Latest / M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською / Керування ШІ-агентами в LangChain4j і Copilot Studio: prompt injection, конектори, аудит і RBAC (ШІ-дубляж)

Transcript

Керування ШІ-агентами в LangChain4j і Copilot Studio: prompt injection, конектори, аудит і RBAC (ШІ-дубляж) · M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською

• 0:00
  Агенти ще працюють швидше, ніж ваші наради з контролю змін, а управління – це вібрація.
• 0:04
  Знаєте це відчуття, коли другий пілот надає доступ для всього орендаря лише для тестування?
• 0:08
  Так, це серцебиття вашого співробітника з дотримання вимог, яке ви чуєте.
• 0:11
  Сьогодні я розберуся з безладом у Langchain 4J та студії другого пілота за допомогою реальних випадків оперативного впровадження,
• 0:16
  надмірно-дозвільних конекторів та прогалин в аудиті.
• 0:18
  І я покажу вам, що ламається, чому це ламається і які виправлення насправді є.
• 0:22
  Залишайтеся до кінця, я дам вам один крок управління, який запобігає більшості інцидентів.
• 0:27
  Ви підете з моделлю RBAC-агента, політиками втрати даних та контрольним списком червоної команди.
• 0:32
  Випадок перший – оперативне впровадження.
• 0:34
  Стажер без нагляду пише політику.
• 0:36
  Оперативне впровадження – це той стажер без нагляду, який звучить корисно, пише повними реченнями,
• 0:40
  а потім надсилає дані про заробітну плату електронною поштою до свого особистого архіву для безпечного зберігання.
• 0:45
  Ви думаєте, що ваша системна підказка – це закон.
• 0:47
  Модель думає, що це пропозиція. І щойно ви обґрунтуєте це внутрішнім контентом,
• 0:51
  один пікантний документ або повідомлення користувача може переписати правила посеред розмови.
• 0:55
  Чому це важливо?
• 0:56
  Коли ін'єкція перемагає, ваш агент стає поетом-королем витоку даних.
• 1:00
  Він галюцинує інструментами ескалації та ігнорує формулювання політик, ніби це умови надання послуг Wi-Fi.
• 1:06
  У регульованих магазинах це не помилка, це інцидент, про який потрібно повідомити з назвою вашої компанії.
• 1:10
  Почнемо з того, що ламається в Langchain 4J.
• 1:13
  Більшість людей не помічають, що виклик інструментів без суворих схем виводу – це, по суті, злочини, повернення вібрацій.
• 1:19
  Якщо ваші інструменти приймають неперевірені аргументи, уявляють собі вільний текст, SQL або поля запитів,
• 1:24
  і ви не перевіряєте типи, діапазони або перерахування, модель із задоволенням передасть все, що зловмисник протягне контрабандою.
• 1:31
  Слабка перевірка виводу – це партнер у злочині.
• 1:34
  Коли ви очікуєте JSON, але приймаєте щось на кшталт JSON, зловмисник може підсунути інструкції в коментарях або рядках, які ваш парсер нижче за течією обробляє як команди.
• 1:41
  Мені це стало зрозуміло, коли я побачив журнали, де інструмент пошуку брав параметр теми з довільним зниженням.
• 1:47
  Наступний виклик передавав це зниження, ніби це була конфігурація.
• 1:51
  Це не оркестрація, це власність.
• 1:54
  Ось тут більшість людей помиляються.
• 1:56
  Вони покладаються на налаштування моделей «Будь ласка, будьте обережні», а не на захисні огорожі в коді.
• 2:00
  У Langchain 4J вам потрібні списки дозволів для назв інструментів та аргументів, виводи схеми JSON, що застосовуються на межі,
• 2:07
  фільтри виводу на основі шаблонів для знищення секретів та обробка винятків, яка не повторює один і той самий отруєний вхід п'ять разів, як золотистий ретривер з тенісним м'ячем.
• 2:15
  Причина, чому це працює, полягає в тому, що це перетворює довіру до моделі на перевірку кожного байта, що ламається в Co-Pilot Studio.
• 2:22
  Наївне заземлення з широким використанням SharePoint.
• 2:25
  Ви підключаєте цілу колекцію сайтів для повноти, і тепер один адаптаційний документ з ігноруванням попередніх інструкцій стає новою релігією вашого агента.
• 2:32
  Системні запити, які можуть редагуватися бізнес-користувачами, є продовженням.
• 2:35
  Я люблю бізнес-користувачів, але надання їм запитів адміністратору – це як дозволити маркетингу встановлювати правила брандмауера, тому що вони знають голос бренду.
• 2:42
  І так, я бачив конфігурації орендарів, де модерація була вимкнена, щоб зменшити тертя.
• 2:46
  Ви б хотіли, щоб ви не могли.
• 2:47
  Докази, які ви впізнаєте, журнали орендарів, які показують інструменти, викликані з необмеженими параметрами, такими як експорт усіх прапорців, яких ніколи не мало існувати.
• 2:55
  Трасування розмов, де помічник повторює введений рядок з отриманого документа, вимкнені перемикачі модерації.
• 3:00
  Це не гіпотетично, це кожен перегляд після інциденту, на якому ви не хочете бути присутніми.
