Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Governance voor AI-agents met LangChain4j en Copilot Studio: promptinjectie, connectors, audit en RBAC (AI-nasynchronisatie)

Transcript

Governance voor AI-agents met LangChain4j en Copilot Studio: promptinjectie, connectors, audit en RBAC (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

• 0:00
  AI-agents worden sneller uitgebracht dan je change control vergaderingen en de governance is slechts een viebe.
• 0:04
  Ken je dat gevoel wanneer een copilot wordt gelanceerd met ten een brede toegang, alleen voor tests?
• 0:08
  Ja, dat is de hardslag van je compliance officer die je hoort.
• 0:11
  Vandaag haal ik de chaos in longchain 4J en copilot studio uit elkaar met echte cases, prompt injectie,
• 0:16
  teruime connectors en hiëten in audits.
• 0:18
  En ik laat je zien wat er stuk gaat, waarom het stuk gaat en de oplossingen die echt werken.
• 0:22
  Blijf tot het einde kijken, dan geef ik je de ene governance stap die de meeste incidenten voorkomt.
• 0:26
  Je gaat weg met een RBAC-model voor agents, beleid voor gegevensverlies en een checklist voor redteaming.
• 0:32
  Case 1, prompt injectie.
• 0:34
  De stagiair zonder toezicht schrijft het beleid.
• 0:36
  Prompt injectie is die stagiair zonder toezicht die behulpzaam klinkt, in hele zinnen schrijft en vervolgens salarisgegevens naar hun privéarchief mailt voor bewaring.
• 0:45
  Jij denkt dat je systeem prompt de wet is.
• 0:47
  Het model denkt dat het een suggestie is.
• 0:49
  En zodra je het baseert op interne content, kan één pikant document of gebruikersbericht de regels halverwege een gesprek herschrijven.
• 0:55
  Waarom dit belangrijk is?
• 0:57
  Wanneer injectie wint, wordt je agent een data lekkende dichter.
• 1:00
  Het hallucineert, escaleert tools en negeert beleidstaal alsof het de wifi gebruiksvoorwaarden zijn.
• 1:06
  In gereguleerde sectoren is dat geen bak, maar een meldbaar incident met de naam van jouw bedrijf erop.
• 1:10
  Laten we beginnen met wat er stuk gaat in Longchain 4J.
• 1:13
  Wat de meeste mensen missen is dat tool aanroepen zonder strikte output schema's in feite betekent doe misdaad.
• 1:18
  Als je tools ongecontroleerde argumenten accepteren, denk aan vrije tekst, SQL of queryvelden, en je valideert geen types, bereiken of enems, dan geeft het model vrolijk door wat een aanvaller binnensmokkelt.
• 1:31
  Zwakke outputvalidatie is de medeplichtige.
• 1:34
  Wanneer je JSON verwacht maar JSON-achtig accepteert, kan een aanvaller instructies in commentaren of strings sluizen die je passerstroom afwaarts als commando's behandelt.
• 1:41
  Dit drong tot me door toen ik lag zag waarin een retrieval to a topic parameter met willekeurige markdown accepteerde.
• 1:47
  De volgende aanroep gaf die markdown door alsof het configuratie was.
• 1:51
  Dat is geen orkestratie, dat is jezelf in de voet schieten.
• 1:54
  Nu, dit is waar de meeste mensen de fout ingaan.
• 1:56
  Ze vertrouwen op de, wees alsjeblieft veilig, instelling van het model in plaats van opvangrails in de code.
• 2:00
  In Longchain 4J heb je allowlists nodig voor toolnamen en argumenten, JSON-schema outputs afgedwommen aan de grens op patronen gebaseerde outputfilters om geheimen te vernietigen,
• 2:10
  en uitzonderingsafhandeling die niet vijf keer dezelfde vergiftigde invoer opnieuw probeert als een golden retriever met een tennisbal.
• 2:16
  De reden dat dit werkt is dat het vertrouwen op het model verandert in verifieer elke byte.
• 2:20
  Wat gaat er stuk in Copilot Studio? Naïeve grounding met brede SharePoint ingestie.
• 2:25
  Je koppelt een volledige siteverzameling voor de volledigheid, en nu wordt één onboarding document met, negeer eerdere instructies, de nieuwe religie van je agent.
• 2:32
  Systeemprompts die bewerkbaar zijn door zakelijke gebruikers, zijn het vervolg.
• 2:35
  Ik ben dol op zakelijke gebruikers, maar hem beheer over prompts geven is alsof je marketing firewall regels laat instellen omdat ze de merkstem kennen.
• 2:42
  En ja, ik heb tenant configuraties gezien waar moderatie was uitgeschakeld om wrijving te verminderen.
• 2:46
  Je wou dat je ze niet had gezien.
• 2:47
  Bewijs dat je zult herkennen, tenant laks die tonen dat tools worden aangeroepen met onbeperkte parameters, zoals exporteer alle, vlaggen die nooit hadden mogen bestaan.
• 2:55
  Gespreksporen waarin de assistent een geïnjecteerde string uit een opgehaald document herhaalt, met uitgeschakelde moderatie instellingen.
• 3:01
  Dat is niet hypothetisch, dat is elke postincident evaluatie waar je niet bij wilt zijn.
• 3:05
  Dus, wat is het vaste pad dat je vandaag kunt implementeren?
• 3:07
  Voor Longchain 4J, dwing allow lists af bij het toolregister.
