Latest / M365.FM – podcast o Microsoft 365, Copilot i AI po polsku / Governance agentów AI w LangChain4j i Copilot Studio: prompt injection, konektory, audyt i RBAC (Dubbing AI)

Transcript

Governance agentów AI w LangChain4j i Copilot Studio: prompt injection, konektory, audyt i RBAC (Dubbing AI) · M365.FM – podcast o Microsoft 365, Copilot i AI po polsku

• 0:00
  Agenci AI są dostarczani szybciej niż Twoje spotkania dotyczące kontroli zmian, a zarządzanie jest w świetnej atmosferze.
• 0:05
  Znasz to uczucie, gdy drugi pilot dostarcza dostęp dla całego dzierżawcy tylko do testów?
• 0:08
  Tak, to właśnie słyszysz bicie serca swojego inspektora z godności.
• 0:11
  Dzisiaj rozbiorę bałagan w LA-NG-CHA i N4J i studiu drugiego pilota, wykorzystując prawdziwe przypadki, szybkie wstrzykiwanie, nadmiernie permisywne łączniki i luki w audycie.
• 0:19
  Pokażę Ci, co się psuje, dlaczego się psuje i jakie poprawki faktycznie działają.
• 0:22
  Zostań do końca, a przedstawię Ci jeden krok w zarządzaniu, który zapobiega większości incydentów.
• 0:27
  Otrzymasz model RBAC-agenta, zasady utraty danych i listę kontrolną zespołu redaktor.
• 0:32
  Przypadek pierwszy – szybkie wstrzykiwanie.
• 0:34
  Nienadzorowany stażysta opracowuje zasady.
• 0:36
  Szybkie wstrzykiwanie to ten nienadzorowany stażysta, który brzmi pomocnie, pisze pełnymi zdaniami, a następnie wysyła dane płacowe do swojego osobistego archiwum w celu bezpiecznego przechowywania.
• 0:45
  Myślisz, że Twój monit systemowy jest prawem.
• 0:47
  Model uważa, że to sugestia, a w chwili, gdy opierasz się na treści wewnętrznej, jeden pikantny dokument lub wiadomość użytkownika może zmienić reguły w trakcie rozmowy.
• 0:55
  Dlaczego to ma znaczenie?
• 0:57
  Kiedy wstrzyknięcie wygrywa, Twój agent staje się królem wycieków danych.
• 1:01
  Wymyśla narzędzia, eskaluje je i ignoruje język zasad, jakby to były warunki korzystania z Wi-Fi.
• 1:06
  W regulowanych sklepach to nie błąd, to incydent podlegający zgłoszeniu z nazwą Twojej firmy.
• 1:10
  Zacznijmy od tego, co psuje LANGCHA i N4J.
• 1:13
  Większość ludzi nie dostrzega, że wywoływanie narzędzi bez ścisłych schematów wyjściowych to w zasadzie popełnianie przestępstw, zwracanie wibracji.
• 1:19
  Jeśli Twoje narzędzia akceptują niesprawdzone argumenty, takie jak tekst swobodny, SQL lub pola zapytań, a Ty nie walidujesz typów, zakresów ani wyliczeń, model chętnie przekaże dalej wszystko, co przemyci atakujący.
• 1:31
  Słaba walidacja danych wyjściowych to wspólnik wzbrodni.
• 1:34
  Kiedy oczekujesz JSON, ale akceptujesz JSON owe, atakujący może przemycić instrukcje w komentarzach lub ciągach znaków, które Twój parser potraktuje jako polecenia.
• 1:41
  Dotarło to do mnie, gdy zobaczyłem logi, w których narzędzie do pobierania danych pobierało parametr tematu z dowolnym znacznikiem markdown.
• 1:47
  Następne wywołanie przekazało ten znacznik markdown, jakby to była konfiguracja.
• 1:51
  To nie jest orkiestracja, to jest coś własnego.
• 1:54
  Właśnie tutaj większość ludzi popełnia błąd.
• 1:56
  Polegają na ustawieniach modeli proszę zachować ostrożność zamiast na zabezpieczeniach w kodzie.
• 2:00
  W Langchain 4J potrzebne są listy dozwolonych nazw i argumentów narzędzi, wyjścia schematu JSON wymuszane na granicy,
• 2:07
  filtry wyjściowe oparte na wzorcach do usuwania poufnych danych oraz obsługa wyjątków, która nie powtarza tych samych zatrutych danych wejściowych pięć razy jak Golden Retriever z piłką tenisową.
• 2:16
  Powodem, dla którego to działa, jest to, że zaufanie do modelu zmienia się w weryfikację każdego bajtu.
• 2:21
  Co psuje Copilot Studio?
• 2:22
  Naiwne uziemienie z szerokim wykorzystaniem SharePoint.
• 2:25
  Łączysz całą kolekcję witryn dla kompletności, a teraz jeden dokument wprowadzający z ignorowaniem poprzednich instrukcji staje się nową religią agenta.
• 2:32
  Monity systemowe edytowalne przez użytkowników biznesowych to kontynuacja.
• 2:35
  Uwielbiam użytkowników biznesowych, ale dawanie im szybkich uprawnień administratora jest jak pozwolenie marketingowi na ustalanie reguł zapory sieciowej, ponieważ znają głos marki.
• 2:42
  I tak widziałem konfigurację dzierżawców, w których moderacja była wyłączona, aby zmniejszyć tarcia.
• 2:46
  Wolałbyś, żeby tak nie było.
• 2:48
  Dowód, który rozpoznasz.
• 2:49
  Logi dzierżawców, które pokazują narzędzia wywoływane z nieograniczonymi parametrami, takimi jak eksport wszystkich flag, które nigdy nie powinny istnieć.
• 2:55
  Ślady konwersacji, w których asystent powtarza wstrzyknięty ciąg z pobranego dokumentu, wyłączone przełączniki moderacji.
• 3:01
  To nie jest hipotetyczne.
• 3:02
  To każda kontrola po incydencie, w której nie chcesz uczestniczyć.
• 3:04
  Jaka jest więc stała ścieżka, którą możesz wdrożyć już dziś?