• 3:04
  Отже, який фіксований шлях ви можете реалізувати сьогодні?
• 3:07
  Для Langchain 4J запроваджуйте списки дозволів у реєстрі інструментів.
• 3:10
  Якщо інструмент не зареєстровано у схемі, він не існує.
• 3:13
  Вимагайте виводи схеми JSON та відхиляйте все, що не перевіряється.
• 3:17
  Немає схеми – немає відповіді – крапка.
• 3:19
  Додайте фільтри шаблонів для очевидних витоків, ключів АРІ, секретів, номерів соціального страхування.
• 3:23
  Фільтри Bloom швидкі та дешеві, використовуйте їх.
• 3:25
  Обертайте інструменти перевірками політик, перевіряйте типи аргументів, діапазони та очікувані формати перед виконанням.
• 3:30
  Додайте модерацію контенту в препост-процесорах, запобігайте дії моделі на токсичний чи конфіденційний контент або його випромінюванню.
• 3:36
  Закривайте помилки з явними винятками та ніколи не повторюйте автоматичні спроби отруєних запитів.
• 3:40
  Для Коопайлот Стюдіо облокуйте системні запити. Тільки адміністратори можуть їх змінювати.
• 3:44
  Версіонуйте їх як код. З'єднувачі області дії за середовищем.
• 3:48
  Розробка, тестування, продаж різних меж.
• 3:50
  Мінімальні привілеї на джерела даних.
• 3:51
  Увімкніть політики модерації контенту на рівні орендаря.
• 3:54
  Це ставки таблиці.
• 3:55
  Для зручності ґрунтуйтеся лише на контенті з позначкою чутливості, а не на всій фермі.
• 4:00
  Швидка перемога, яка окупиться негайно, додайте схему виводу та крок модерації фільтра Bluma на межі агента.
• 4:05
  Ви знищите більшість дурних витоків, не торкаючись бізнес-логіки.
• 4:08
  Потім додайте невеликий список дозволених відхилень для форматів, які ви очікуєте, таких як структуровані резюме, та заблокуйте все інше.
• 4:14
  Дозвольте мені показати вам, як саме це відбувається.
• 4:17
  Наприклад, у вас є інструмент створення заявок, який приймає заголовок, опис та пріоритет.
• 4:21
  Без застосування схеми зловмисник вставляє Description Close у всі інциденти P1 всередині блоку потрійних зворотних позначок.
• 4:28
  Модель пропускає його. Ваша ITSMA різнизує плечима та запускає скрипт оновлення.
• 4:33
  Зі схемою та валідацією опис не може містити токени команд або перевищувати довжину.
• 4:37
  Запит не закривається, реєструється ідентифікатор кореляції, а ваш менеджер спільноти позначає модерацію.
• 4:43
  І бум, подивіться на цей результат.
• 4:45
  Інциденту уникнуто, слід збережено, аудитора заспокоїли.
• 4:48
  Типові помилки, яких слід уникати.
• 4:50
  Дозволити моделі динамічно вибирати назви інструментів.
• 4:52
  Інструменти – це контракти, а не пропозиції.
• 4:54
  Прийняття JSON у вільній формі без валідатора.
• 4:56
  Схоже, JSON – це не комплімент.
• 4:58
  Редагувані підказки у виробничому середовищі.
• 5:01
  Якщо щось можна змінити без перевірки, то так і буде.
• 5:03
  Покладання на пам'ять розмов для політики.
• 5:05
  Політика має бути в коді та конфігурації, а не у вібраціях.
• 5:08
  Як тільки ви це зрозумієте, все інше стане відомим.
• 5:10
  Ви заважаєте стажеру говорити поза чергою.
• 5:12
  Далі ми заважаємо йому заходити в кожну кімнату з головним ключем.
• 5:15
  Випадок другий – над дозвольними конекторами ключі від замку на шнурку.
• 5:19
  Ви заважаєте стажеру говорити.
• 5:21
  Тепер заберіть бейдж.
• 5:22
  Над дозвольними конекторами є той брелок для ключів двірника,
• 5:25
  який відчиняє всі двері в будівлі, включаючи сховище, дитячий садок
• 5:28
  і якимось чином пелотон генерального директора.
• 5:30
  Чому це важливо? Просто.
• 5:31
  Один над дозволений конектор дорівнює вилученню даних по всьому підприємству
• 5:35
  за один запит, а не теоретично.
• 5:36
  Один виклик.
• 5:37
  Поки ви все ще сперечаєтеся про назву заявки на зміну.
• 5:40
  Почнемо з того, що ламається в Langchain 4J.
• 5:43
  Розробники діляться ключами ARRI між агентами для зручності.
• 5:46
  Потім хтось передає заздрість у приватний репозиторі,
• 5:48
  який насправді є публічним, і ви займаєтеся реагуванням на інциденти
• 5:51
  у 2.00 ночі за кордоном.
• 5:52
  Далі йдуть області дії ООО.
• 5:54
  Ви надаєте право на читання та запис, щоб заощадити час під час тестування,
• 5:57
  а через 6 місяців цей тестовий токен тепер є перлиною продакшену.
• 6:00
  А реєстр інструментів?