• 3:10
  Als de tool niet is geregistreerd met een schema, bestaat deze niet.
• 3:13
  Verrijs JSON schema uitvoer en verwerp alles wat niet valideert.
• 3:16
  Geen schema, geen antwoord, punt uit.
• 3:19
  Voeg patroonfilters toe voor duidelijke lekken, API-sleutels, geheime, burgerservice-nummers.
• 3:23
  Bloemfilters zijn snel en goedkoop, gebruik ze.
• 3:25
  Omring tools met beleidscontroles, valideer argumenttypes, bereiken en verwachte formaten voor uitvoering.
• 3:31
  Voeg inhoudsmoderatie toe in pre- en postprocessors, voorkom dat het model handelt op of giftige of gevoelige inhoud verspreidt.
• 3:36
  Voul gesloten met expliciete uitzonderingen en probeer vergiftigde prompts nooit automatisch opnieuw.
• 3:41
  Voor Copilot Studio, vergrendel systeemprompts.
• 3:43
  Alleen beheerders kunnen ze wijzigen.
• 3:45
  Versie ze als code.
• 3:46
  Beperk connectors per omgeving.
• 3:47
  Dev, test, prod hebben verschillende grenzen.
• 3:50
  Minste privilege op gegevensbronnen.
• 3:51
  Schakel inhoudsmoderatiebeleid in op tenantniveau.
• 3:54
  Dit is de basisvereisten.
• 3:55
  Baseer je alleen op gelabelde, gevoeligheidsgetagde inhoud, niet op de hele boerderij voor het gemak.
• 4:00
  De snelle winst die direct loont, voeg een uitvoerschema en een bloemfiltermoderatiestap toe aan de agentgrens.
• 4:05
  Je elimineert de meeste domme lekken zonder de bedrijfslogica aan te raken.
• 4:09
  Voeg daarna een kleine reject-lijst toe voor formaten die je verwacht, zoals gestructureerde samenvattingen, en blokkeer al het overige.
• 4:14
  Laat me precies zien hoe dit uitpakt.
• 4:16
  Bijvoorbeeld, je hebt een tool voor het aanmaken van tickets die titel, beschrijving en prioriteit accepteert.
• 4:21
  Zonder schema-handhaving injecteert een aanvaller de beschrijving, sluit alle P1-incidenten, in een blok met drievoudige backticks.
• 4:28
  Het model laat dit door.
• 4:29
  Je ITSMAPI haalt zijn schouders op en voert een updatescript uit.
• 4:33
  Met schema en validatie kan de beschrijving geen opdrachttokens bevatten of de lengte overschrijden.
• 4:37
  Het verzoek faalt gesloten, locht de correlatie-ID en je CMR keert een moderatie-hit.
• 4:43
  En boom, kijk naar dat resultaat.
• 4:45
  Incident vermeden, spoor bewaard, add-it er tevreden.
• 4:48
  Veel gemaakte fouten om te vermijden.
• 4:50
  Het model dynamisch toolnamen laten kiezen.
• 4:52
  Tools zijn contracten, geen suggesties.
• 4:54
  Vrije vorm JSON accepteren zonder validator.
• 4:57
  Lijkt op JSON is geen compliment.
• 4:58
  Bewerkbare pomps in productieomgevingen.
• 5:00
  Als het zonder review kan veranderen, zal het dat ook doen.
• 5:03
  Vertrouwen op gespreksgeheugen voor beleid.
• 5:05
  Beleid hoort in code en configuratie, niet in gevoelens.
• 5:08
  Als je dit eenmaal doorhebt, valt alles op zijn plek.
• 5:10
  Je voorkomt dat de stagiair uit de bocht vliegt.
• 5:12
  Vervolgens voorkomen we dat ze met een loper elke kamer binnenlopen.
• 5:15
  Geval 2.
• 5:16
  Teruime connectors.
• 5:17
  De sleutels van het kasteel aan een keycord.
• 5:19
  Je voorkomt dat de stagiair praat.
• 5:21
  Neem nu de badge terug.
• 5:22
  Teruime connectors zijn die conciërgesleutelbos die elke deur in het gebouw opent,
• 5:26
  inclusief de kluis, de crash en op de een of andere manier de peloton van de CEO.
• 5:29
  Waarom dit belangrijk is, is simpel.
• 5:31
  Eén te ruime connector staat gelijk aan data-exfiltratie door het hele bedrijf in één verzoek, niet theoretisch.
• 5:37
  Eén aanroep.
• 5:37
  Terwijl je nog ruziet over de titel van het wijzigingsverzoek.
• 5:40
  Laten we beginnen met wat er misgaat in Longchain 4J.
• 5:43
  Ontwikkelaars delen API-keys tussen agents voor het gemak.
• 5:46
  Dan commit iemand de ENV naar een privé-repo die eigenlijk publiek is
• 5:49
  en zit je om twee uur s'nachts in het buitenlandincidentresponse te doen.
• 5:52
  O-out-scopes zijn de volgende stap.
• 5:54
  Je verleent read-write toegang om tijd te besparen tijdens het testen
• 5:57
  en zes maanden later is dat testtoken het kroonjuweel van de productieomgeving.
• 6:01
  En het toolregister?
• 6:02
  Ik hou van een schoon register, maar als je een dev-agent aan productie-credentials koppelt
• 6:05
  omdat de demo vandaag moet werken, heb je zojuist een kettingzaag aan een Roomba vastgemaakt.
