زیرو کاستدی: ایجنت نباید هیچی دستش باشه
هوش مصنوعیخلاصهٔ کاملتر
به نوشتهٔ این مقاله، زیرو تراست با کشتن یه فرض قدیمی برنده شد: اینکه هرچی داخل فایروال باشه قابل اعتماده. با اومدن کلاد و موبایل و دورکاری اون خط مرزی پاک شد و اعتماد از شبکه منتقل شد به هویت — «هیچوقت اعتماد نکن، همیشه تأیید کن». نویسنده میگه این رویکرد جواب داد و الان پیشفرض درستِ هر برنامهٔ امنیتی جدیه.
ولی نویسنده معتقده زیرو تراست خودش یه فرض ناگفته داره که تو کلمهٔ تأیید قایم شده: بعد از اینکه اکتور رو تأیید کردی، فرض میشه همونطور که کدش میگه با توکنی که بهش دادی رفتار میکنه. برای یه سرویس معمولی این فرض مشکلی نداشت، ولی ایجنت هوش مصنوعی یه پرینسیپاله که رفتارش رو زبان تعیین میکنه — و بخشی از اون زبان رو مهاجم مینویسه.
توضیح مقاله اینه که حملهٔ جدی به ایجنت، جعل هویتش نیست؛ منحرفکردن رفتارشه. یه توضیح مسموم برای یه ابزار، یه سرور MCP مخرب، یا سندی که ایجنت مأمور خلاصهکردنش شده، میتونه مسیر کارش رو عوض کنه. توکن کوتاهعمر و غیرقابلجعل هم اینجا کمکی نمیکنه، چون هویت درست بوده و رفتارِ همون موجودِ درستتأییدشده ربوده شده.
پیشنهاد نویسنده اینه: حلقهٔ استدلال نباید هیچ چیز ارزشمندی نگه داره. کلید API نباید تو متغیر محیطی ایجنت باشه؛ به جاش یه بروکر سر راه خروجی، اعتبارنامهٔ واقعی رو نگه میداره و بعد از بررسی سیاست، تزریقش میکنه. همین منطق برای داده هم صدق میکنه: ماسک یا توکنایز کردن مقادیر حساس موقع ورود به کانتکست، تا چیزی که ممکنه نشت کنه بیرون از گیتوی بیمعنی باشه.
نویسنده هزینهش رو هم صادقانه میگه: این کار نگهداری رو حذف نمیکنه، متمرکزش میکنه تو بروکر و گیتوی. یعنی یه نقطهٔ شکست واحد میسازی، ولی یه جای سختشده و مانیتورشده خیلی بهتر از هزار کپیِ پخششده تو حافظهٔ ایجنتهاست. به گفتهٔ نویسنده زیرو کاستدی جایگزین زیرو تراست نیست، ادامهشه — همون زیرو تراست وقتی طرف حسابت به جای یه سرویس خوشرفتار، یه حلقهٔ استدلاله.
نکات کلیدی:
- زیرو تراست هویت رو تأیید میکنه، ولی فرض میگیره اکتور تأییدشده با چیزی که بهش دادی درست رفتار میکنه
- رفتار ایجنت با هر متنی که وارد کانتکستش میشه دوباره تعیین میشه، پس اعتماد بهش پایدار نیست
- زیرو کاستدی میگه حلقهٔ استدلال نباید کلید یا دادهٔ حساس نگه داره
- بروکر سر راه خروجی اعتبارنامه رو تزریق میکنه؛ ایجنت فقط یه جاینگهدار میبینه
- دادهٔ حساس موقع ورود ماسک یا توکنایز میشه و فقط برای سیستم مجاز پاییندستی بازگردانی میشه
- هزینهش تمرکز ریسک تو گیتوی و بروکره؛ باید مثل یه نقطهٔ شکست واحد طراحیش کرد