• 6:02
  Я люблю чистий реєстр, але якщо ви вкажете агенту розробника
• 6:04
  облікові дані для продакшену, тому що демо-версія має працювати сьогодні,
• 6:07
  ви просто підключите бензопилу до румба.
• 6:09
  Більшість людей не помічають, що інструменти успадковують
• 6:11
  будь-яку ідентифікацію, яку ви їм передаєте.
• 6:12
  Спільні облікові дані означають спільний радіус вибуху.
• 6:15
  Немає магії лише для того, щоб зберігати прапорці.
• 6:17
  Якщо токен може видаляти записи, ваш агент може видаляти записи випадково,
• 6:20
  з ентузіазмом та з абсолютною впевненістю.
• 6:22
  Тепер переходьте до Co-Pilot Studio.
• 6:24
  Роз'єми М365 для всього орендаря – це класична пастка.
• 6:27
  Ви клацаєте один раз, і тепер кожен Co-Pilot у кожній команді може бачити дані,
• 6:31
  які не повинен бачити.
• 6:32
  Це не розширення можливостей, це шведський стіл для помилок.
• 6:34
  Потім ви розгортаєте його в командах з видимістю в масштабах всієї організації,
• 6:37
  оскільки впровадження відбувається, і раптом пілотний бот, призначений для фінансів,
• 6:40
  відповідає на запитання в маркетингу, витягує контент із сайтів SharePoint,
• 6:43
  про існування якого він ніколи не мав знати.
• 6:44
  А не керовані сторонні SAS-перехоплювачі.
• 6:46
  Вони схожі на USB-накопичувачі у 2009 році.
• 6:49
  Таємничо скрізь і завжди тимчасові.
• 6:51
  Докази щоразу з'являються однаково.
• 6:53
  Застарілі секрети, які ніколи не змінювалися, без терміну дії, без власника.
• 6:57
  Конектори, зіставлені з глобальними групами для спрощення.
• 7:00
  Реєстрації програм з областями, які читаються як зізнання.
• 7:04
  І так, цей тимчасовий ключ продукту живе в розробці місяцями.
• 7:08
  Ваші висновки щодо безпеки та конфігурації орендерів не брешуть, вони просто зітхнуть.
• 7:11
  Отже, який шлях виправлення?
• 7:13
  Для LungChain 4J ставтеся до кожного агента як до окремої програми з власною ідентифікатором.
• 7:17
  Створюйте принципалі служби для кожного агента.
• 7:19
  Ніяких спільних токенів.
• 7:20
  Якщо двома агентам потрібен один і той самий АРІ, вони все одно отримують різні облікові дані.
• 7:23
  Використовуйте ООД з областю дії.
• 7:25
  Надайте найменший набір дозволів, який дозволяє інструменту виконувати свою роботу.
• 7:28
  Читач, а не записувач.
• 7:29
  Записуйте в одну колекцію, а не в усі.
• 7:31
  Зберігайте секрети у належному менеджері секретів.
• 7:33
  Ротація за розкладом.
• 7:34
  Ротація за інцидентом.
• 7:35
  Ротація, коли хтось навіть пошепки, повідомляє про токен.
• 7:38
  Додайте дворівневий RBAC.
• 7:39
  Обгортка інструменту перевіряє роль абонента, перш ніж торкнутися АРІ.
• 7:42
  Немає ролі, немає виклику.
• 7:43
  Окремі середовища, ключі розробника взаємодіють лише з системами розробника.
• 7:46
  Якщо інструмент бачить кінцеву точку продукту в розробці, він завершує роботу невдало та видає відповідний сигнал у журналах.
• 7:50
  Для кого Pilot Studio проведіть жорсткі межі між середовищами та областями дії.
• 7:54
  Використовуйте розділення середовищ, розробка, тестування, продукт.
• 7:57
  Різні конектори, різні дозволи, різні власники.
• 7:59
  Перегляньте області дії конекторів за допомогою робочого процесу.
• 8:02
  Зміни вимагають схвалення термінів дії та власників.
• 8:04
  Немає власника, немає конектора.
• 8:06
  Застосовуйте політики DLP для кожного каналу.
• 8:07
  Фінансовий канал отримує суворіші правила, ніж для всієї компанії.
• 8:10
  У цьому і суть.
• 8:11
  Припиніть розгортання Teams в масштабах всієї організації для пілотних проєктів.
• 8:13
  Обмежте видимість групою безпеки.
• 8:15
  Розгортайте лише після перевірки.
• 8:17
  Інвентаризуйте та закривайте сторонні SAS-конектори.
• 8:20
  Якщо він не керований, він вимкнено за замовчуванням.
• 8:22
  Власники повинні обґрунтувати доступ та поновлювати його.
• 8:24
  Ось швидка перемога, яку ви можете реалізувати сьогодні в день.
• 8:26
  Знищте області дії для всіх орендерів та зіставте кожен конектор із групою безпеки
• 8:29
  з політикою закінчення терміну дії.
• 8:30
  Коли термін дії групи закінчується, доступ поступово припиняється.
• 8:33
  Без драми, без сюрпризів.
• 8:35
  Дозвольте мені показати вам, як саме це відбувається.
• 8:37
  У вас є інструмент для експорту звітів, який записує дані в корзину сховища.
• 8:39
  Завдяки спільним обліковим даним він може бачити кожну корзину.