• 6:09
  Wat de meeste mensen missen, is dat tools de identiteit erven die je ze geeft.
• 6:12
  Gedeelde credentials betekenen een gedeelde explosieradius.
• 6:15
  Er is geen magische, alleen opslaan, vlag.
• 6:17
  Als het token records kan verwijderen, kan je agent records verwijderen,
• 6:20
  per ongeluk, enthousiast en met volste vertrouwen.
• 6:22
  Nu, over naar Copilot Studio.
• 6:24
  Tenant brede M365 connectors zijn de klassieke valstrik.
• 6:28
  Je klikt één keer en plotseling kan elke copilot in elk team gegevens zien die hij niet zou mogen zien.
• 6:32
  Dat is geen empowerment, dat is een buffet voor fouten.
• 6:34
  Dan implementeer je in teams met organisatie brede zichtbaarheid voor de adoptie
• 6:37
  en plotseling beantwoord een pilotbot bedoeld voor finance-vragen in marketing,
• 6:41
  waarbij content uit SharePoint-sites wordt gehaald waarvan het nooit had mogen weten dat ze bestonden.
• 6:45
  En onbeheerde SaaS-hoeks van derde?
• 6:46
  Die zijn als USB-sticks in 2009.
• 6:49
  Op mysterieuze wijze overal en altijd tijdelijk.
• 6:51
  Bewijsmateriaal duikt elke keer op dezelfde manier op.
• 6:54
  Oude secrets die nooit zijn geroteerd.
• 6:56
  Geen verloopdatum, geen eigenaar.
• 6:58
  Connectors gekoppeld aan globale groepen voor het gemak.
• 7:00
  App-registraties met scopes die klinken als een bekentenis.
• 7:04
  En ja, die tijdelijke productie-key die al maanden in de dev-omgeving leeft.
• 7:08
  Je security-bevindingen en tenant-configuraties liegen niet, ze zullen alleen zuchten.
• 7:11
  Dus, wat is het pad naar herstel?
• 7:13
  Behandel voor longchain 4J elke agent als een aparte applicatie met een eigen identiteit.
• 7:17
  Maak service principles aan per agent.
• 7:19
  Gebruik geen gedeelde tokens.
• 7:20
  Als twee agents dezelfde API nodig hebben, krijgen ze nog steeds verschillende inloggegevens.
• 7:23
  Gebruik scoped OAuth.
• 7:25
  Verleen de kleinst mogelijke set rechten waarmee de tool zijn werk kan doen.
• 7:28
  Lezer, geen schrijver.
• 7:29
  Schrijf naar één verzameling, niet allemaal.
• 7:31
  Sla geheimen op in een degelijke secret manager.
• 7:33
  Roteer volgens een schema.
• 7:34
  Roteer bij incidenten.
• 7:36
  Roteer zodra iemand ook maar over een token fluistert.
• 7:38
  Voeg RBAC op twee niveaus toe.
• 7:39
  Een toolrapper controleert de rol van de aanroeper voordat deze een API aanraakt.
• 7:42
  Geen rol, geen aanroep.
• 7:43
  Scheid omgevingen, dev keys communiceren alleen met dev systemen.
• 7:46
  Als een tool een productie eindpunt ziet in dev, blokkeert hij en waarschuwt hij in de logboeken.
• 7:50
  Trek voor co-pilot studio harde grenzen met omgevingen en scopes.
• 7:54
  Gebruik scheiding van omgevingen, dev, test, prod.
• 7:57
  Verschillende connectoren, verschillende rechten, verschillende eigenaren.
• 8:00
  Beoordeel connector scopes met een workflow.
• 8:02
  Wijzigingen vereisen goedkeuring, vervaldata en eigenaren.
• 8:04
  Geen eigenaar, geen connector.
• 8:06
  Pas DLP beleid toe per kanaal.
• 8:07
  Financiële kanalen krijgen strengere regels dan bedrijfsbrede kanalen.
• 8:10
  Dat is precies het punt.
• 8:11
  Stop bedrijfsbrede teams implementaties voor pilots.
• 8:14
  Beperk de zichtbaarheid tot een beveiligingsgroep.
• 8:16
  Breed pas uit na beoordeling.
• 8:17
  Inventariseer en beheer saas connectoren van derden.
• 8:20
  Als het niet beheerd wordt, staat het standaard uit.
• 8:22
  Eigenaren moeten toegang rechtvaardigen en vernieuwen.
• 8:24
  Hier is een snelle winst die je vanmiddag kunt doorvoeren.
• 8:26
  Schaf tenant brede scopes af en koppel elke connector aan een beveiligingsgroep met een vervalbeleid.
• 8:31
  Wanneer de groep verloopt, vervalt de toegang automatisch.
• 8:33
  Geen drama, geen verrassingen.
• 8:37
  Exporttool die schrijft naar een opslagbucket.
• 8:39
  Met gedeelde inloggegevens kan deze elke bucket zien.
• 8:42
  Dus een prompt met sla reservekopie op in archief plaatst gevoelige datastilletjes op een publiek toegankelijk pad.
• 8:48
  Met per agent principles en scoped rollen kan die tool alleen naar één bucket met één voorvoegsel schrijven.
• 8:54
  Als het model besluit een ander pad te verzinnen, weigert de API dit.