• 3:07
  W przypadku Langchain 4J wymuś listy dozwolonych w rejestrze narzędzi.
• 3:10
  Jeśli narzędzie nie jest zarejestrowane w schemacie, nie istnieje.
• 3:13
  Wymagaj wyników schematu JSON i odrzucaj wszystko, co nie przechodzi walidacji.
• 3:17
  Brak schematu, brak odpowiedzi, kropka.
• 3:19
  Dodaj filtry wzorców dla oczywistych wycieków, kluczy API, sekretów, numerów ubezpieczenia społecznego.
• 3:23
  Filtry Bloom są szybkie i tanie, używaj ich.
• 3:26
  Owin narzędzia kontrolą zasad, waliduj typy argumentów, zakresy i oczekiwane formaty przed wykonaniem.
• 3:30
  Dodaj moderację treści w procesorach pre-post, aby zapobiec działaniu modelu na toksycznych lub wrażliwych treściach lub ich emisji.
• 3:36
  Niepowodzenie zamykania z jawnymi wyjątkami i nigdy nie ponawiaj automatycznie zatrutych monitów.
• 3:40
  W przypadku Copilot Studio zablokuj monity systemowe, tylko administratorzy mogą je zmieniać.
• 3:45
  Wersjonuj je jak kod.
• 3:46
  Konektory zakresowe według środowiska.
• 3:47
  Różne granice dla środowisk deweloperskich, testowych i produkcyjnych.
• 3:50
  Najmniejsze uprawnienia do źródeł danych.
• 3:52
  Włącz zasady moderacji treści na poziomie dzierżawy.
• 3:54
  To są kluczowe kwestie.
• 3:55
  Ugruntuj tylko na treściach oznaczonych etykietą wrażliwości, a nie na całej farmie dla wygody.
• 4:00
  Szybkim sposobem na natychmiastowe osiągnięcie sukcesu jest dodanie schematu wyjściowego i kroku moderacji filtru Bloom na granicy agenta.
• 4:06
  Wyeliminujesz większość głupich przecieków bez naruszania logiki biznesowej.
• 4:09
  Następnie dodaj małą listę dozwolonych odrzuceń dla oczekiwanych formatów, takich jak podsumowania strukturalne i zablokuj wszystko inne.
• 4:14
  Pozwól, że pokażę Ci dokładnie jak to działa.
• 4:17
  Na przykład masz narzędzie do tworzenia zgłoszeń, które akceptuje tytuł, opis i priorytet.
• 4:21
  Bez wymuszania schematu atakujący wstrzykuje opis, zamykając wszystkie incydenty P1 w bloku z potrójnym apostrofem.
• 4:28
  Model przepuszcza go.
• 4:29
  Twoje API i TSM wzrusza ramionami i uruchamia skrypt aktualizacji.
• 4:33
  Dzięki schematowi i walidacji opis nie może zawierać tokenów poleceń ani przekraczać długości.
• 4:37
  Żądanie zostaje zamknięte, loguje identyfikator korelacji, a Twój CM sygnalizuje moderację.
• 4:43
  I bum, spójrz na ten wynik.
• 4:45
  Incydent został zażegnany, ślad zachowany, audytor uspokojony.
• 4:48
  Typowe błędy, których należy unikać.
• 4:50
  Umożliwienie modelowi dynamicznego wyboru nazw narzędzi.
• 4:52
  Narzędzia to kontrakty, a nie sugestie.
• 4:54
  Akceptowanie swobodnej formy JSON bez walidatora.
• 4:56
  Wygląda na to, że JSON nie jest komplementem.
• 4:58
  Edytowalne monity w środowiskach produkcyjnych.
• 5:01
  Jeśli można to zmienić bez przeglądu, to się zmieni.
• 5:03
  Poleganie na pamięci konwersacji w celu ustalenia zasad.
• 5:05
  Zasady należą do kodu i konfiguracji, a nie do atmosfery.
• 5:08
  Gdy to opanujesz, wszystko inne zaskoczy.
• 5:10
  Powstrzymujesz starzystę przed mówieniem poza kolejnością.
• 5:12
  Następnie powstrzymujemy go przed wchodzeniem do każdego pokoju z kluczem głównym.
• 5:15
  Przypadek drugi.
• 5:16
  Ponad permisywnymi złączami klucze do zamku na smyczy.
• 5:19
  Zabraniasz starzyście mówić.
• 5:21
  Teraz zabierz mu odznakę.
• 5:22
  Ponad permisywnymi złączami to ten brelok woźnego, który otwiera wszystkie drzwi w budynku, w tym sejf, żłobek i w jakiś sposób peleton prezesa.
• 5:29
  To, dlaczego to ma znaczenie, jest proste.
• 5:31
  Jeden łącznik o rozszerzonym zakresie równa się eksfiltracji danych w całym przedsiębiorstwie w jednym żądaniu, a nie teoretycznie.
• 5:36
  Jedno wywołanie.
• 5:37
  Podczas gdy wciąż spierasz się o tytuł zgłoszenia zmiany.
• 5:40
  Zacznijmy od tego, co psuje się w Langchain 4J.
• 5:43
  Deweloperzy współdzielą klucze API między agentami dla wygody.
• 5:46
  Następnie ktoś umieszcza zazdrość w prywatnym repozytorium, które jest w rzeczywistości publiczne, a ty zajmujesz się reagowaniem na incydenty o drugiej w nocy za granicą.
• 5:52
  Następne są zakresy OAuth.
• 5:54
  Udzielasz dostępu do odczytu i zapisu, aby zaoszczędzić czas podczas testowania, a 6 miesięcy później ten token testowy jest teraz klejnotem w koronie produkcji.
• 6:00
  A rejestr narzędzi?
• 6:02
  Uwielbiam czysty rejestr, ale jeśli wskażesz agentowi deweloperskiemu dane uwierzytelniające do produkcji, bo demo musi działać dzisiaj, to właśnie podłączyłeś piłę łańcuchową do rąby.
• 6:09
  Większość ludzi nie dostrzega, że narzędzia dziedziczą każdą przekazaną im tożsamość.