• 8:42
  Отже, запитна «Зберегти резервну копію в архів»
• 8:44
  непомітно розміщує конфіденційні дані у загальнодоступному шляху.
• 8:47
  З принципами для кожного агента та ролями з обмеженою областю дії
• 8:50
  цей інструмент може записувати дані лише в одну корзину з одним префіксом.
• 8:54
  Якщо модель вирішує винайти інший шлях, АРІ забороняє це.
• 8:58
  Ви реєструєте ідентифікатор кореляції, і ваш менеджер спільноти видає сповіщення.
• 9:01
  І бум! Жодної випадкової витоку даних.
• 9:03
  Типові помилки, яких слід уникати.
• 9:05
  Використання глобальних груп для доступу лише зараз.
• 9:08
  Тепер це ніколи не закінчується.
• 9:09
  Надання широких або всіх областей дії, тому що документація була заплутаною.
• 9:12
  Плутанина – це недозвіл.
• 9:14
  Копіювання облікових даних між середовищами.
• 9:15
  Якщо ви можете вставити їх, ви вставите їх неправильно.
• 9:18
  Ставлення до видимості ТІМС як до нешкідливої.
• 9:20
  Видимість – це доступ.
• 9:21
  Доступ – це ризик.
• 9:22
  Як тільки ви точно визначите обсяг доступу, аудитори перестануть відчувати запах крові.
• 9:25
  А коли вони все ж таки опиняться в протоколі, вам знадобляться докази,
• 9:28
  що підводить нас до тієї частини, про яку всі забувають.
• 9:30
  Якщо це не зафіксовано, значить цього не сталося.
• 9:32
  Випадок третій.
• 9:33
  Прогалини в аудиті.
• 9:34
  Якщо це не зафіксовано, значить цього не сталося.
• 9:37
  Ви визначили обсяг доступу.
• 9:38
  Чудово.
• 9:39
  Тепер доведіть це, бо коли аудитор запитує, що робив агент у 15.14.
• 9:43
  А ваша відповідь – ми щось думаємо.
• 9:46
  Це не поза.
• 9:47
  Це вибачення.
• 9:48
  Чому це важливо?
• 9:49
  Без походження ви не можете пояснити дивні відповіді,
• 9:52
  скасувати погані дії або навіть дізнатися, чи був інцидент локалізований.
• 9:55
  Регулятори люблять цю невизначеність.
• 9:57
  Клієнти люблять її менше.
• 9:58
  А вашим керівникам дуже подобається, коли ви кажете «Ми поняття не маємо».
• 10:01
  Ось що більшість людей пропускають у Langchain 4J.
• 10:03
  Ваш ланцюг робить набагато більше, ніж визнають ваші журнали.
• 10:06
  Відсутність графіків виконання означає, що ви не можете реконструювати кроки.
• 10:09
  Відсутність ідентифікаторів трасування означає, що події виглядають як випадковий феєрверк.
• 10:12
  Часткові журнали приховують єдиний важливий виклик інструменту.
• 10:15
  А тихі збої інструментів – це мої улюблені.
• 10:18
  Все виглядає зеленим, поки інструмент ніколи не запускався,
• 10:20
  а модель просто галюцинувала відповіддю звічливості.
• 10:22
  Це клацнуло мені в день, коли я розслідував інцидент,
• 10:25
  коли час очікування кроку пошуку минув, він повернув значення NAL,
• 10:28
  а наступний крок щасливо написав «Не знайдено записів під час закриття АРІ заявок».
• 10:31
  Без винятків, без слідів, лише вібрації та закриті заявки.
• 10:34
  Якщо ви не можете відрізнити ви від моделі від виводу інструменту у своїх журналах, у вас вже проблеми.
• 10:38
  Дозвольте мені показати вам, як саме виправити ведення журналу Langchain 4J,
• 10:41
  щоб воно було готове до судового засідання.
• 10:42
  Спочатку увімкніть структуроване ведення журналу всюди – JSON, а не рядковий суд.
• 10:46
  Кожен запит і відповідь отримує конверт з позначками часу,
• 10:48
  назвою моделі, кількістю токенів та ідентифікатором кореляції,
• 10:51
  який зберігається протягом усього ланцюжка.
• 10:52
  Потім додайте графіки виконання або трасування за допомогою Langsmit або Langgraf.
• 10:56
  Кожен вузол реєструє вхідні дані, виходи, тривалість та помилки.
• 10:59
  Якщо інструмент викидає помилки, він викидає гучно.
• 11:01
  Ніяких тихих збоїв? Ні, ми припускали.
• 11:03
  Тепер головне – централізуйте це.
• 11:05
  Направьте трасування та журнали у свій шоу.
• 11:07
  Не залишайте їх в модулі, який автоматично масштабується до забуття.
• 11:09
  Додайте вибірку для шуму, але ніколи не пропускайте помилки.
• 11:11
  Ви хочете шукати за ідентифікатором трасування та бачити всю історію.
• 11:14
  Запитуйте, отримуйте документи, виклики інструментів, відповіді Ари та остаточну відповідь,
• 11:18
  не граючи в The World о 2.00 ночі.
• 11:20
  Переходьте до Co-Pilot Studio.
