Latest / M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano / Governance degli agenti IA con LangChain4j e Copilot Studio: prompt injection, connettori, audit e RBAC (Doppiaggio IA)

Transcript

Governance degli agenti IA con LangChain4j e Copilot Studio: prompt injection, connettori, audit e RBAC (Doppiaggio IA) · M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano

0:00
Gli agenti di intelligenza artificiale vengono spediti più velocemente delle riunioni di controllo delle modifiche e la governance è un'atmosfera.
0:05
Conosci quella sensazione quando un copilota viene spedito con eccesso solo per i test?
0:08
Sia il battito cardiaco del tuo responsabile della conformità che senti.
0:11
Oggi farò piazza pulita di Liangcheinfo allo studio con casi reali, inserimento rapido, connettori eccessivamente permissivi e lacune di audit.
0:18
E ti mostrerò cosa non funziona, perché non funziona, e le correzioni che effettivamente reggono.
0:22
Rimani fino alla fine e ti fornerò l'unico passaggio di governance che previne la maggior parte degli incidenti.
0:26
Uscirai con un modello RBAC dell'agente, policy di perdita di dati e una checklist del team rosso.
0:32
Caso 1, inserimento rapido.
0:34
Lo stagista a non supervisionato scrive la policy.
0:36
L'inserimento rapido è quello stagista a non supervisionato che sembra disponibile, scrive frasi complete e poi invia via mail i dati sulla retribuzione al suo archivio personale per la custodia.
0:45
Pensi che il prompt del tuo sistema sia radicato.
0:47
Il modello pensa che sia un suggerimento.
0:48
E nel momento in cui lo basi su contenuti interni, un documento piccante o un messaggio utente può riscrivere le regole a metà conversazione.
0:55
Perché è importante.
0:56
Quando l'iniezione vince, il tuo agente diventa un re poeta della fuga di dati.
1:01
Allucina, intensifica gli strumenti e ignora il linguaggio delle policy come se fossero i termini di servizio del wifi.
1:06
Nei negozi regolamentati questo non è un bug, è un incidente segnalabile con il nome della tua azienda.
1:10
Cominciamo con ciò che non funziona in Lensian 4G.
1:13
Ciò che la maggior parte delle persone non capisce è che le chiamate di strumenti senza schemi di output rigorosi sono fondamenti crimini e restituiscono.
1:17
Se i tuoi strumenti accettano argomenti non controllati, pensa a testo libero, SQL o campi di query e non.
1:25
Con validi tipi, intervalli o enumerazioni, il modello passerà volentieri qualsiasi cosa un aggressore introducca di nascosto.
1:31
Una convalida dell'output debole è la complice del crimine.
1:33
Quando ti aspetti JSON, ma accetti JSON-ish, un aggressore può infilare istruzioni in commenti o stringhe che il tuo parser downstream tratta come comandi.
1:42
Ho capito quando ho visto i registri in cui uno strumento di recupero accettava un parametro di argomento con markdown arbitrario.
1:47
La chiamata successiva trasmetteva quel markdown come se fosse una configurazione.
1:50
Questa non è orchestrazione, è un'operazione autonoma.
1:54
È qui che la maggior parte delle persone sbaglia.
1:56
Si affidano all'impostazione e si prega di fare attenzione dei modelli anziché le protezioni nel codice.
1:59
In Langchain 4J sono necessari elenchi consentiti per nomi e argomenti degli strumenti,
2:05
output di schemi JSON applicati al limite, filtri di output basati su modelli per eliminare i segreti
2:10
e una gestione delle eccezioni che non riprovi lo stesso input avvelenato 5 volte come un golden retriever con una pallina da tennis.
2:16
Il motivo per cui funziona è che trasforma l'attendibilità del modello in verifica di ogni byte.
2:21
Cosa non funziona in Copilot Studio?
2:22
Un'impostazione di base ingenua con ampie acquisizioni SharePoint.
2:25
Si collega un'intera raccolta siti per completezza e ora un documento di onboarding con istruzioni per ignorarli
2:29
e istruzioni precedenti diventa la nuova religione del proprio agente.
2:33
I prompt di sistema modificabile degli utenti aziendali sono in sé.
2:35
Adoro gli utenti aziendali, ma dare loro un'amministrazione immediata è come lasciare che il marketing imposti le regole del firewall
2:40
perché conoscono del marketing.
