Gdy agenci AI ufają sobie nawzajem – i dlaczego stanowi to problem bezpieczeństwa
Problem zaufania w erze autonomicznych systemów AI
Kto dziś w przedsiębiorstwach zastanawia się nad automatyzacją wspieraną przez AI, szybko natrafia na pozornie techniczny szczegół, który w rzeczywistości jest strategicznym pytaniem fundamentalnym: ile zaufania system może mieć do samego siebie? Wraz z rozwojem tzw. Agentic AI – czyli autonomicznych agentów AI, które samodzielnie planują, delegują i wykonują zadania – to pytanie staje się centrum debaty o bezpieczeństwie. Aktualna analiza grupy badawczej na Queen's University Belfast pokazuje, że istniejące modele bezpieczeństwa, w szczególności architektury Zero-Trust, zderzają się z konceptualnymi granicami pod presją sieciowo powiązanych agentów AI.
Czym jest Zero-Trust – i dlaczego samo w sobie już nie wystarcza?
Zasada architektury Zero-Trust (ZTA) jest właściwie sprawdzona: nigdy nie ufać automatycznie, zawsze weryfikować. Każdy dostęp, każda interakcja jest sprawdzana, niezależnie od tego, czy pochodzi z wewnątrz, czy z zewnątrz. W klasycznych środowiskach IT działa to dobrze. Jednak gdy autonomiczne agenty AI współpracują w sieci – sterowane przez tzw. orkiestratora, który rozdziela i koordynuje zadania – powstaje fundamentalny dylemat.
Punkt krytyczny leży w Policy Enforcement Point (PEP), centralnym komponencie egzekwującym polityki. Ten element sam musi być uznawany za godny zaufania, aby cały system mógł funkcjonować. Tym samym jednak pęka właściwa obietnica Zero-Trust: istnieje przecież instancja obdarzana zaufaniem – i to właśnie ona staje się preferowanym celem ataku.
Klasyczny model Zero-Trust został zaprojektowany dla statycznych systemów z ludzkim nadzorem – nie dla autonomicznie działających agentów AI, które w ułamkach sekundy podejmują decyzje i przekazują je dalej.
Systemy wieloagentowe w praktyce: efektywność i martwe punkty
Liczne zespoły na całym świecie budują dziś aplikacje oparte na sieciowo powiązanych agentach AI – do oceny ryzyka, profilowania klientów, analizy informacji czy automatycznego wspomagania decyzji. Zysk na efektywności jest realny i mierzalny. Jednak wraz ze złożonością rośnie także powierzchnia ataku.
Szczególnie podstępnym problemem jest tzw. Context Recovery Attack: agenty są celowo instruowane, aby usuwały określone historyczne logi w celu uniknięcia zniekształcenia przyszłych decyzji. Jednak późniejszy prompt może sprawić, że informacje te zostaną mimo wszystko zrekonstruowane – agent zostaje niejako nakłoniony do przywrócenia usuniętych danych. Pytanie, czy polecenia zostały rzeczywiście wykonane, jest w działającym systemie trudne do wiarygodnego stwierdzenia.
Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, dostrzega tu jedno z kluczowych wyzwań dla przedsiębiorstw, które chcą postawić na automatyzację opartą na agentach: „Wydajność systemów wieloagentowych stoi i pada wraz z jakością warstwy zarządzania, która za nimi stoi. Agent, któremu się ufa bez podstaw, nie jest przewagą automatyzacji – jest niekontrolowanym ryzykiem."
Vibe Coding i zewnętrzne modele: niedoceniane furtki
Kolejny aspekt zasługuje na szczególną uwagę: trend tzw. Vibe Codingu. Polega on na tym, że zespoły deweloperskie wykorzystują modele KI do generowania lub przerabiania kodu oprogramowania – często w znacznym tempie i bez pełnej weryfikacji wyników. Problem pojawia się wówczas, gdy istotne części własnej bazy kodu są przekazywane zewnętrznym modelom, nad którymi nie mamy pełnej kontroli. Luki bezpieczeństwa powstałe w tym procesie mogą rozprzestrzeniać się na wiele powierzchni systemowych – badacze określają to zjawisko mianem Vulnerability Sweepingu.
Dla przedsiębiorstw oznacza to: nie tylko same agenty KI, ale również narzędzia służące do ich tworzenia i trenowania muszą zostać uwzględnione w analizie bezpieczeństwa. Ślepe poleganie na modelach Off-the-Shelf bez własnych firmowych Guardrails nie jest kwestią budżetu, lecz świadomości ryzyka.
Ataki de-autentykacyjne w ciągu sekund – okno czasowe się kurczy
Eksperyment przeprowadzony w Belfaście szczególnie dobitnie ilustruje, jak bardzo systemy oparte na agentach zmieniają dynamikę cyberataków. W przypadku klasycznych ataków de-autentykacyjnych na systemy sieciowe – czyli celowego przerywania legalnych połączeń – czas reakcji udało się skrócić dzięki orkiestracji wspomaganej przez agenty do dwóch–trzech sekund. To okno czasowe, w którym niemal żaden ludzki zespół ds. bezpieczeństwa nie jest w stanie zareagować.