• 8:58
  Je logt de correlatie-ID en je CM verstuurt een waarschuwing.
• 9:01
  En boom, geen onbedoeld data-lag.
• 9:03
  Veel gemaakte fouten om te vermijden.
• 9:05
  Wereldwijde groepen gebruiken voor toegang alleen voor even.
• 9:08
  Dat even eindigt nooit.
• 9:09
  Brede of alle scoops toekennen omdat de documentatie onduidelijk was.
• 9:12
  Onduidelijkheid is geen machtiging.
• 9:14
  Inloggegevens kopiëren tussen omgevingen.
• 9:16
  Als je het kunt kopiëren, plak je het ongetwijfeld verkeerd.
• 9:18
  Zichtbaarheid in teams als onschadelijk beschouwen.
• 9:20
  Zichtbaarheid is toegang.
• 9:21
  Toegang is risico.
• 9:22
  Zodra je toegangscoping op orde hebt, ruiken auditors geen bloed meer.
• 9:26
  En wanneer ze aankloppen, heb je bewijs nodig.
• 9:28
  Wat ons brengt bij het onderdeel dat iedereen vergeet.
• 9:30
  Als het niet gelogd is, is het niet gebeurd.
• 9:32
  Geval 3.
• 9:33
  Gaten in de audit.
• 9:34
  Als het niet gelogd is, is het niet gebeurd.
• 9:36
  Je hebt de toegang afgebakend.
• 9:38
  Geweldig.
• 9:39
  Bewijs het nu maar.
• 9:40
  Want als een auditor vraagt, wat deed de agent om 14 over 3 smiddags?
• 9:43
  En jouw antwoord is, we denken iets.
• 9:46
  Dat is geen houding.
• 9:47
  Dat is een verontschuldigingsronde.
• 9:49
  Waarom dit belangrijk is?
• 9:50
  Zonder herleidbaarheid kun je vreemde antwoorden niet verklaren.
• 9:52
  Acties niet terugdraaien of zelfs weten of een incident is ingedant.
• 9:55
  Toezichthouders zijn dol op die onzekerheid.
• 9:57
  Klanten houden er minder van.
• 9:58
  En je directie is er echt dol op als je zegt, we hebben geen idee.
• 10:01
  Dit is wat de meeste mensen missen in Longchain 4J.
• 10:04
  Je chain doet veel meer dan je laks toegeven.
• 10:06
  Zonder executie grafieken kun je de stappen niet reconstrueren.
• 10:09
  Geen trace-idees betekent dat gebeurtenissen op willekeurig vuurwerk lijken.
• 10:13
  Gedeeltelijke laks verbergen de ene tool aanroep die ertoe deed.
• 10:15
  En stille tool fouten, die zijn mijn favoriet.
• 10:18
  Alles ziet er goed uit terwijl de tool nooit draaide en het model enkel uit beleefdheid een antwoord hallucineerde.
• 10:23
  Dit drong tot me door toen ik een incident onderzocht waarbij een retrieval stap een timeout kreeg.
• 10:27
  Nal retourneerde en de volgende stap vrolijk, geen records gevonden, naar een ticketing API schreef.
• 10:31
  Geen uitzondering, geen trace, enkel onderbuikgevoel en gesloten tickets.
• 10:35
  Als je in je laks model output niet kunt onderscheiden van tool output, ben je al de klos.
• 10:38
  Ik laat je precies zien hoe je Longchain 4J logging zo aanpast dat het rechtsgeldig is.
• 10:42
  Schakel eerst overal gestructureerde logging in.
• 10:45
  JSON, geen soep van tekstreeksen.
• 10:46
  Elk verzoek en antwoord krijgt een envelop met tijdstempels, modelnaam, aantallen, tokens en een correlatie idee die de hele chain overleeft.
• 10:52
  Voeg daarna executie grafieken of traces toe met longsmith of longgraph.
• 10:56
  Elk knooppunt logt invoer, uitvoer, duur en fouten.
• 10:59
  Als een tool faalt, moet dat luid en duidelijk zijn.
• 11:01
  Geen stille fouten, geen aannames.
• 11:03
  Nu het belangrijkste punt.
• 11:04
  Centraliseer het.
• 11:05
  Stuur traces en logs naar je scene.
• 11:07
  Laat ze niet achter op een pad die automatisch naar de vergetelheid schaalt.
• 11:09
  Gebruik sampling voor ruis, maar gooi nooit fouten weg.
• 11:12
  Je wilt op trace-idee kunnen zoeken en het hele verhaal kunnen zien.
• 11:14
  Prompts, opgehaalde documenten, tool aanroepen, API antwoorden en het eindantwoord zonder, waar is Wally, te spelen om 2 uur s'nachts.
• 11:20
  Door naar Copilot Studio.
• 11:21
  Het platform geeft je wat telemetrie, maar die is verspreid over teams, dataverse en elke connector die je hebt aangeraakt.
• 11:26
  Beperkte export van gesprekken betekent dat je fragmenten krijgt, geen verhalen.
• 11:30
  Gefragmenteerde telemetrie betekent dat je compliance officer screenshots aan elkaar plakt alsof het knutselwerk is.
• 11:34
  Los dit op door een uniform al het pad te bouwen.
• 11:37
  Schakel het bewaren van gespreksverslagen in met duidelijke bewaarslaas.
• 11:40
  Wie bewaart het, hoe lang en waarom.