• 6:12
  Współdzielone dane uwierzytelniające oznaczają wspólny zasięg.
• 6:15
  Nie ma magii, która pozwala tylko na zapisywanie rzeczy.
• 6:17
  Jeśli token może usuwać rekordy, twój agent może usuwać je przypadkowo z entuzjazmem i z całkowitą pewnością siebie.
• 6:23
  Teraz przejdź do Copilot Studio.
• 6:24
  Łączniki M365 dla całego dzierżawcy to klasyczna pułapka.
• 6:27
  Klikasz raz, a teraz każdy Copilot w każdym zespole widzi dane, których nie powinien.
• 6:32
  To nie jest wzmocnienie, to bufet z błędami.
• 6:34
  Następnie wdrażasz w zespołach z widocznością w całej organizacji, ponieważ adopcja i nagle bot pilotażowy przeznaczony dla działu finansowego odpowiada na pytania w dziale marketingu,
• 6:41
  pobierając treści z witryn SharePoint, o których istnieniu nigdy nie powinien wiedzieć.
• 6:44
  A nie zarządzane haki SAS innych firm?
• 6:46
  To jak dyski USB w 2009 roku.
• 6:49
  Tajemniczo wszędzie i zawsze tymczasowo.
• 6:51
  Dowody pojawiają się za każdym razem w ten sam sposób.
• 6:53
  Nieaktualne sekrety, które nigdy nie były Rotowain bez daty wygaśnięcia, bez właściciela.
• 6:58
  Łączniki Mapowain na grupy globalne dla uproszczenia.
• 7:01
  Rejestracje aplikacji z zakresami, które brzmią jak spowiedź.
• 7:04
  I tak, ten tymczasowy klucz produkcyjny tkwiący w środowisku deweloperskim przez miesiące.
• 7:08
  Twoje ustalenia dotyczące bezpieczeństwa i konfiguracji dzierżawy nie będą kłamać, tylko westchną.
• 7:11
  Jaka jest więc ścieżka naprawy?
• 7:13
  W przypadku LA-NG-CHA i N4-J odtraktuj każdego agenta jak osobną aplikację z własną tożsamością.
• 7:17
  Twórz nazwy główne usługi dla poszczególnych agentów.
• 7:19
  Brak współdzielonych tokenów.
• 7:20
  Jeśli dwaj agenci potrzebują tego samego API, nadal otrzymują różne poświadczenia.
• 7:23
  Używaj zakresowego OAuth.
• 7:25
  Przyznaj najmniejszy zestaw uprawnień, który pozwala narzędziu wykonywać swoje zadanie.
• 7:28
  Czytelnik, a nie autor.
• 7:29
  Zapis do jednej kolekcji, a nie do wszystkich.
• 7:31
  Przechowuj sekrety w odpowiednim menedżerze sekretów.
• 7:33
  Rotuj zgodnie z harmonogramem.
• 7:35
  Rotuj incydentalnie.
• 7:36
  Rotuj, nawet gdy ktoś szepcze token.
• 7:38
  Dodaj dwupoziomowy RBAC.
• 7:39
  Raper narzędzia sprawdza rolę wywołującego, zanim dotknie API.
• 7:42
  Bez roli, bez wywołania.
• 7:43
  Oddzielne środowiska, klucze deweloperskie komunikują się tylko z systemami deweloperskimi.
• 7:46
  Jeśli narzędzie wykryje punkt końcowy produkcji w środowisku deweloperskim, zostanie zamknięte i będzie zgłaszane w logach.
• 7:50
  W przypadku Copilot Studio należy wyznaczyć wyraźne granice środowisk i zakresów.
• 7:54
  Należy stosować separację środowisk deweloperskiego, testowego i produkcyjnego.
• 7:57
  Różne łączniki, różne uprawnienia, różni właściciele.
• 7:59
  Przejrzyj zakresy łączników za pomocą przepływu pracy.
• 8:02
  Zmiany wymagają zatwierdzenia, dat wygaśnięcia i właścicieli.
• 8:04
  Brak właściciela, brak łącznika.
• 8:06
  Stosuj zasady DLP dla każdego kanału.
• 8:07
  Kanał finansowy podlega bardziej rygorystycznym zasadom niż dla całej firmy.
• 8:10
  O to właśnie chodzi.
• 8:11
  Wyłącz wdrożenia Teams w całej organizacji dla pilotaży.
• 8:14
  Ogranicz widoczność do grupy zabezpieczeń.
• 8:16
  Rozszerzaj dopiero po przeglądzie.
• 8:17
  Inwentaryzuj i blokuj łączniki SAS innych firm.
• 8:20
  Jeśli nie są zarządzane, są domyślnie wyłączone.
• 8:22
  Właściciele muszą uzasadnić dostęp i go odnowić.
• 8:24
  Oto szybki sposób, który możesz wdrożyć już dziś po południu.
• 8:26
  Wyłącz zakresy obejmujące cały tenant i zamapuj każdy łącznik na grupę zabezpieczeń z zasadami wygasania.
• 8:31
  Po wygaśnięciu grupy dostęp do nich zostanie automatycznie utracony.
• 8:33
  Bez dramatów, bez niespodzianek.
• 8:35
  Pokażę Ci dokładnie, jak to działa.
• 8:36
  Masz narzędzie do eksportowania raportów, które zapisuje dane do kontenera pamięci masowej.
• 8:40
  Dzięki współdzielonym poświadczeniom ma dostęp do każdego kontenera.
• 8:42
  W ten sposób Monit z komunikatem zapisz kopię zapasową w archiwum dyskretnie umieszcza poufne dane w ścieżce publicznej.
• 8:47
  Dzięki poszczególnym podmiotom i rolom o określonym zakresie,
• 8:50
  narzędzie może zapisywać tylko do jednego kontenera z jednym prefiksem.
• 8:54
  Jeśli model zdecyduje się wymyślić inną ścieżkę, API ją odrzuci.
• 8:58
  Rejestrujesz identyfikator korelacji, a menedżer uprawnień, CM, generuje alert.
• 9:01
  I boom. Koniec z przypadkowym wyciekiem danych.
• 9:03
  Typowe błędy, których należy unikać.
