

Piątek, późne popołudnie. Dajesz agentowi zadanie na większość weekendu: dopasować każdą fakturę od dostawców z ostatniego kwartału do zamówień, oznaczyć rozbieżności i do każdej przygotować uprzejmy e-mail. Agent startuje w terminalu na Twoim laptopie, zalogowany jako Ty. O osiemnastej zamykasz klapę i jedziesz do domu.

Dalej dzieje się jedno z dwojga. Albo praca staje, bo sesja, w której żyła, zasnęła razem z laptopem w torbie. Albo toczy się dalej w miejscu, o którym tak naprawdę nie zdecydowałeś, wciąż z Twoim loginem, Twoją skrzynką i każdą trasą sieciową, jaką ma Twój komputer. Żadna z tych wersji nie jest tym, co miałeś na myśli, mówiąc „zrób to przez weekend”.

Prawdziwa przyczyna: agent mieszka w sesji, a sesja to zła jednostka

Czat nauczył nas, że SI dzieje się w sesji: otwierasz okno, pytasz, czytasz, zamykasz. Agent, który pracuje godzinami, rozsadza ten model. Jego zadanie trwa dłużej niż okno, więc okno nie może być miejscem, w którym trzyma pracę, pliki i uprawnienia.

NVIDIA powiedziała to wprost, publikując w październiku projekt Secure Agent Workspace jako część szerszej architektury referencyjnej NVIDIA dla bezpieczeństwa agentów. Dokument opisuje firmy, które przechodzą od czatu do agentów działających bez przerwy, godzinami, w imieniu pracownika. Odpowiedź projektu: urządzenie użytkownika staje się wyłącznie warstwą prezentacji, a agent pracuje w zarządzanym, zdalnym środowisku, które trwa niezależnie od sesji. Autorzy skracają to do formuły „the workspace ≠ the session”.

Dobrze jest zobaczyć, że duży producent sprzętu doszedł do tego samego kształtu, wokół którego zbudowaliśmy KyberCell. Nie jest to dowód, że nasz projekt działa, i nic poniżej nie twierdzi, że Kyber działa na platformie NVIDIA.

Gdzie agent na laptopie zawodzi

Projekt wymienia pięć zagrożeń. Każde jest groźniejsze, gdy agent dzieli sesję z człowiekiem.

Zapisy, których nikt nie chciał. Agent z Twoim loginem może zmienić lub usunąć wszystko, co Ty — przez przypadek albo przez złe zrozumienie zadania. Między nim a Twoimi plikami nic nie pyta, czy ten zapis był częścią pracy.

Dane wychodzące drzwiami. Twój laptop sięga całego internetu, więc agent też. Podsumowanie wysłane pod zły adres, załącznik przesłany „do przetworzenia”: ruch wychodzący i zapisy to dwie drogi, którymi dane opuszczają firmę.

Polecenia ukryte w pracy. Jedna z tych faktur może zawierać tekst napisany dla agenta, a nie dla Ciebie. Projekt zwraca uwagę, że wstrzyknięcie poleceń bywa multimodalne, a niektóre ataki widać dopiero po połączeniu kilku wejść. Agent czytający godzinami spotyka bardzo wiele wejść.

Agent jako napastnik. Przejęty agent siedzi w Twojej sieci z Twoimi uprawnieniami. Może skanować, przechodzić na inne maszyny albo zalewać usługę zapytaniami przez konektory, które mu dałeś.

Przejęty system gościa. Jeśli maszyna, na której działa agent, zostanie przejęta na poziomie roota, każde zabezpieczenie działające na tej samej maszynie może wyłączyć ten, kto ją teraz ma.

Ostatni punkt najczęściej się pomija. Architektura referencyjna stawia dlatego nadzorcę poza hostem: Sentry, działający na procesorze BlueField-4, obserwuje agenta spoza maszyny i według NVIDIA potrafi go odizolować w milisekundach. Niezależnie od sprzętu zasada się broni: to, co pilnuje agenta, nie może mieszkać tam, gdzie agent może sięgnąć.

Co KyberAgent robi zamiast tego

KyberAgent jest przed startem i nic z tego nie jest w sprzedaży. Tak wygląda projekt.

Cela jest przestrzenią roboczą, urządzenie jest oknem. Agent pracuje we własnej celi KyberCell, na węźle domowym albo w KyberFusion, a nie w sesji na Twoim laptopie. Zamknięcie klapy zamyka widok, a nie pracę. Po otwarciu łączysz się z tą samą celą. Pamięć, która przeżywa sesję opisuje, co asystent zachowuje między takimi przerwami, a czego cela ma z założenia nie pamiętać.

Ustalona przy tworzeniu. Pliki i programy dostępne w celi są ustalane, gdy cela powstaje. Zadanie z fakturami widzi folder faktur i eksport zamówień, a nie Twój katalog domowy. Agent w celi: czym jest KyberCell omawia mechanizm.

Sieć domyślnie zamknięta. Cela nie sięga niczego, dopóki reguła nie otworzy konkretnego hosta dla konkretnego programu. Krok wysyłający pocztę dosięga serwera poczty. Krok czytający nie dosięga niczego.

Sekrety poza agentem. Poświadczenia są wstrzykiwane dopiero na wyjściu z celi, przy punkcie końcowym, do którego są przypisane. Agent nigdy nie trzyma Twojego hasła, więc nie może go ujawnić.

Wrażliwe zapisy idą do człowieka. Wysłanie czterdziestu e-maili do dostawców to krok, który się zatrzymuje i pyta. Pytanie trafia do KyberBota, który dociera do Ciebie na urządzeniu, jakie masz przy sobie — o tym tekst jak asystent przekazuje pracę rojowi.

Zapis prowadzi cela, nie agent. Każde wywołanie modelu, narzędzia, każdy plik i połączenie zapisuje cela, więc przejęty agent nie poprawi własnej trajektorii. Pod spodem KyberLinux trzyma każdą celę na miejscu (jak KyberLinux trzyma rój w celach), a węzeł, na którym cele mieszkają, opisuje węzeł domowy.

Czego nie mamy, to nadzorcy na osobnym krzemie. Nasza uczciwa wersja „spoza hosta” to dziś zapis, do którego agent nie może pisać, i niezmienny system pod spodem. To słabsze niż osobny procesor patrzący z zewnątrz i wolimy to powiedzieć wprost.

Test na dziś

Wybierz agenta, którego używasz do czegoś dłuższego niż odpowiedź w czacie. Uruchom zadanie na co najmniej pół godziny, a potem zamknij klapę laptopa na dwadzieścia minut. Po powrocie odpowiedz na pięć pytań, po jednym na zagrożenie:

1. Czy praca stanęła, toczyła się dalej, czy toczyła się w miejscu, którego nie umiesz nazwać?
2. Czyjego loginu używała i czy ten login mógł usunąć pliki, o które nikt nie prosił?
3. Do jakich hostów agent mógł sięgnąć, gdy Cię nie było?
4. Gdyby jedno z wejść niosło ukryte polecenia, co by je zatrzymało?
5. Gdyby maszyna, na której działał, została przejęta, co by go dalej pilnowało?

Każda odpowiedź zaczynająca się od „nie jestem pewien” pokazuje, gdzie Twój agent potrzebuje celi. Więcej o KyberAgent jest na stronie głównej.