• 11:42
  Exporteer gespreks- en actielogboeken naar een centrale werkplek zoals Fabric of Log Analytics.
• 11:46
  Label elke gebeurtenis met een correlatie-idee die je doorgeeft vanaf het toegangspunt in teams tot aan dataverse plugins en downstream APIs.
• 11:53
  Als de chat zegt, maak case aan, wil ik doorklikken naar het exacte record in het exacte systeem met de exacte verzonde gegevens.
• 12:00
  Bewijsmateriaal dat je zult herkennen van incidentbeoordelingen.
• 12:02
  Verwees de LLM aanroepen in ruwe laks die niet aan een gebruikersessie gekoppeld kunnen worden.
• 12:06
  Tool aanroepen zonder bijbehorende prompt.
• 12:08
  Of antwoorden met bronvermeldingen die je niet kunt vinden omdat de grounding laks geen document-idees bevatte.
• 12:12
  Dat is geen mysterie.
• 12:13
  Dat is ontbrekend leidingwerk.
• 12:15
  Snelle winsten die je deze week kunt doorvoeren.
• 12:17
  Verplicht request-response en verloppen met hashes.
• 12:19
  Sla een content-hash op van prompts, opgehaalde fragmenten en output, zodat je de integriteit kunt bewijzen.
• 12:24
  Als iemand ermee knoeit, zegt de hash nee.
• 12:26
  Verrijs en toe en correlatie-idees.
• 12:29
  Genereer deze aan de rand.
• 12:30
  Geef ze door bij elke stap en weiger elke aanroep die ze laat vallen.
• 12:33
  Geen idee.
• 12:33
  Geen service.
• 12:34
  Defineer bewaarslaas.
• 12:35
  Juridische zaken keurt goed.
• 12:37
  Security handhaaft.
• 12:38
  90 dagen voor def, een jaar voor prod.
• 12:40
  Langer voor gereguleerde domeinen.
• 12:41
  Publiceer het.
• 12:42
  Leef ernaar.
• 12:43
  Veelgemaakte fouten om te vermijden.
• 12:45
  Het loggen van onbewerkte geheimen of PI.
• 12:46
  Maskeer bij de bron.
• 12:47
  Bewaar de velden die je nodig hebt voor forensisch onderzoek.
• 12:49
  Niet te konjuwelen.
• 12:50
  Fouten steekproefsgewijs loggen.
• 12:51
  Logsuccessen steekproefsgewijs.
• 12:53
  Log alle mislukkingen.
• 12:54
  Wanneer dingen kapot gaan, heb je elk spoor nodig.
• 12:56
  Vrije tekstlogs.
• 12:57
  Mensen houden ervan.
• 12:58
  Machines haten ze.
• 12:59
  Gebruikvelden.
• 13:00
  Voeg schema's toe.
• 13:01
  Valideer bij opname.
• 13:02
  Nu vragen auditors wat er is gebeurd.
• 13:04
  Je opent aimtrace.
• 13:06
  Je toont de prompt, de opgehaalde doc-idees, de tool-input, de tool-output en het uiteindelijke bericht.
• 13:11
  De correlatie-idee komt overeen met de API-gateway, de database-schrijfactie en het teamsbericht.
• 13:15
  En boom, het verhaal klopt.
• 13:17
  Dus als je zicht hebt, kun je sturen, wat betekent dat het tijd is om de regels te formaliseren en vast te leggen wie wat doet.
• 13:22
  Het agent-RBAC-model behandelt agents als zeer domme, zeer krachtige gebruikers.
• 13:27
  Je hebt zichtbaarheid.
• 13:28
  Goed, geef deze dingen nu een identiteit en een leiband.
• 13:31
  Agents zijn gebruikers.
• 13:32
  Zeer domme, zeer krachtige gebruikers.
• 13:34
  Als je een mens op de eerste dag geen tijdelijke adminrechten zou geven, geef die dan ook niet aan een stochastische papegaai die sarcasme niet van sudo kan onderscheiden.
• 13:39
  Waarom dit belangrijk is?
• 13:41
  De meeste organisaties beveiligen mensen en negeren agents.
• 13:43
  De agent omzeilt daardoor het principe van minimale rechten door het ontwerp.
• 13:46
  Hij springt tussen tools, doorkruist omgevingen en niemand merkt het omdat hij niet in het organigram voorkomt.
• 13:51
  Zo verandert een helperbot in een schaduw admin.
• 13:53
  Dit is het model dat ik wil dat je uitrolt.
• 13:55
  Eén identiteit per agent, duidelijke rollen, beleidscontroles in de code en omgevingsgrenzen die echt iets betekenen.
• 14:01
  Begin met identiteit, maak een service principle voor elke agent, niet platform bot 01.
• 14:06
  Een echte één-op-één koppeling.
• 14:08
  Geef het een naam als een app.
• 14:09
  Label het met eigenaar, doel, omgeving en verloopdatum.
• 14:12
  Als twee agents dezelfde API aanroepen, krijgen ze toch verschillende identiteiten.
• 14:15
  Gedeelde identiteit betekent gedeelde impact bij problemen.
• 14:18
  Defineer vervolgens een rolletaxonomie die zelfs drukke mensen kunnen toepassen.
• 14:20
  Ik gebruik er vier.
• 14:21
  Lezer, uitvoerder, schrijver, beheerder.