• 9:05
  Korzystanie z grup globalnych do uzyskania dostępu tylko na razie.
• 9:08
  Teraz nigdy się nie kończy.
• 9:09
  Udzielanie szerokich lub wszystkich zakresów, ponieważ dokumentacja była niejasna.
• 9:12
  Niejasność to nieuprawnienie.
• 9:14
  Kopiowanie poświadczeń między środowiskami.
• 9:16
  Jeśli możesz coś wkleić, wkleisz to źle.
• 9:18
  Traktowanie widoczności Teams jako nieszkodliwej.
• 9:20
  Widoczność to dostęp.
• 9:21
  Dostęp to ryzyko.
• 9:22
  Gdy opanujesz zakres dostępu, audytorzy przestaną wyczuwać krew w wodzie.
• 9:26
  A kiedy zapukają, będziesz potrzebować dowodu.
• 9:28
  Co prowadzi nas do części, o której wszyscy zapominają.
• 9:30
  Jeśli coś nie jest rejestrowane, to się nie wydarzyło.
• 9:32
  Przypadek trzeci.
• 9:33
  Luki w audycie.
• 9:34
  Jeśli coś nie jest rejestrowane, to się nie wydarzyło.
• 9:37
  Zakres dostępu został określony.
• 9:38
  Świetnie.
• 9:39
  Teraz to udowodni, bo kiedy audytor pyta, co zrobił agent o 15.14,
• 9:43
  a Twoja odpowiedź brzmi, myślimy, że coś.
• 9:45
  To nie jest postawa, to przeprosiny.
• 9:48
  Dlaczego to ma znaczenie?
• 9:50
  Bez pochodzenia nie da się wyjaśnić dziwnych odpowiedzi,
• 9:52
  cofnąć błędnych działań, ani nawet dowiedzieć się,
• 9:54
  czy incydent został opanowany.
• 9:55
  Organy regulacyjne uwielbiają tę niepewność.
• 9:57
  Klienci mniej.
• 9:58
  A Twoi menedżerowie naprawdę lubią, gdy mówisz, nie mamy pojęcia.
• 10:01
  Oto, czego większość ludzi nie dostrzega w Langchain 4J.
• 10:04
  Twój łańcuch robi o wiele więcej, niż przyznają logi.
• 10:06
  Brak grafów wykonania oznacza, że nie można odtworzyć kroków.
• 10:09
  Brak identyfikatorów śledzenia sprawia, że zdarzenia wyglądają jak losowe fajerwerki.
• 10:12
  Częściowe logi ukrywają to jedyne istotne wywołanie narzędzia,
• 10:15
  a ciche awarie narzędzi to moje ulubione.
• 10:17
  Wszystko wygląda na zielone, podczas gdy narzędzie nigdy nie zostało uruchomione,
• 10:21
  a model po prostu wyłuskał odpowiedź, żeby być uprzejmym.
• 10:23
  To do mnie dotarło, gdy ścigałem incydent,
• 10:25
  w którym krok pobierania przekroczył limit czasu, zwrócił nal,
• 10:28
  a kolejny krok szczęśliwie zapisał brak rekordów, zamykając API zgłoszeń.
• 10:31
  Bez wyjątku, bez śladu, tylko wibracje i zamknięte zgłoszenia.
• 10:34
  Jeśli nie potrafisz odróżnić danych wyjściowych modelu
• 10:36
  od danych wyjściowych narzędzia w logach, masz już kłopoty.
• 10:38
  Pozwól, że pokażę Ci dokładnie, jak naprawić logowanie LangChain 4J,
• 10:41
  aby było gotowe na salę sądową.
• 10:42
  Po pierwsze, włącz wszędzie logowanie strukturalne.
• 10:44
  J-S-O-N, a nie zupa ciągów znaków.
• 10:47
  Każde żądanie i odpowiedź otrzymują kopertę ze znacznikami czasu,
• 10:49
  nazwą modelu, liczbą tokenów i identyfikatorem korelacji,
• 10:51
  który przetrwa cały łańcuch.
• 10:52
  Następnie dodaj wykresy wykonania lub ślady za pomocą LangSmith lub LangGraph.
• 10:56
  Każdy węzeł rejestruje dane wejściowe, wyjściowe, czas trwania i błędy.
• 10:59
  Jeśli narzędzie zgłasza błąd, zgłasza go głośno.
• 11:01
  Żadnego cichego błędu, żadnego jak zakładaliśmy.
• 11:03
  Teraz najważniejsze.
• 11:04
  Centralizuj to.
• 11:05
  Przeprowadź ślady i logi do swojego szwu.
• 11:07
  Nie zostawiaj ich w podzie, który automatycznie skaluje się do niepamięci.
• 11:09
  Dodaj próbkowanie szumu, ale nigdy nie usuwaj błędów.
• 11:11
  Chcesz wyszukiwać według identyfikatora śladu i zobaczyć całą historię.
• 11:14
  Monity, pobieranie dokumentów, wywołania narzędzi,
• 11:16
  odpowiedzi API i ostateczna odpowiedź bez grania w Gdzie jest Waldo o 2 w nocy.
• 11:20
  Przejdź do Copilot Studio.
• 11:21
  Platforma zapewnia pewne dane telemetryczne,
• 11:23
  ale są one rozproszone między zespołami, datavers i dowolnym łącznikiem, którego użyłeś.
• 11:26
  Ograniczony eksport konwersacji oznacza, że otrzymujesz fragmenty, a nie narrację.
• 11:29
  Fragmentaryczna telemetria oznacza, że twój specjalista do spraw.
• 11:32
  Zgodności łączy zrzuty ekranu jak sztukę i rzemiosło.
• 11:34
  Napraw to, budując ujednolicony tor audytu.
• 11:37
  Włącz przechowywanie transkryptów konwersacji z jasnymi umowami SL,
• 11:39
  a dotyczącymi przechowywania, kto je przechowuje, jak długo i dlaczego.
• 11:42
  Eksportuj logi konwersacji i działań do zcentralizowanego obszaru roboczego,
• 11:45
  takiego jak Fabric lub Log Analytics.