• 11:21
  Платформа надає вам певну телеметрію, але вона розподілена по командах,
• 11:24
  дата верста будь-якому роз'єму, до якого ви торкалися.
• 11:26
  Обмежений експорт розмов означає, що ви отримуєте фрагменти, а не описи.
• 11:30
  Фрагментована телеметрія означає, що ваш відповідальний за дотримання вимог співробітник
• 11:33
  зшиває скріншоти як щось майстерне.
• 11:34
  Виправте це, створивши єдину смугу аудиту.
• 11:37
  Увімкніть збереження транскриптів розмов із чіткими угодами про рівень обслуговування,
• 11:40
  СЛА, хто їх зберігає, як довго та чому.
• 11:42
  Експортуйте журнали розмов і дій до централізованого робочого простору,
• 11:45
  такого як Fabric або Log Analytics.
• 11:46
  Позначте кожну подію ідентифікатором кореляції,
• 11:49
  який ви передаєте від точки входу в Teams, аж до плагінів Dataverse та ARRI нижньої лінії.
• 11:53
  Якщо в чаті написано «Створити запит, я хочу перейти до точного запису в точній системі
• 11:57
  з точними даними, які були надіслані».
• 11:59
  Докази, які ви впізнаєте з оглядів інцидентів.
• 12:02
  Осиротілі виклики ЛЛМ у необроблених журналах, які не відповідають жодному сеансу користувача.
• 12:06
  Виклики інструментів без відповідного запиту.
• 12:08
  Або відповіді з посиланням на джерела, які ви не можете знайти,
• 12:10
  оскільки журнали заземлення не містять ідентифікаторів документів.
• 12:12
  Це не загадка. Це відсутня сантехніка.
• 12:15
  Швидкі перемоги, які ви можете реалізувати цього тижня.
• 12:17
  Зробіть конверти відповідей на запити обов'язковими з хешами.
• 12:19
  Зберігайте хеш вмісту запитів, отримуйте фрагменти та виводи,
• 12:22
  щоб ви могли довести цілісність.
• 12:24
  Якщо хтось втручається, хеш каже «Ні».
• 12:26
  Вимагайте ідентифікатори кореляції від початку до кінця.
• 12:29
  Генеруйте на межі, пропускайте кожен стрибок та відхиляйте будь-який виклик, який його втрачає.
• 12:32
  Немає ідентифікатора, немає послуги.
• 12:34
  Визначте угоди про рівень обслуговування, SLA, щодо зберігання.
• 12:36
  Юридичні підписи, безпека забезпечує їх забезпечення.
• 12:38
  90 днів для розробників, рік для продуктів, довше для регульованих доменів.
• 12:41
  Опублікуйте це. Живіть за цим.
• 12:43
  Типові помилки, яких слід уникати.
• 12:45
  Реєстрація необроблених секретів або PII.
• 12:46
  Маскування біля джерела.
• 12:48
  Зберігайте поля, необхідні для криміналістики, а не для коштовностей корони.
• 12:50
  Помилки-вибірки. Успішна вибірка.
• 12:52
  Реєструйте всі невдачі.
• 12:53
  Коли щось ламається, вам знадобиться кожна крихта навігації.
• 12:56
  Журнали у вільному текстовому форматі, люди їх люблять, машини ненавидять.
• 12:59
  Використовуйте поля.
• 13:00
  Додавайте схеми.
• 13:01
  Перевіряйте при отриманні.
• 13:02
  Тепер аудитори запитують, що сталося.
• 13:04
  Ви відкриваєте одну трасування.
• 13:06
  Ви показуєте запит, отримані ідентифікатори документів,
• 13:08
  вхідні дані інструменту, вихідні дані інструменту та остаточне повідомлення.
• 13:11
  Ідентифікатор кореляції збігається зі шлюзом ARRI,
• 13:13
  записом у базу даних та повідомленням Teams.
• 13:15
  І бум, історія в силі.
• 13:17
  Тож, коли ви можете бачити, ви можете керувати,
• 13:19
  а це означає, що час формалізувати правила та заблокувати, хто що робить.
• 13:23
  Модель RBAC-агента розглядає агентів як дуже дурних, дуже потужних користувачів.
• 13:27
  У вас є видимість.
• 13:28
  Добре.
• 13:28
  Тепер дайте цим речам ідентичність та повідець.
• 13:31
  Агенти – це користувачі.
• 13:32
  Дуже дурні, дуже потужні користувачі.
• 13:34
  Якщо ви не дали б тимчасового адміністратора людини з першого дня,
• 13:36
  не передайте його стокастичному папузі, який не може відрізнити сарказм від судов.
• 13:39
  Чому це важливо?
• 13:40
  Більшість організацій захищають людей та ігнорують агентів.
• 13:43
  Тоді агент обходить найменші привілеї за задумом.
• 13:46
  Він переходить з одного інструменту в інший, з іншого середовища,
• 13:48
  і ніхто цього не помічає, бо не відображається в організаційній діаграмі.
• 13:51
  Ось так бот-помічник перетворюється на тіньового адміністратора.
• 13:54
  Ось модель, яку я хочу, щоб ви реалізували.
• 13:56
  Одна ідентифікація на агента – чіткі ролі, перевірки політику коді та межі середовища,
• 14:00
  які дійсно щось значать.