• 14:23
  Een lezer kan gegevens ophalen, geen bijwerkingen, denk aan opvragen, ophalen, samenvatten.
• 14:28
  Een uitvoerder kan workflows starten met begrensde effecten.
• 14:31
  Ticket aanmaken, goedkeuring sturen, vergadering plannen.
• 14:34
  Een schrijver kan gegevens naar specifieke domeinen schrijven.
• 14:37
  Eén tabel, één bucket, één mailbox, niet alles.
• 14:39
  Een beheerder kan configuraties wijzigen.
• 14:42
  Deze rol hoort je zorgen te baren.
• 14:44
  Gebruik deze spaarzaam, tijdsgebonden en altijd met dubbele goedkeuring.
• 14:47
  Koppel dit nu aan Longchain 4EA.
• 14:49
  Tools zijn je handhavingspunten.
• 14:50
  Elke toolwrapper controleert de rol van de aanroeper voor uitvoering.
• 14:54
  Als de identiteit van de agent als lezer is gemarkeerd, ontvangt een schrijftool de aanroep niet is.
• 14:58
  En stop niet bij de rol, neem ook de resource scope mee.
• 15:00
  Een schrijver voor financiële zaken kan niet schrijven naar verkoopzaken.
• 15:04
  Scope is geen opmerking, het is een toegangspoort.
• 15:06
  Gebruik omgevingsvariabelen en configuratiebestanden om tools aan omgevingen te binden.
• 15:10
  Een dev-agent ziet alleen dev-hosts en dev-sleutels.
• 15:12
  Als deze een prod URL probeert, blokkeer direct en log dit uitgebreid.
• 15:15
  Beleidscontroles vinden plaats bij de grens niet pas nadat de API aanroep faalt.
• 15:19
  Pas in CoPilot Studio hetzelfde patroon toe met omgevingsrollen en connector scopes.
• 15:23
  Wijs de agent toe aan een omgeving met machtigingen die lezer, uitvoerder, schrijver en beheerder spiegelen.
• 15:29
  Connectormachtigingen koppelen aan beveiligingsgroepen die verbonden zijn met die rollen.
• 15:32
  Teams implementatiegrenzen vormen je risicoradius.
• 15:34
  Houd pilots binnen een kleine groep.
• 15:36
  Breed alleen uit via een wijzigingsverzoek.
• 15:38
  Dit is waar de review workflow je scherp houdt.
• 15:40
  Elke wijziging van de scope is een wijzigingsverzoek.
• 15:42
  Noteer de agent, de gevraagde rol, de connector of tool, de omgeving, de reden, de aanvrager en de verloopdatum.
• 15:48
  Twee goedkeuringen, één technische eigenaar, één data-eigenaar.
• 15:51
  Wanneer de verloopdatum is bereikt, vervalt de toegang automatisch en krijg je een melding om te verlengen of te stoppen.
• 15:56
  Tijdelijk betekent eindelijk echt tijdelijk.
• 15:58
  Laat me precies zien hoe dit werkt met een kort verhaal.
• 16:00
  Een financiële Q&A-agent begint als lezer.
• 16:02
  Mensen zijn er enthousiast over, dus wil het product team onkostenota's kunnen maken.
• 16:05
  En dat is een uitvoerdersactie met een beperkte scope.
• 16:07
  Je voegt een nieuwe tool toe met een beleid op tolniveau, alleen omkosten indienen, alleen voor het kostenplaatje van werknemers, alleen onder vijf bijlagen.
• 16:15
  De identiteit van de agent krijgt een runner voor die ene API die na 30 dagen verloopt.
• 16:19
  In Copilot Studio krijgt de omgeving een connector toestemming voor één dataverse tabel met beveiliging op rijniveau.
• 16:25
  Auditlogs tonen het wijzigingssticket, de goedkeurders en de verloopdatum.
• 16:29
  Wanneer marketing ook vraagt om rapporten te verwijderen, wijs je dit af of stuur je het door naar een aparte schrijftool met eigen eigenaren en sla.
• 16:35
  Het model kan alles willen, het beleid dwingt alles af.
• 16:39
  Veel gemaakte fouten waar je mee moet stoppen.
• 16:41
  Gedeelde identiteiten voor het gemak.
• 16:43
  Gemak is de vijand van beheersing.
• 16:45
  Tijdelijke beheerders toegang die nooit verloopt.
• 16:47
  Zet timeouts op de toestemming, niet in je agenda.
• 16:49
  Projectgegevens in dev gebruiken om demos te deblokkeren.
• 16:52
  Demos hebben geen productiedata nodig, editors wel.
• 16:54
  Tol toegang beperken via de UI, niet via code.
• 16:56
  Als het model het kan aanroepen, doet de gebruikersinterface er niet toe.
• 16:59
  Als je niets anders onthoudt, behandel agents als gebruikers met domme nieuwsgierigheid en scherpe messen.
• 17:03
  Identiteit per agent, rol per actie, scope per resource, standaard tijdgebonden.
• 17:08
  En elke aanroep controleert het beleid voordat data wordt aangeraakt.
• 17:11
  Beleid voor datalekpreventie dat echt voorkomt dat AI een lekkende kraan wordt.
• 17:14
  Je hebt agents identiteiten en rollen gegeven.
• 17:16
  Nu stoppen we het lekken.
• 17:17
  Governance is hier proactief.
• 17:19
  Blokkeer het slechte voordat het het pand verlaat.