• 11:47
  Oznacz każde zdarzenie identyfikatorem korelacji,
• 11:49
  który przekazujesz od punktu wejścia w Teams,
• 11:51
  aż do wtyczek datavers i interfejsów API.
• 11:53
  Jeśli czat mówi o utworzeniu przypadku,
• 11:55
  chcę kliknąć, aby przejść do dokładnego rekordu w dokładnym systemie
• 11:57
  z dokładnymi danymi, które zostały wysłane.
• 11:59
  Dowód, który rozpoznasz z przeglądów incydentów.
• 12:02
  Osieroconych wywołań LLM w surowych logach,
• 12:04
  które nie są mapoeń na żadną sesję użytkownika.
• 12:06
  Wywołania narzędzi bez odpowiadającego monitu
• 12:08
  lub odpowiedzi cytujące źródła, których nie możesz znaleźć,
• 12:10
  ponieważ uziemiające logi nie zawierają identyfikatorów dokumentów.
• 12:12
  To nie tajemnica, to brak hydrauliki.
• 12:15
  Szybkie wygrane, które możesz zrealizować w tym tygodniu.
• 12:17
  Wymagaj kopert z żądaniami i odpowiedziami z haszami.
• 12:19
  Przechowuj hasz zawartości monitów,
• 12:21
  pobieraj fragmenty i dane wyjściowe,
• 12:23
  aby móc udowodnić integralność.
• 12:24
  Jeśli ktoś manipuluje, hasz mówi nie.
• 12:26
  Wymagaj identyfikatorów korelacji od początku do końca.
• 12:29
  Generuj na krawędzi, przepuszczaj przez każdy skok
• 12:31
  i odrzucaj każde wywołanie, którego odrzuca.
• 12:32
  Brak identyfikatora, brak usługi.
• 12:34
  Zdefiniuj umowy SLA dotyczące retencji.
• 12:36
  Zatwierdzenia prawne, egzekwowane bezpieczeństwo.
• 12:38
  90 dni dla deweloperów, rok dla producentów,
• 12:40
  dłużej dla domen regulowanych.
• 12:41
  Opublikuj to, postępuj zgodnie z tym.
• 12:43
  Typowe błędy, których należy unikać.
• 12:45
  Rejestrowanie surowych sekretów lub PII.
• 12:47
  Maskowanie u źródła.
• 12:48
  Zachowaj pola potrzebne do analizy kryminalistycznej,
• 12:49
  a nie klejnoty koronne.
• 12:50
  Błędy próbkowania.
• 12:51
  Sukces próbkowania.
• 12:52
  Rejestruj wszystkie awarie.
• 12:54
  Gdy coś się zepsuje, będziesz potrzebować każdego okruszka.
• 12:56
  Dzienniki tekstowe ludzie je uwielbiają,
• 12:58
  maszyny ich nienawidzą.
• 12:59
  Używaj pól.
• 13:00
  Dodawaj schematy.
• 13:01
  Waliduj przy pobieraniu.
• 13:02
  Teraz audytorzy pytają, co się stało.
• 13:05
  Otwierasz jeden ślad.
• 13:06
  Pokazujesz monit, pobrane identyfikatory dokumentów,
• 13:08
  dane wejściowe narzędzia, dane wyjściowe narzędzia
• 13:10
  i ostateczną wiadomość.
• 13:11
  Identyfikator korelacji pasuje do bramy API,
• 13:13
  zapisu w bazie danych i wiadomości Teams.
• 13:15
  I boom, historia się sprawdza.
• 13:17
  Więc kiedy widzisz, możesz zarządzać,
• 13:19
  co oznacza, że nadszedł czas,
• 13:20
  aby sformalizować reguły i ustalić, kto co robi.
• 13:23
  Model RBAC agentów traktuj agentów jak bardzo głupich,
• 13:25
  bardzo zaawansowanych użytkowników.
• 13:27
  Masz widoczność.
• 13:28
  Dobrze, teraz daj tym rzeczom tożsamość i smycz.
• 13:30
  Agenci to użytkownicy.
• 13:32
  Bardzo głupi, bardzo potężni użytkownicy.
• 13:34
  Jeśli nie dałbyś ludzkiemu administratorowi
• 13:35
  tymczasowego konta od pierwszego dnia,
• 13:37
  nie oddawaj go stochastycznej papudze,
• 13:38
  która nie odróżnia sarkazmu od sudo.
• 13:39
  Dlaczego to ma znaczenie?
• 13:41
  Większość organizacji zabezpiecza ludzi
• 13:42
  i ignoruje agentów.
• 13:43
  Agent omija wtedy najmniejsze uprawnienia z założenia.
• 13:46
  Przeskakuje między narzędziami,
• 13:47
  przekracza środowiska i nikt tego nie zauważa,
• 13:49
  ponieważ nie pojawia się na schemacie organizacyjnym.
• 13:51
  W ten sposób bot pomocniczy
• 13:52
  zmienia się w administratora cienia.
• 13:54
  Oto model, który chce, abyś dostarczył.
• 13:56
  Jedna tożsamość na agenta, jasne role?
• 13:58
  Sprawdzanie zasad w kodzie i granice środowiska,
• 14:00
  które faktycznie coś znaczą.
• 14:01
  Zacznij od tożsamości,
• 14:02
  utwórz podmiot usługi dla każdego agenta,
• 14:04
  a nie bot platformy 01.
• 14:06
  Rzeczywiste mapowanie 1 do 1.
• 14:07
  Nazwij to jak aplikację.
• 14:09
  Oznacz to właścicielem, celem, środowiskiem
• 14:11
  i datą wygaśnięcia.
• 14:12
  Jeśli dwóch agentów trafi do tego samego API,
• 14:14
  nadal otrzymają różne tożsamości.
• 14:15
  Współdzielona tożsamość
• 14:16
  równa się wspólnemu promieniowi rażenia.
• 14:18
  Następnie zdefiniuj taksonomię ról,
• 14:19
  którą mogą zastosować nawet zapracowane osoby.
• 14:21
  Używam czterech czytelnik,
• 14:22
  wykonawca, autor, administrator.
• 14:23
  Czytelnik może pobierać dane
• 14:24
  bez efektów ubocznych.