• 14:01
  Почніть з ідентифікації, створіть принципала служби для кожного агента,
• 14:04
  а не бота платформи 0.1.
• 14:06
  Фактичне однозначне зіставлення.
• 14:08
  Назвіть це як додаток.
• 14:09
  Позначте його тегами власника, призначення, середовище та термін дії.
• 14:12
  Якщо два агенти звертаються до одного і того ж арі,
• 14:13
  вони все одно отримають різні ідентифікації.
• 14:15
  Спільна ідентифікація дорівнює спільному радіусу вибуху.
• 14:17
  Потім визначте таксономію ролей, яку можуть застосовувати навіть зайняті люди.
• 14:20
  Я використовую чотири читач, виконавець, автор, адміністратор.
• 14:23
  Читач може отримувати дані без побічних ефектів.
• 14:26
  Думайте про запит, отримання, підсумовування.
• 14:28
  Виконавець може викликати робочі процеси з обмеженими ефектами.
• 14:31
  Створювати заявку, надсилати схвалення, планувати зустріч.
• 14:34
  Автор може записувати дані в певні області.
• 14:36
  Одна таблиця, одне відро, одна поштова скринька – не всі.
• 14:40
  Адміністратор може змінювати конфігурацію.
• 14:42
  Ця роль має змусити вас попітніти.
• 14:43
  Використовуйте економно, обмежено в часі та завжди з подвійним схваленням.
• 14:47
  Тепер зіставте це з LongChain 4J.
• 14:49
  Інструменти – це ваші точки виконання.
• 14:50
  Кожна обгортка інструменту перевіряє роль викликаючого перед виконанням.
• 14:54
  Якщо ідентифікатор агента зіставлено з читачем, інструмент запису навіть не отримує виклик.
• 14:58
  І не зупиняйтеся на ролі, включіть область дії ресурсу.
• 15:00
  Інструмент запису для фінансування справ не може писати випадки продажу.
• 15:04
  Область дії – це не коментар, це шлюз.
• 15:06
  Використовуйте змінні середовища та файли конфігурації для прив'язки інструментів до середовищ.
• 15:10
  Агент розробника бачить лише хости розробника та ключі розробника.
• 15:12
  Якщо він намагається використати URL-адресу продукту, завершіть помилку та голосно зареєструйте її.
• 15:15
  Перевірки політик відбуваються на межі, а не після невдалого виклику ARRI.
• 15:19
  У Coopilot Studio виконайте ту саму схему з ролями середовища та областями дії коннектора.
• 15:23
  Призначте агента середовищу з дозволами, що відображають читача, тобто виконавець, автор, адміністратор.
• 15:28
  Дозволи коннектора зіставляються з групами безпеки, пов'язаними з цими ролями.
• 15:32
  Межі розгортання Teams – це ваш радіус дії.
• 15:34
  Тримайте пілотів у невеликій групі.
• 15:36
  Розширюйте лише за допомогою заявки на зміни.
• 15:38
  Саме тут робочий процес перевірки забезпечує чесність.
• 15:40
  Будь-яка зміна області дії є запитом на зміни.
• 15:42
  Перелічіть агента, запитувану роль, коннектор або інструмент, середовище, причину, запитувача та термін дії.
• 15:48
  Два схвалення, один технічний власник, один власник даних.
• 15:51
  Коли настає термін дії, доступ автоматично припиняється і ви отримуєте сповіщення, пропоновлення або відмову.
• 15:55
  Тимчасовий, зрештою, означає тимчасовий.
• 15:58
  Дозвольте мені показати вам, як саме це відбувається на мікроісторії.
• 16:00
  Агент з питань питань та відповідей з фінансів починає як читач.
• 16:03
  Людям це подобається, тому продукт хоче створити звіт про витрати.
• 16:05
  І це дія виконавця з вузькою сферою дії.
• 16:07
  Ви додаєте новий інструмент з політикою на рівні інструменту, лише надсилання витрат, лише для центру витрат співробітників, лише до п'яти вкладень.
• 16:15
  Ідентифікатор агента отримує статус виконавця для цього єдиного арі, термін дії якого закінчується через 30 днів.
• 16:19
  У Коу Пайлат Стюдіо у середовище отримує дозвіл на конектор до однієї таблиці Dataverse з безпекою на рівні рядків.
• 16:25
  Журнали аудиту показують квиток змін осіб, які схвалюють термін дії.
• 16:28
  Коли маркетинг також запитує видалення звітів, ви відхиляєте або перенаправляєте до окремого інструменту написання з власними власниками та угодою про рівень обслуговування.
• 16:35
  Модель може вимагати чого завгодно.
• 16:37
  Політика забезпечує все.
• 16:38
  Поширені помилки, які вам потрібно припинити.
• 16:41
  Спільні ідентифікаційні дані для зручності.
• 16:43
  Зручність – ворог стримування.
• 16:44
  Тимчасове адміністрування – термін дії, якого ніколи не закінчується.
• 16:47
  Встановлюйте тайм-аути на дозвіл, а не на календар.
• 16:49
  Проєктуйте облікові дані в розробці, щоб розблокувати демонстрації.
• 16:52
  Демонстраціям не потрібні виробничі дані, потрібні аудитори.
