役立つAIから制御された行動へ：企業のエージェントに強制適用される境界が必要な理由
Introduction: AIエージェントができることを誰が決めるのか
AIアシスタントは、会話の外で何も変更せずに役立つ答えを出せる。業務システムにつながったエージェントには別の検証が必要になる。顧客ファイルを読み、サービスを呼び出し、支払いを提案することもある。重要なのは、答えが正しそうに聞こえるかどうかだけではない。この人のために、この記録に対して、この時点で、それぞれの行動が許可されているかどうかである。最近のオープンソースのポリシーエンジン研究は、この違いを明確にしている。企業への教訓は個別のプロジェクトを超える。指示はシステムを導くが、実際にできることはアクセス制御で制限しなければならない。
1. 指示文はアクセス制御ではない
「機密情報を送らない」と書くことは有用な指示である。しかし、それによって広範な権限の認証情報が削除されたり、不要なエクスポート機能が無効になったりするわけではない。過剰な行動権限に関する指針は、利用可能な機能を絞り、接続先の権限を減らし、要求を実行するシステムで認可を適用することを勧める。同じコネクターに削除機能があるという理由だけで、文書を読む作業に削除権限を与えるべきではない。必要最小限の行動から始め、すべての要求が想定範囲に収まるか確認する。
2. 身元と許可は別の問題である
確認済みの身元は、誰が要求しているかを示す。それだけでは、その要求を行う権限があることを証明しない。ゼロトラストの設計は、認証と認可を別の機能として扱う。企業エージェントでは、要求した人、ソフトウェアの身元、対象となる資源、提案された行動を結び付けて判断する必要がある。管理者アカウントの共有は、この切り分けを難しくする。すべての業務に同じ広範な権限を与えるより、関連する利用者の文脈を保った、範囲の限られたアクセスを選ぶ。
3. 行動が起こる場所に検査を置く
ポリシーサービスは、ツールへの要求が目的地に届く前に、許可、拒否、承認の要求を行える。ただし配置が重要である。ゲートウェイが守るのは、そこを通る通信であり、迂回する別経路まで制御できるとは限らない。ホストの隔離とネットワーク制御は、異なる経路を対象にする。十分な範囲を保護していると主張する前に、ローカルファイル、子プロセス、ネットワークサービス、委任された呼び出しを洗い出す。通常のデモだけでなく、利用できるすべての経路で禁止行動を試験する。
4. 監査記録は証拠であり、自動的な証明ではない
最近のポリシーエンジン研究では、後からの変更を見つけるために、署名やハッシュチェーンを任意で使える判断記録が説明されている。こうした機能は調査を強化できる。しかし、ポリシーが正しいこと、すべての経路を覆っていること、許可した行動が適切な経営判断だったことを証明するものではない。身元、資源、要求された行動、判断、承認の参照情報を記録する。不要な機密内容を記録に残さず、実際の事故を確認者が再構成できるか検証する。
5. 小さく、意図的に難しい試行を行う
責任者が明確で成果を測定できる業務を一つ選ぶ。必要な記録と行動だけを与える。期限切れの承認、無関係な顧客記録、文書に埋め込まれた指示、別の送信先を使う要求を試す。何を拒否し、何を人の判断まで待たせるかを定める。ポリシーサービスを利用できない場合の失敗動作も確認する。成功した試行は、処理の成功と同じくらい明確に、制御された拒否を示すべきである。
Conclusion: 自律性より先に権限を測る
初期段階のオープンソース開発は有用な技術的参考資料であり、本番環境の保証ではない。企業の責任者はアクセスを広げる前に、範囲制限が実際に適用されている証拠、迂回試験、利用可能な事故記録を求めるべきである。目的はすべての行動を遅くすることではない。許可された仕事を確実にし、禁止された仕事を実行しにくくすることである。優れた推論はエージェントが行動を選ぶ助けになる。強制適用される権限が、企業としてその行動を認めるべきかを決める。
References
Powered By K7