• 14:26
  Pomyśl o zapytaniu, pobraniu, podsumowaniu.
• 14:28
  Wykonawca może wywoływać przepływy pracy
• 14:30
  z ograniczonymi efektami.
• 14:37
  Jeden kontener, jedna skrzynka pocztowa,
• 14:39
  nie wszystkie.
• 14:40
  Administrator może zmieniać konfigurację.
• 14:42
  Ta rola powinna sprawić, że się spocisz.
• 14:44
  Używaj oszczędnie, ogranicz czasowo
• 14:45
  i zawsze podwójnie zatwierdzona.
• 14:46
  Teraz zmapuj to do LANGCHA i N4J.
• 14:49
  Narzędzia są punktami egzekwowania.
• 14:51
  Każdy raper narzędzia
• 14:52
  sprawdza rolę wywołującego przed wykonaniem.
• 14:54
  Jeśli tożsamość agenta jest zmapowana na czytelnika,
• 14:56
  narzędzie do zapisu nigdy nawet nie otrzyma wywołania.
• 14:58
  I nie zatrzymuj się na roli,
• 14:59
  uwzględnij zakres zasobu.
• 15:01
  Autor w sprawach finansowych
• 15:02
  nie może pisać spraw sprzedaży.
• 15:04
  Zakres nie jest komentarzem.
• 15:05
  To brama.
• 15:06
  Użyj zmiennych środowiskowych
• 15:07
  i plików konfiguracyjnych,
• 15:08
  aby powiązać narzędzia ze środowiskami.
• 15:10
  Agent deweloperski widzi tylko hosty deweloperskie
• 15:11
  i klucze deweloperskie.
• 15:12
  Jeśli spróbuje adresu URL produktu,
• 15:14
  zostanie zamknięty i zapisany w logu.
• 15:16
  Sprawdzanie zasad odbywa się na granicy,
• 15:17
  a nie po niepowodzeniu wywołania API.
• 15:19
  W Copilot Studio zastosuj ten sam schemat
• 15:21
  z rolami środowiska i zakresami łączników.
• 15:23
  Przypisz agenta do środowiska
• 15:24
  z uprawnieniami odzwierciedlającymi czytelnika,
• 15:27
  czyli runera, rajtera i administratora.
• 15:29
  Uprawnienia łącznika są mapowe na grupy zabezpieczeń
• 15:31
  powiązane z tymi rolami.
• 15:32
  Granice wdrożenia zespołów to twój promień rażenia.
• 15:34
  Utrzymuj pilotów w małej grupie.
• 15:36
  Rozszerzaj tylko za pomocą zgłoszenia zmiany.
• 15:38
  To tutaj przepływ pracy przeglądu zapewnia uczciwość.
• 15:40
  Każda zmiana zakresu jest żądaniem zmiany.
• 15:42
  Wymień agenta, żądaną rolę,
• 15:44
  łącznik lub narzędzie, środowisko,
• 15:46
  powód, wnioskodawcę i datę wygaśnięcia.
• 15:48
  Dwie zgody, jeden właściciel techniczny,
• 15:50
  jeden właściciel danych.
• 15:51
  Po osiągnięciu daty wygaśnięcia
• 15:52
  dostęp automatycznie znika
• 15:53
  i otrzymujesz alert o możliwości odnowienia lub zwolnienia.
• 15:56
  Tymczasowe w końcu oznacza tymczasowe.
• 15:57
  Pozwól, że pokażę Ci dokładnie,
• 15:59
  jak to działa na mikrohistorii.
• 16:00
  Agent do spraw.
• 16:01
  Pytań i odpowiedzi finansowych zaczyna jako czytelnik.
• 16:03
  Ludzie to uwielbiają,
• 16:04
  więc produkt chce utworzyć raport wydatków.
• 16:05
  I to jest działanie runera o wąskim zakresie.
• 16:08
  Dodajesz nowe narzędzie z polityką na poziomie narzędzia,
• 16:10
  tylko przesyłanie wydatków,
• 16:12
  tylko dla centrum kosztów pracownika,
• 16:13
  tylko dla pięciu załączników.
• 16:15
  Tożsamość agenta staje się runerem
• 16:16
  dla tego pojedynczego API wygasającego za 30 dni.
• 16:19
  W Copilot Studio Środowisko
• 16:20
  uzyskuje uprawnienia łącznika do jednej tabeli Dataverse
• 16:23
  z zabezpieczeniami na poziomie wiersza.
• 16:25
  Dzienniki audytu pokazują zgłoszenie zmiany
• 16:27
  osoby zatwierdzające i wygaśnięcie.
• 16:29
  Gdy dział marketingu prosi również o usunięcie raportów,
• 16:31
  odmawiasz lub kierujesz do osobnego narzędzia
• 16:33
  do pisania z własnymi właścicielami i SLA.
• 16:35
  Model może chcieć wszystkiego.
• 16:37
  Polityka wymusza wszystko.
• 16:38
  Typowe błędy, których musisz zaprzestać.
• 16:41
  Tożsamości współdzielone dla wygody.
• 16:43
  Wygoda jest wrogiem powstrzymywania.
• 16:44
  Tymczasowy administrator, który nigdy nie wygasa.
• 16:47
  Ustaw limity czasowe dla uprawnień, a nie swój kalendarz.
• 16:49
  Poświadczenia projektu w środowisku deweloperskim,
• 16:51
  aby odblokować DEMA.
• 16:52
  DEMA nie potrzebują danych produkcyjnych, audytorzy tak.
• 16:54
  Bramkowanie narzędzi przez interfejs użytkownika, a nie kod.
• 16:56
  Jeśli model może to wywołać, interfejs użytkownika nie ma znaczenia.
• 16:59
  Jeśli nie pamiętasz niczego innego,
• 17:00
  traktuj agentów jak użytkowników z głupią ciekawością i ostrymi nożami.
• 17:03
  Tożsamość na agenta, rola na akcje, zakres na zasób,
• 17:06
  domyślnie ograniczony czasowo,
• 17:07
  a każde wywołanie sprawdza politykę przed dotknięciem danych.