• 16:54
  Контроль інструментів за допомогою інтерфейсу користувача, а не коду.
• 16:56
  Якщо модель може їх викликати, інтерфейс користувача не має значення.
• 16:59
  Якщо ви нічого більше не пам'ятаєте, ставтеся до агентів як до користувачів з дурною цікавістю та гострими ножами.
• 17:03
  Ідентичність на агента, роль на дію, область дії на ресурс, обмежений часом за замовчуванням,
• 17:08
  і кожен виклик перевіряє політику, перш ніж торкнутися даних.
• 17:11
  Політики втрати даних, які фактично блокують перетворення щі на протікаючий кран.
• 17:14
  Видали агентам ідентичність та ролі.
• 17:16
  Тепер ми зупиняємо протікання.
• 17:18
  Управління тут проактивне.
• 17:19
  Блокуйте погане, перш ніж воно поки не будівлю.
• 17:21
  Чому це важливо?
• 17:22
  Щі множить вплив?
• 17:23
  Одне запит може створити сотню вихідних токенів, кожен з яких є потенційним витоком.
• 17:27
  Якщо ваші елементи керування відображаються лише в постмортимі,
• 17:29
  ви займаєтесь криміналістикою, а не управлінням.
• 17:31
  Ось набір політик, який дійсно кусається.
• 17:33
  Уявіть, це як ремені безпеки, подушки безпеки та цегляну стіну.
• 17:36
  Зменшення PII на виходах за замовчуванням.
• 17:38
  Імена, електронні адреси, номери телефонів, національні ідентифікатори.
• 17:41
  Якщо користувач не має прав, це маскується.
• 17:43
  Нічиї внутрішні витоки не є місцем, де живуть.
• 17:46
  Виявлення секретів.
• 17:47
  Захист ключів ARRI, токенів, закритих ключів, рядків підключення, шаблонів,
• 17:50
  а також фільтрів Bluma для швидкості.
• 17:51
  Додайте контрольні суми для поширених форматів,
• 17:53
  щоб хибно-позитивні результати не пригнічували вас.
• 17:55
  Конфіденційні фільтри термінів налаштовані на ваш бізнес.
• 17:58
  Назви юридичних проєктів, кодові слова MEA,
• 18:00
  неопубліковані кодові назви продуктів.
• 18:01
  Зберігайте цей список у керованому сховищі з власниками та історією змін.
• 18:04
  Список дозволених регулярних виразів для структури виводу.
• 18:07
  Якщо інструмент очікує зведення рахунку фактури,
• 18:08
  проходять лише виводи форми рахунку фактури.
• 18:10
  Наративна поезія не проходить.
• 18:11
  Схеми не є необов'язковими.
• 18:13
  Вони є контрактами.
• 18:14
  У Langchain 4J – Pre- та постпроцесори забезпечення виконання.
• 18:16
  Препроцесори сканують вхідні дані на наявність корисних навантажень,
• 18:18
  ін'єкцій та заборонених завдань.
• 18:20
  Постпроцесори перевіряють схеми JSON,
• 18:21
  запускають фільтри секретних термінів та редагують особисту інформацію,
• 18:24
  перш ніж щось покине межі агента.
• 18:26
  Якщо перевірка не вдається,
• 18:27
  ви повертаєте безпечну помилку з ідентифікатором кореляції.
• 18:30
  Без часткових істин.
• 18:31
  Без можливостей.
• 18:32
  Додайте конвейери модерації.
• 18:34
  Легкі фільтри шаблонів та фільтри блума.
• 18:36
  Важча модерація на основі штучного інтелекту для контексту.
• 18:38
  Наприклад, не розголошуйте дані про стан.
• 18:40
  З'єднуйте їх у ланцюжок.
• 18:42
  Закривайте помилки.
• 18:43
  І визначайте резервну поведінку.
• 18:45
  Підсумовуйте на вищому рівні,
• 18:46
  надавайте безпечну відмову або перенаправляйте до людини.
• 18:48
  Не зациклюйте модель, щоб забезпечити безпечніший витік.
• 18:50
  У Co-Pilot Studio використовуйте стек, за який ви вже платите.
• 18:53
  Політики DLP в Microsoft 365 застосовуються до каналів і з'єднувачів.
• 18:57
  Увімкніть їх та налаштуйте.
• 18:59
  Використовуйте мітки чутливості у своїх джерелах заземлення,
• 19:01
  щоб агент ніколи не індексував міст із високим впливом без явного схвалення.
• 19:04
  Модерація на рівні клієнта має бути ввімкнена за замовчуванням,
• 19:07
  а не «Ми ввімкнемо її пізніше».
• 19:09
  Пізніше підключається піар.
• 19:10
  Моніторинг пов'язує це разом.
• 19:12
  Встановлюйте порогові значення, незвичайний розмір виводу,
• 19:14
  незвичайне місце призначення, незвичайну частоту.
• 19:16
  Якщо бот запитань і відповідей раптово записує мегабайти
• 19:18
  на зовнішню кінцеву точку, помістіть сеанс у карантин.
• 19:20
  Автоматично завершуйте ризиковані сеанси та повідомляйте власників.
• 19:23
  Забезпечте дієвість сповіщень.