2:42
Si ho visto configurazioni di tenant in cui la moderazione era disabilitata per ridurre l'attrito.
2:46
Vorresti non poterlo fare.
2:47
Ecco le prove che riconoscerai.
2:49
Registri dei tenant che mostrano strumenti richiamati con parametri limitati come flag di esportazione
2:53
che non avrebbero mai dovuto esistere.
2:54
Tracce di conversazione in cui l'assistente ripete una stringa iniettata da un documento recuperato,
2:59
interruttore di moderazione e disabilitati.
3:01
Non è un'ipotesi.
3:02
Ogni revisione è post-incidente a cui non vuoi partecipare.
3:05
Quindi qual è il percorso fisso che puoi implementare?
3:07
Per LengChain 4J applica gli elenchi consentiti nel registro degli strumenti.
3:11
Se lo strumento non è registrato con uno schema non esiste.
3:13
Richiedi output di schema JSON e rifiuta tutto ciò che non è convalidato.
3:17
Nessuno schema, nessuna risposta, appunto.
3:18
Aggiungi filtri di pattern per perdite evidenti, chiavi api segreti e SSM.
3:23
I filtri Bloom sono rapidi ed economici, usa.
3:25
Integra gli strumenti con controlli delle policy e convalida i tipi di argomenti in intervalli
3:29
e i formati previsti prima dell'esecuzione.
3:30
Aggiungi la moderazione dei contenuti nei processori pre-post.
3:33
Impedisce al modello di agire o emettere contenuti tossici o sensibili.
3:37
Chiudi gli errori con eccezioni esplicite e non ripetere mai automaticamente i prompt avvelenati.
3:40
Per Copile Studio blocca i prompt di sistema.
3:43
Solo gli amministratori possono modificare.
3:45
Esegui la versione Comicon.
3:45
Definisci l'ambito dei connettori in base all'ambito.
3:48
Sviluppo, test, produzione e quali limiti di vetro.
3:50
Privilegi minimi sulle origini.
3:51
Attiva le policy di moderazione dei contenuti a livello di tema.
3:54
Questa è la posta in gioco.
3:55
Basati solo su contenuti etichettati con tag di sensibilità,
3:58
non sull'intera farm per comodità.
4:00
La vittoria rapida che ripaga immediatamente
4:02
aggiunge uno schema di output e un passaggio di moderazione del filtro Bloom al confine della gente.
4:06
Eliminerei la maggior parte delle perdite stupide senza toccare la logica di attenzione.
4:08
Quindi aggiungi un piccolo elenco di rifiuti consentiti per i formati che ti aspetti come riepilovi strutturati.
4:12
Blocca tutto il resto.
4:14
Lascia che ti mostri esattamente come funziona.
4:17
Ad esempio, hai uno strumento di creazione ticket che accetta titolo, descrizione e priorità.
4:21
Senza l'applicazione dello schema,
4:23
un utente malintenzionato inserisce la descrizione
4:25
chiudendo tutti gli incidenti più uno all'interno di un blocco con triple backtick.
4:28
Il modello lo supera.
4:30
La tua API ITSM ignora ed esegue uno script di aggiornamento.
4:33
Con schema e convalida,
4:34
la descrizione non può contenere token di comando o superare la lunghezza.
4:37
La richiesta non riesce a chiudersi,
4:39
registra l'ID di correlazione
4:40
e il tuo CM segnala un errore di moderazione.
4:43
Ed ecco che risultato
4:45
Incidente evitato
4:46
Traccia preservata
4:47
Revisore placato
4:48
Errori comuni da evitare
4:49
Lasciare che il modello scelga dinamicamente i nomi degli strumenti.
4:52
Gli strumenti sono contratti, non suggerimenti.
4:54
Accettare JSON in formato libero senza un valido.
4:56
Sembra che JSON non sia un complimento,
4:58
però modificabili negli ambienti di produzione.
5:01
Se può cambiare senza revisione, lo farà.
5:03
Far affidamento sulla memoria delle conversazioni per i criti.
5:05
I criteri appartengono al codice e alla configurazione, non alle vibrazioni.
5:08
Una volta fatto questo, tutto il resto funziona.
5:10
Impedisce allo stagista di parlare fuori turno.
5:12
Successivamente impediamo loro di entrare in un'istanza con una chiave principale.
5:15
Caso 2
5:16
Connettori permissivi, chiavi del castello, su un cordino.