• 17:10
  Polityki utraty danych, które faktycznie uniemożliwiają sztucznej inteligencji,
• 17:13
  stanie się cieknącym kranem.
• 17:14
  Nadałeś agentom tożsamości i rolę.
• 17:16
  Teraz zatrzymujemy kapanie.
• 17:18
  Zarządzanie jest tutaj proaktywne.
• 17:19
  Zablokuj zło, zanim opuści budynek.
• 17:21
  Dlaczego to ma znaczenie?
• 17:22
  Sztuczna inteligencja mnoży ekspozycję.
• 17:24
  Pojedynczy monit może wygenerować 100 wychodzących tokenów,
• 17:26
  z których każdy może być potencjalnym wyciekiem.
• 17:27
  Jeśli twoje kontrolki pojawiają się tylko w analizach pośmiertnych,
• 17:30
  zajmujesz się dochodzeniem, a nie zarządzaniem.
• 17:31
  Oto zestaw zasad, który faktycznie gryzie.
• 17:33
  Pomyśl o tym, jak o pasach bezpieczeństwa, poduszkach powietrznych i murze.
• 17:36
  Domyśl na redukcja danych osobowych w wynikach.
• 17:38
  Nazwy, adresy e-mail, numery telefonów, dowody osobiste.
• 17:41
  Jeśli użytkownik nie jest uprawniony, jest maskowany.
• 17:43
  Wycieki znajdują się w niczyim wewnętrznym wnętrzu.
• 17:46
  Wykrywanie sekretów.
• 17:47
  Ochrona kluczy API, tokenów, kluczy prywatnych, ciągów połączeń, wzorców,
• 17:50
  a także filtry Bloom dla szybkości.
• 17:52
  Dodaj sumy kontrolne dla popularnych formatów, aby fałszywe alarmy cię nie zasypały.
• 17:55
  Filtry terminów wrażliwych dostosowane do twojej firmy.
• 17:58
  Nazwy projektów prawnych, słowa kodowe fuzji i przejęć,
• 18:00
  nieopublikowane nazwy kodowe produktów.
• 18:02
  Przechowuj tę listę w zarządzanym magazynie z właścicielami i historią zmian.
• 18:05
  Lista dozwolonych wyrażeń regularnych dla struktury wyjściowej.
• 18:07
  Jeśli narzędzie oczekuje podsumowania faktury,
• 18:08
  przepuszczane są tylko dane wyjściowe w kształcie faktury.
• 18:10
  Poezja narracyjna nie.
• 18:11
  Schematy nie są opcjonalne.
• 18:12
  To kontrakty w LAN, GCH-A i N4J preprocesory i postprocesory wymuszające.
• 18:16
  Preprocesory skanują dane wejściowe w poszukiwaniu ładunków wstrzykiwanych i niedozwolonych zadań.
• 18:20
  Postprocesory weryfikują schematy JSON,
• 18:22
  uruchamiają filtry tajnych terminów i redagują dane osobowe,
• 18:24
  zanim cokolwiek opuści granicę agenta.
• 18:26
  Jeśli sprawdzenie się nie powiedzie, zwracasz bezpieczny błąd z identyfikatorem korelacji.
• 18:30
  Żadnych półprawd, żadnych może.
• 18:32
  Dodaj potoki moderacji, lekkie filtry wzorców i filtry Bluma.
• 18:36
  Bardziej rozbudowana, oparta na sztucznej inteligencji, moderacja kontekstowa.
• 18:38
  Na przykład, nie ujawniaj danych dotyczących zdrowia, połącz je w łańcuch, niepowodzenie zamknięte i zdefiniuj zachowanie awaryjne.
• 18:45
  Podsumuj na wyższym poziomie, podaj bezpieczną odmowę lub przekieruj do człowieka.
• 18:48
  Nie pętl modelu, aby zapewnić bezpieczniejszy wyciek.
• 18:50
  W Copilot Studio użyj stosu, za który już płacisz.
• 18:53
  Zasady DLP w usłudze Microsoft 365 mają zastosowanie do kanałów i łączników.
• 18:58
  Włącz je i dostosuj.
• 18:59
  Użyj etykiet poufności w źródłach uziemienia, aby agent nigdy nie indeksował treści o dużym wpływie bez wyraźnej zgody.
• 19:04
  Moderacja na poziomie dzierżawy powinna być domyślnie włączona, a nie włączymy ją później.
• 19:09
  Później włączy się PR.
• 19:10
  Monitorowanie łączy to wszystko.
• 19:12
  Ustaw progi, nietypowy rozmiar danych wyjściowych, nietypowe miejsce docelowe, nietypową częstotliwość.
• 19:16
  Jeśli bod pytań i odpowiedzi nagle zapisze megabajty do zewnętrznego punktu końcowego, poddaj sesję kwarantannie.
• 19:20
  Automatycznie wygasaj ryzykowne sesje i powiadom właścicieli.
• 19:23
  Zadbaj o to, aby alerty były wykonalne.
• 19:25
  Nie pinguj wszystkich przy każdym zdarzeniu maski.
• 19:27
  Szybkie zwycięstwo, które możesz wdrożyć już dziś.
• 19:29
  Wymuszaj schematy wyjściowe i warunki listy bloków na granicy agenta.
• 19:32
  Brak schematu, brak odpowiedzi.
• 19:34
  Dodaj redukcję danych osobowych jako ostatni etap.
• 19:36
  Ta kombinacja zatrzymuje oczywiste przecieki i daje Ci czas na wdrożenie reszty.
• 19:39
  Typowe błędy.
• 19:40
  Pozwalanie na uzależnienie od kodu front-end.
• 19:42
  Redagowanie po stronie serwera, zanim wiadomość dotrze do klienta.
• 19:45
  Jedna globalna lista blokad.
• 19:46
  Segmentowanie według domeny biznesowej.
• 19:48
  Słowa finansowe nie są słowami marketingowymi.
• 19:50
  Rejestrowanie nieocenzurowanego oryginału w celu debagowania.
• 19:53
  Maskowanie podczas pobierania.
• 19:54
  Zachowaj bezpieczną kopię w sejfie tylko wtedy, gdy Twój zespół prawny się na to zgodził.