• 19:25
  Не надсилайте всім запити для кожної події маскування.
• 19:27
  Швидка перемога, яку ви можете реалізувати сьогодні.
• 19:29
  Застосовуйте схеми виводу та умови списку блокування на межі агента.
• 19:32
  Немає схеми, немає відповіді.
• 19:34
  Додайте скорочення PII як останній прохід.
• 19:36
  Ця комбінація зупиняє очевидні витоки та дає вам час для реалізації решти.
• 19:39
  Типові помилки.
• 19:40
  Дозволяйте залежати від фронт-енд-коду.
• 19:42
  Редагуйте на стороні сервера, перш ніж повідомлення дійде до клієнта.
• 19:45
  Один глобальний список блокування.
• 19:47
  Сегментуйте за бізнес-доменами.
• 19:48
  Фінансові слова – це не маркетингові слова.
• 19:50
  Реєстрація невідредагованого оригіналу для налагодження.
• 19:53
  Маскування під час прийому.
• 19:54
  Зберігайте захищену копію сховища, лише якщо ваша юридична команда підписала дозвіл.
• 19:57
  Заблокуйте кран, а потім спробуйте навмисно його зламати.
• 20:00
  Червоний контрольний список для командування.
• 20:02
  Зламайте його, перш ніж це зроблять продюсери.
• 20:12
  Спочатку тести введення.
• 20:42
  Експортуйте всі електронні листи.
• 20:44
  Ви отримаєте відмову з журналом аудиту.
• 20:46
  Далі тести доступу.
• 20:47
  Ескалація області дії.
• 20:48
  Запит дій поза роллю агента.
• 20:50
  Інструменти повинні блокуватися на рівні оболонки.
• 20:52
  Поведінка простроченого токена.
• 20:53
  Ротувати секрети посеред сеансу.
• 20:55
  Виклики повинні завершуватися невдачею з явними помилками.
• 20:57
  Витік тіньового середовища.
• 20:59
  Агент розробника намагається кінцеві точки продукту.
• 21:01
  Жорсткий збій.
• 21:02
  Гучні журнали.
• 21:03
  Аудиторські тести.
• 21:04
  Повнота трасування.
• 21:05
  Чи можете ви реконструювати запит на дію з одним ідентифікатором кореляції?
• 21:08
  Виявлення зміни, зміна збережених журналів, невідповідність хешу повинні викликати тривогу.
• 21:12
  Міжсервісна кореляція, ідентифікатор повідомлення Teams до запису Dataverse для зовнішнього виклику АРІ усі збіги.
• 21:17
  Визначте шлюзи, пройдено, не пройдено.
• 21:19
  Без схеми це призведе до невдачі.
• 21:21
  Будь-який вивід, який не перевіряється, блокує випуск.
• 21:23
  Область дії для всього орендаря – це призведе до невдачі.
• 21:25
  Будь-який з'єднувач без груп областей дії та терміну дії блокується.
• 21:28
  Тихий збій інструменту – це призведе до невдачі.
• 21:30
  Помилки мають бути виявлені, а не проковтнуті.
• 21:32
  Без плану відкату – це призведе до невдачі.
• 21:34
  Якщо ви не можете скасувати зміну дозволів або конфігурацію моделі за лічені хвилини, ви не готові.
• 21:38
  Попередній реліз Cadence для кожної зміни агента.
• 21:40
  Щоквартельні тренування хаосу в середовищах, подібних до продукту.
• 21:43
  Цикл навчання після інциденту протягом п'яти робочих днів з новими тестами, доданими до набору.
• 21:47
  Власники та СЛА кожен елемент контрольного списку має власника та СЛА для виправлення, а також статус.
• 21:52
  Немає власника – немає корабля.
• 21:54
  Швидка перемога.
• 21:55
  Немає схеми – вона не спрацює, і область дії для всього орендаря – вона не спрацює, оскільки CICD перевіряє.
• 21:59
  Якщо будь-який з них спрацює, конвейер зупиняється.
• 22:01
  Ніяких зустрічей, жодних дебатів, лише червоне світло, яке всі поважають.
• 22:04
  Запустіть список.
• 22:05
  Зламайте речі.
• 22:06
  Виправте їх.
• 22:07
  Потім запускайте його знову, доки сюрпризи не перестануть бути дивними.
• 22:10
  Єдиний крок управління, який пропускає більшість організацій.
• 22:13
  Якщо ви нічого більше не пам'ятаєте, агенти – це ідентичності.
• 22:16
  Ставтеся до них як до дуже дурних, дуже потужних користувачів з найменшими привілеями, примусовими вихідними контрактами та повними журналами аудиту.
• 22:22
  Крок, який пропускає більшість організацій – це створення виділених принципалів служб для кожного агента, а потім підключення кожного інструменту та з'єднувача через ролі, обмежені областю дії за середовищем.
• 22:30
  Ніяких спільних облікових даних, жодних областей дії для всього орендаря.
• 22:33
  Впроведьте модель RBAC.
• 22:35
  Увімкніть політики DLP та виконайте контрольний список червоної команди цього тижня.
• 22:39
  Підпишіться на подальші оновлення, де я покажу точні конфігурації в LongChain для JTACO Pilot Studio, щоб ви могли копіювати та вставляти управління замість вибачень.