• 17:21
  Waarom dit belangrijk is?
• 17:22
  AI vermenigvuldigt de blootstelling.
• 17:24
  Eén prompt kan honderd uitgaande tokens produceren, elk een potentieel lek.
• 17:27
  Als je controles alleen in postmortems verschijnen, doe je aan forensisch onderzoek, niet aan governance.
• 17:31
  Hier is de beleidsset die echt tanden heeft.
• 17:34
  Zie het als veiligheidsgordels, airbags en een bakstenen muur.
• 17:36
  Standaard PII-reductie op uitgangen.
• 17:38
  Namen, e-mails, telefoonnummers, nationale ID's.
• 17:41
  Als de gebruiker niet bevoegd is, wordt het gemaskeerd.
• 17:43
  Iemands interne intern is waar lekker wonen.
• 17:45
  Detectie van geheimen.
• 17:47
  Beveiliging voor API-sleutels, tokens, privésleutels, verbindingsreeksen, patronen, plus bloemfilters voor snelheid.
• 17:52
  Voeg controle sommen toe voor algemene formaten zodat valse positieven je niet verdrinken.
• 17:55
  Filters voor gevoelige termen afgestemd op jouw bedrijf.
• 17:58
  Juridische projectnamen, M&A-codewoorden, codenamen van niet-vrijgegeven producten.
• 18:02
  Hou deze lijst in een beheerde opslag met eigenaren en wijzigingsgeschiedenis.
• 18:05
  Regex-toelatingslijst voor outputstructuur.
• 18:07
  Als de tool een factuursamenvatting verwacht, worden alleen factuuruitvoeren doorgelaten.
• 18:10
  Verhalen de poëzie niet.
• 18:11
  Schema's zijn niet optioneel.
• 18:12
  Het zijn contracten.
• 18:13
  In Lankchain 4J handhaving via pre- en postprocessors.
• 18:16
  Pre-processors scannen invoer op injectie-payloads en niet toegestaande taken.
• 18:19
  Post-processors valideren JSON-schema's.
• 18:22
  Draai je term- en geheime filters en redigeren PI voordat er iets de agentgrens verlaat.
• 18:26
  Als een controle faalt, stuur je een veilige foutmelding met een correlatie-ID.
• 18:30
  Geen halve waarheden.
• 18:31
  Geen misschien.
• 18:32
  Voeg moderatie-pipelines toe.
• 18:33
  Lichtgewicht patroonfilters en bloemfilters.
• 18:36
  Zwaardere, AI-gebaseerde moderatie voor context.
• 18:38
  Bijvoorbeeld, geen gezondheidsgegevens vrijgeven.
• 18:41
  Koppel ze aan elkaar.
• 18:42
  Veel closed instellen.
• 18:43
  En definieer fallback-gedrag.
• 18:45
  Vat op hoger niveau samen.
• 18:46
  Geef een veilige weigering of stuur door naar een mens.
• 18:48
  Zorg dat het model niet in een lus raakt die alsnog informatie lekt.
• 18:50
  Gebruik in Co-Pilot Studio de stack waar je al voor betaalt.
• 18:53
  DLP-beleid in Microsoft 365 is van toepassing op kanalen en connectors.
• 18:58
  Schakel ze in een stem ze af.
• 18:59
  Gebruik gevoeligheidslabels in je bronnen, zodat de agent nooit impactvolle inhoud indexeert zonder goedkeuring.
• 19:05
  Moderatie op tenantniveau moet standaard aanstaan.
• 19:07
  Niet, dat doen we later wel.
• 19:08
  Later is wanneer PR erbij betrokken raakt.
• 19:11
  Monitoring brengt dit samen.
• 19:12
  Stel drempels in ongebruikelijke uitvoergrote, ongebruikelijke bestemming, ongebruikelijke frequentie.
• 19:16
  Als een Q&A-bot plotseling megabytes naar een extern eindpunt schrijft, zet de sessie dan in quarantaine.
• 19:20
  Laat risicovolle sessies automatisch verlopen en breng eigenaren op de hoogte.
• 19:23
  Hou waarschuwingen actiegericht.
• 19:25
  Ping niet iedereen voor elke meskering.
• 19:27
  Een snelle overwinning die je vandaag nog kunt uitholen.
• 19:29
  Handhaaf uitvoerschema's en blokkeerlijsten bij de grens van de agent.
• 19:32
  Geen schema, geen antwoord.
• 19:34
  Voeg PII-reductie toe als laatste stap.
• 19:36
  Die combinatie stopt de voor de handliggende lekken en geeft je tijd voor de rest.
• 19:39
  Veelgemaakte fouten.
• 19:40
  Vertrouwen op front-end code.
• 19:42
  Redigeer aan de serverkant voordat het bericht de client bereikt.
• 19:47
  Segmenteer per bedrijfsdomein.
• 19:48
  Financiële termen zijn geen marketingtermen.
• 19:50
  Het loggen van het ongeredigeerde origineel voor debugging.
• 19:53
  Maskeer bij de opname.
• 19:54
  Bewaar alleen een beveiligde kopie in de kluis als juridische zaken akkoord zijn.
• 19:57
  Draai de kraan dicht en probeer het vervolgens bewust te breken.
• 20:00
  De red-teaming checklist.
• 20:02
  Breek het voordat aanvallers dat doen.