5:19
Impedisce allo stagista di parlare.
5:21
Ora riprenditi il badge.
5:22
Connettori con permissività eccessiva sono quel portachiavi da custode
5:25
che apre ogni porta dell'edificio,
5:26
incluso il cavo, l'asilo nido o in qualche modo il plotone del zio.
5:30
Motivo perché è importante?
5:31
Sembile.
5:31
Un connettore con ambito eccessivo equivale alle sfiltrazioni di dati a livello aziendale
5:34
in una singola richiesta, non teorica.
5:35
Una chiamata.
5:37
Mentre stai ancora discutendo sul titolo del ticket in modifica.
5:40
Cominciamo con ciò che non funziona in 9-5-4-J.
5:43
Gli sviluppatori condividono le chiavi api tra gli agenti per comodità.
5:46
Quindi qualcuno esegue il commit dell'invidia,
5:48
un repository privato che in realtà è pubblico
5:50
e ti ritrovi a rispondere agli incidenti alle due di notte all'estero.
5:52
E ambito o out sono i successivi.
5:54
Concedi la lettura, scrivi tutto per risparmiare tempo.
5:56
Durante i test e sei mesi dopo,
5:58
quel token di test è ora il fiore all'occhiello della produzione.
6:01
E registro di strumento?
6:01
Adoro un registro pulito,
6:03
ma se indichi a un agente di sviluppo le credenziali di produzione
6:05
perché la demo deve funzionare oggi,
6:07
hai appena collegato una motosega a un rumba.
6:09
Ciò che la maggior parte delle persone trascura
6:10
è che gli strumenti ereditano qualsiasi identità li venga assegnati.
6:12
Credenziali condivise significano raggio di azione.
6:14
Non esiste magia solo per salvare le cose con trassegno.
6:17
Se il token può eliminare i record,
6:19
il tuo agente può eliminarli accidentalmente con entusiasmo
6:21
e con perfetta sicurezza.
6:23
Ora passo a Copilot Studio.
6:25
I connettori M365 a livello di Tenance sono una classica tra.
6:27
Fai clic una volta
6:28
e ora ogni Copilot in ogni team può vedere dati che non dovrebbe.
6:32
Questa non è responsabilizzazione, è un buffet di errori.
6:34
Quindi distribuisce ai team con visibilità a livello di organizzazione
6:37
perché l'adozione è all'improvviso un bot pilota pensato per la finanza
6:40
risponde alle domande del marketing estrendo
6:41
contenuti da siti SharePoint
6:42
di cui non avrebbe mai dovuto sapere l'esistenza.
6:45
E gli Xass di terze parti non gestiti?
6:47
Sono come le chiavette USB nel 2009,
6:49
misteriosamente ovunque e sempre temporanei.
6:51
Le prove si presentano sempre allo stesso modo.
6:53
Segreti obsoleti che non sono mai stati ruotati,
6:55
nessuna scadenza, nessun proprietario.
6:56
Connettori mappati a gruppi globali per semplicità.
7:01
Registrazioni di app con ambiti che sembrano confessione.
7:04
E sì, quella chiave di produzione temporanea rimane in dev per mesi.
7:08
I risultati della tua sicurezza e le configurazioni di Tenant
7:10
non mentiranno o sospireranno.
7:12
Quindi qual è il percorso?
7:13
Per l'Enchain4J,
7:14
tratta ogni agente come un'applicazione separata con la propria identità.
7:17
Crea dei principi di servizio per agente.
7:19
Nessun tocca un guiso.
7:20
Se due agenti hanno bisogno della stessa IP
7:21
ottengono comunque credenziali diverse.
7:23
Usa OAuth con ambito.
7:24
Concedi il set più piccolo di autorizzazioni
7:26
che consente allo strumento di svolgere sul lavoro.
7:28
Lettore e non scrittore.
7:29
Scrivi su una raccolta, non su tutto.
7:31
Archivi e segreti in un gestore di segreti appropriato.
7:33
Ruota in base all'applicazione.
7:34
Ruota in base all'incidente.
7:36
Ruota anche quando qualcuno sussurra il token.
7:38
Aggiungi erbaccio a due livelli.
7:39
Un frapper dello strumento verifica il ruolo del chiamante
7:41
prima che tocchi una.
7:42
Nessun ruolo, nessuna chiamata.