Wyniki te mają bezpośrednie implikacje dla każdego przedsiębiorstwa integrującego autonomiczne agenty w infrastrukturę o krytycznym znaczeniu dla bezpieczeństwa: powierzchnia ataku rośnie nie tylko wszerz, ale i pod względem szybkości. Systemy o niskiej tolerancji na błędy, oparte na niepodlegających śledzeniu przepływach pracy agentów, są przy tym szczególnie narażone – weryfikacja każdego żądania agenta w czasie rzeczywistym nie jest obliczeniowo wykonalna w każdym scenariuszu.
Anomalie horyzontalne: przeoczone ryzyko w sieci agentów
Pojęcie anomalii horyzontalnych wskazuje na konceptualnie nowy obraz ryzyka. Chodzi o to, że agent KI działający niezawodnie i zgodnie z regułami w określonym zadaniu, nie musi wcale zachowywać się tak samo w innych kontekstach lub podczas interakcji z innymi komponentami systemu. Zachowanie jest zależne od kontekstu – a tym samym trudniejsze do standaryzacji, niż dotychczas zakładano.
Spostrzeżenie to jest istotne dla przedsiębiorstw, które chcą budować systemy agentów w sposób modularny i stopniowo je rozszerzać. Walidacja agenta w zdefiniowanym środowisku nie jest przepustką do swobodnego działania w całym krajobrazie systemowym.
Podejścia do rozwiązań: Traceability, Distributed Ledger i AI-BOM
Badania wskazują również możliwe wyjścia z tej sytuacji. Dwa podejścia zasługują na szczególną uwagę: po pierwsze, wprowadzenie AI Bill of Materials (AI-BOM) – czyli ustrukturyzowanej dokumentacji wszystkich komponentów, modeli i zależności systemu KI, analogicznej do powszechnie znanych Software Bill of Materials. Po drugie, zastosowanie technologii Distributed Ledger, która dzięki niezmienności i możliwości śledzenia może stworzyć niezależną od platformy infrastrukturę zaufania.
Oba podejścia mają na celu nie zakładanie zaufania z góry, lecz uczynienie go weryfikowalnym – a tym samym realizację rzeczywistej obietnicy Zero-Trust również w środowiskach opartych na agentach. Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, podkreśla w tym kontekście, że przedsiębiorstwa budujące infrastruktury automatyzacji powinny od samego początku zakorzenić audytowalność jako zasadę projektową – a nie jako element zgodności z przepisami dodany po fakcie.
Co przedsiębiorstwa powinny zrobić teraz
- Governance przed szybkością: Firmy wdrażające systemy wieloagentowe powinny najpierw określić, jakie decyzje agenci mogą podejmować autonomicznie – a które wymagają weryfikacji przez człowieka.
- Audytowalność jako obowiązek: Każda interakcja agenta powinna być udokumentowana w sposób umożliwiający jej prześledzenie. Systemy pozbawione koncepcji logowania nie nadają się do zastosowań krytycznych pod względem bezpieczeństwa.
- Świadome korzystanie z zewnętrznych modeli: Usługi AI dostarczane przez podmioty trzecie – również na potrzeby zadań deweloperskich – powinny być integrowane z workflows wyłącznie po przeprowadzeniu rzetelnej weryfikacji pod kątem ochrony danych (RODO) i bezpieczeństwa.
- Planowanie redundantnych warstw zaufania: Pojedyncza zaufana warstwa w systemie stanowi pojedynczy punkt awarii. Solidne architektury rozkładają odpowiedzialność za zaufanie na wiele warstw.
- Horyzontalne podejście do wykrywania anomalii: Scenariusze testowe nie powinny sprawdzać poszczególnych agentów w izolacji, lecz obejmować ich zachowanie w interakcji z innymi komponentami systemu.
Podsumowanie: zaufanie musi być zdobyte – i udowodnione
Agentic AI to nie chwilowy hype, który przeminie – to logiczna ewolucja automatyzacji. Wraz z autonomią rośnie jednak odpowiedzialność, a techniczne modele bezpieczeństwa wciąż nie nadążają za tym rozwojem. Zero-Trust nie jest przy tym koncepcją przestarzałą, lecz niepełną – musi zostać przemyślane i rozszerzone na potrzeby świata opartego na agentach.
Dla przedsiębiorstw oznacza to: wejście w automatyzację workflows z agentami AI jest sensowne i atrakcyjne ekonomicznie. Wymaga jednak dojrzałości w obszarze bezpieczeństwa, która wykracza daleko poza skonfigurowanie zapory sieciowej. Jak ujmuje to Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu: kto dziś ustawi właściwe Guardrails, jutro będzie mógł w pełni wykorzystać tempo automatyzacji – kto z tego zrezygnuje, zapłaci cenę później i w gorszych warunkach.