• 20:03
  Je vertrouwt een autogordel pas als je eraan trekt.
• 20:05
  Hetzelfde geldt voor guardrails.
• 20:07
  Maak van gaar als een routine.
• 20:08
  Dol, vijandige tests die je kunt herhalen.
• 20:10
  Geen onderbuikgevoel.
• 20:11
  Stel een checklist op.
• 20:12
  Voer deze periodiek uit en gebruik het als poortwachter voor releases.
• 20:15
  Eerst injectietests.
• 20:17
  Rolverwarring.
• 20:17
  Dwing de agent om beleid te negeren en als systeem te acteren.
• 20:21
  Het moet weigeren.
• 20:22
  Botsing van toolnamen.
• 20:23
  Injecteer valse toolnamen en parameters.
• 20:25
  Alleen geregistreerde tools mogen worden uitgevoerd.
• 20:28
  Schema omzeiling.
• 20:29
  Sluit commando's in bij strings en JSON-commentaar.
• 20:32
  Validators moeten dit afwijzen.
• 20:33
  Chain of vat verleiding.
• 20:35
  Probeer redeneringsdumps uit te lokken die bronnen lekken.
• 20:37
  Uitvoer moet binnen het schema blijven.
• 20:39
  Data exfiltratie prompts.
• 20:41
  Vraag om exacte burgerservice nummers.
• 20:42
  Exporteer alle e-mails.
• 20:44
  Je krijgt een weigering met een audit trail.
• 20:46
  Vervolgens toegangstests.
• 20:47
  Escalatie van rijkwijten.
• 20:48
  Vraag acties buiten de rol van de agent.
• 20:50
  Tools moeten blokkeren op het niveau van de wrapper.
• 20:52
  Gedrag bij verlopen tokens.
• 20:54
  Roteer geheimen tijdens een sessie.
• 20:55
  Oproepen moeten met duidelijke foutmeldingen falen.
• 20:57
  Lekkage van schaduwomgevingen.
• 20:59
  Ontwikkel agent probeert productie endpoints.
• 21:01
  Hard falen.
• 21:02
  Duidelijke logboeken.
• 21:03
  Addit tests.
• 21:04
  Traceerbaarheid.
• 21:05
  Kun je van prompt naar actie reconstrueren met één correlatie-idee.
• 21:09
  Manipulatiedetectie.
• 21:09
  Gewijzigde lags.
• 21:10
  Hash mismatch moet alarm slaan.
• 21:12
  Cross-service correlatie.
• 21:13
  Teams bericht-idee naar dataverse record naar externe API call.
• 21:16
  Alles gekoppeld.
• 21:18
  Definiërslaag.
• 21:18
  Faalpoorten.
• 21:19
  Geen schema.
• 21:20
  Dan faalt het.
• 21:21
  Elke output die niet valideert, blokkeert de release.
• 21:23
  Tenant brede scope.
• 21:24
  Dan faalt het.
• 21:25
  Elke connector zonder scope groepen en verloopdatum wordt geblokkeerd.
• 21:28
  Stil falen van tools.
• 21:29
  Dan faalt het.
• 21:30
  Fouten moeten worden getoond.
• 21:31
  Niet geslikt.
• 21:32
  Geen terugdrijplan.
• 21:33
  Dan faalt het.
• 21:34
  Als je een rechte wijziging of modelconfiguratie niet binnen minuten kunt terugdraaien, ben je er niet klaar voor.
• 21:38
  Cadans voor elke release van agentwijzigingen.
• 21:40
  Drie maandelijkse gaals oefeningen in productie-achtige omgevingen.
• 21:43
  Leercyclus na incident binnen vijf werkdagen met nieuwe tests toegevoegd aan de suite.
• 21:48
  Eigenaars en sla's.
• 21:49
  Elk checklist-item heeft een eigenaar, een herstelsla en een status.
• 21:52
  Geen eigenaar.
• 21:53
  Geen release.
• 21:54
  Snelle winst.
• 21:55
  Verwerk.
• 21:55
  Geen schema.
• 21:56
  En tenant brede scope als CI-CD-checks.
• 21:59
  Als een van beide afgaat, stopt de pipeline.
• 22:01
  Geen vergaderingen, geen debatten, enkel een rood licht dat iedereen respecteert.
• 22:05
  Loop de lijst door.
• 22:05
  Maak dingen kapot.
• 22:07
  Herstel ze.
• 22:07
  Voer het daarna opnieuw uit totdat verrassingen niet meer verrassend zijn.
• 22:10
  De ene governance-stap die de meeste organisaties overslaan.
• 22:13
  Als je niets anders onthoudt, agents zijn identiteiten.
• 22:16
  Behandel ze als zeer domme, zeer krachtige gebruikers met minimale rechten, afgedwongen output, contracten en volledige audit-trills.
• 22:22
  De stap die de meeste organisaties overslaan is het maken van specifieke service-principles voor elke agent en het koppelen van elke tool via scoped rollen per omgeving.
• 22:30
  Geen gedeelde inloggegevens, geen tenant brede scopes.
• 22:33
  Adopteer het RBAC-model.
• 22:35
  Schakel de DLP-beleidsregels in en voer deze week de Red Team-checklist uit.
• 22:39
  Abonneer je voor het vervolg waarin ik de exacte configuraties in Longchain4J en Copilot Studio laat zien, zodat je governance kunt kopiëren en plakken in plaats van excuses.