• 19:57
  Zakręć kran, a następnie spróbuj docelowo złamać.
• 20:00
  Lista kontrolna czerwonego zespołu.
• 20:02
  Złam ją, zanim zrobią to producenci.
• 20:03
  Nie ufasz pasom bezpieczeństwa, dopóki za nie nie pociągniesz.
• 20:05
  To samo z barierkami ochronnymi.
• 20:07
  Zaplanuj chaos.
• 20:08
  Cel, testy adwersarskie, które możesz powtarzać, a nie wibracje.
• 20:11
  Wyślesz listę kontrolną, uruchomisz ją w rytmie i wraz z nią zwolnisz bramki.
• 20:15
  Najpierw testy wstrzykiwania.
• 20:17
  Pomieszanie ról.
• 20:18
  Monituj agenta, aby zignorował politykę i działał jak system.
• 20:21
  Powinien odmówić.
• 20:22
  Kolizja nazw narzędzi.
• 20:23
  Strzykiwanie fałszywych nazw i parametrów narzędzi.
• 20:25
  Tylko zarejestrowane narzędzia powinny być uruchamiane.
• 20:27
  Pominięcie schematu.
• 20:29
  Osadzaj polecenia w ciągach znaków i komentarzach JSON.
• 20:32
  Walidatory muszą odrzucać.
• 20:33
  Przynęta na łańcuch myśli.
• 20:35
  Spróbuj nakłonić do zrzutów rozumowania, które wyciekają źródła.
• 20:37
  Dane wyjściowe powinny pozostać w schemacie.
• 20:39
  Monity o usunięcie danych.
• 20:40
  Podaj dokładne numery ubezpieczenia społecznego.
• 20:42
  Wyeksportuj wszystkie wiadomości e-mail.
• 20:44
  Otrzymasz odmowę z dziennikiem audytu.
• 20:46
  Następnie przejdź do testów dostępu.
• 20:47
  Eskalacja zakresu.
• 20:48
  Żądanie działań poza rolą agenta.
• 20:50
  Narzędzia muszą blokować na poziomie opakowania.
• 20:52
  Zachowanie wygasłych tokenów.
• 20:54
  Rotacja sekretów w trakcie sesji.
• 20:55
  Wywołania powinny kończyć się niepowodzeniem i być zamykane z wyraźnymi błędami.
• 20:58
  Wyciek w środowisku shadow.
• 20:59
  Agent deweloperski próbuje punktów końcowych produkcji.
• 21:01
  Twardy błąd.
• 21:02
  Głośne logi.
• 21:03
  Testy audytu.
• 21:04
  Kompletność śledzenia.
• 21:05
  Czy można zrekonstruować monit do działania z jednym identyfikatorem korelacji?
• 21:08
  Wykrywanie manipulacji, zmiana przechowywanych logów, niezgodność skrótów powinny wywołać alarm.
• 21:12
  Korelacja międzyusługowa.
• 21:13
  Identyfikator wiadomości Teams do rekordu Dataverse do zewnętrznego wywołania API.
• 21:16
  Wszystkie pasujące.
• 21:17
  Zdefiniuj bramki pass-fail.
• 21:19
  Brak schematu spowoduje niepowodzenie.
• 21:21
  Każde dane wyjściowe, które nie zostaną zweryfikowane, blokują wydanie.
• 21:23
  Zakres obejmujący cały dzierżawcę spowoduje niepowodzenie.
• 21:26
  Każdy łącznik bez grup zakresów i wygaśnięcia jest blokowany.
• 21:28
  Cicha awaria narzędzia zawiedzie.
• 21:30
  Błędy muszą zostać ujawnione, a nie połknięte.
• 21:32
  Brak planu wycofania zawiedzie.
• 21:34
  Jeśli nie możesz cofnąć zmiany uprawnień lub konfiguracji modelu w ciągu kilku minut, nie jesteś gotowy.
• 21:38
  Kadencja przedpremierowa dla każdej zmiany agenta.
• 21:40
  Kwartalne ćwiczenia chaosu w środowiskach typu produkcyjnego.
• 21:43
  Pętla nauki po incydencie w ciągu pięciu dni roboczych z nowymi testami dodanymi do pakietu.
• 21:47
  Właściciele i umowy SLA.
• 21:49
  Każdy element listy kontrolnej ma właściciela i umowę SLA do naprawienia oraz status.
• 21:52
  Brak właściciela, brak wysyłki, szybkie zwycięstwo, brak schematu zawiedzie, a zakres całego dzierżawcy zawiedzie podczas kontroli C i CD.
• 21:59
  Jeśli którykolwiek z nich zadziała, potok się zatrzyma.
• 22:02
  Bez spotkań, bez debat, tylko czerwone światło, które wszyscy szanują.
• 22:05
  Uruchom listę, zniszcz rzeczy, napraw je.
• 22:07
  Następnie uruchom ją ponownie, aż niespodzianki przestaną być zaskakujące.
• 22:10
  Jeden krok zarządzania, który większość organizacji pomija.
• 22:13
  Jeśli niczego innego nie pamiętasz, agenci to tożsamości.
• 22:16
  Traktuj ich jak bardzo głupich, bardzo zaawansowanych użytkowników z minimalnymi uprawnieniami, wymuszonymi kontraktami wyjściowymi i pełnymi śladami audytu.
• 22:23
  Krokiem, który większość organizacji pomija, jest tworzenie dedykowanych kont użytkowników dla każdego agenta, a następnie łączenie każdego narzędzia i łącznika za pomocą ról zakresowych dla środowiska.
• 22:30
  Bez współdzielonych uprawnień, bez zakresów obejmujących cały tenant.
• 22:33
  Zastosuj model RBAC.
• 22:35
  Włącz polityki DLP i uruchom listę kontrolną zespołu RED w tym tygodniu.
• 22:39
  Zapisz się, aby otrzymywać dalsze informacje, w których pokażę dokładne konfiguracje w Langchain dla Jot i Copilot Studio, dzięki czemu będziesz mógł kopiować i wklejać zarządzanie zamiast przepraszać.