7:43
Ambienti separati,
7:44
le chiavi dev comunicano solo con i sistemi dev.
7:46
Se uno strumento rileva un endpoint di produzione in dev
7:48
non riesce a chiudersi e urla nei registri.
7:50
Per Copilot Studio traccia dei confini rigidi
7:52
con ambienti e ambiti.
7:54
Utilizza la separazione degli ambienti dev, test, prod.
7:57
Connettori diversi, autorizzazioni diverse, proprietari diversi.
8:00
Rivedi gli ambiti dei connettori con un flusso di log.
8:02
Le modifiche richiedono approvazione,
8:03
date di scadenza e proprietà.
8:04
Nessun proprietario, nessun connettore.
8:06
Applica criteri di LP per canale.
8:07
Canale finanziario ha regole più rigide rispetto a quelli aziendali.
8:10
Questo è il punto.
8:10
Chiudi le distribuzioni Teams a livello di organizzazione per i progetti piloti.
8:14
Limita la visibilità a un gruppo di sicurezza.
8:16
Espandi solo dopo la revisione.
8:17
Inventare blocchi ai connettori SAS di terze parti.
8:20
Se non è gestito, è disattivato per impostazione o predifine.
8:22
I proprietari devono giustificare l'accesso e rinnovarlo.
8:24
Ecco una rapida vittoria che puoi distribuire i giorni.
8:26
Chiudi gli ambiti a livello di tenant
8:27
e mappa ogni connettore a un gruppo di sicurezza con un criterio di scadenza.
8:31
Quando il gruppo scade, l'accesso termina senza problemi.
8:33
Nessun drama, nessuna sorpresa.
8:34
Lascia che ti mostri esattamente come funziona.
8:36
Hai uno strumento di report e esportazione che scrive in un bucket di archiviazione.
8:40
Con credenziali condivise puoi vedere ogni bucket.
8:42
Quindi un prompt che dice salva backup nell'archivio.
8:44
Inserisce silenziosamente dati sensibili in un percorso pubblico.
8:47
Con ruoli definiti per agente e ruoli definiti per ambito,
8:50
tale strumento può scrivere solo su un bucket con un prefisso.
8:54
Se il modello decide di inventare un altro percorso, l'api lo nega.
8:58
Registri l'ID di correlazione e il tuo CM attiva un avviso.
9:01
E boom su una perdita di dati accidentale.
9:04
Errori comuni da evitare.
9:05
Utilizzare gruppi globali per l'accesso solo per ora.
9:08
Però non finisce mai.
9:09
Concedere ambiti ampi a tutti perché i documenti erano confusi.
9:12
Confondere non è autorizzazione.
9:14
Copiare credenziali tra ambienti.
9:16
Se puoi incollarle, le incollerai nel modo sbagliato.
9:18
Trattare la visibilità di Teams come innocuo.
9:20
La visibilità è accesso.
9:21
Accesso è un rischio.
9:22
Una volta definito l'ambito di accesso,
9:24
i revisori smettono di sentire l'odore del sangue nell'acqua.
9:26
E quando lo faranno avrai bisogno di prove.
9:28
Il che ci porta alla parte che tutti dimenticano.
9:30
Se non è registrato, non è accaduto.
9:32
Caso 3.
9:33
Lacune di audio.
9:35
Se non è registrato, non è accaduto.
9:37
Adi finire ci accetto.
9:38
Ottimo.
9:39
Ora dimostralo perché quando un revisore chiede
9:41
cosa ha fatto l'agente alle 15 o 14
9:42
e la tua risposta è pensiamo a qualcosa.
9:46
Questa non è una posa.
9:47
È un tour di scuse.
9:49
Perché è importante.
9:50
Senza lignaggio non puoi spiegare risposte strane,
9:52
annullare azioni scorrette
9:53
o persino sapere se un incidente è stato contenuto.
9:55
Enti di regolamentazione amano questa incertezza.
9:57
I clienti l'amano meno.
9:58
E i tuoi dirigenti amano davvero quando dici
10:00
non ne abbiamo idea.
10:01
Ecco cosa la maggior parte delle persone non nota nel Inc.4.
10:03
La tua catena sta facendo molto di più
10:05
di quanto mettono i giusti.
10:06
Grafici di esecuzione mancanti
10:07
significano che non puoi ricostruire passaggi.
10:09
Nessun ID di traccia significa
10:10
che gli eventi sembrano fuochi d'artificio casuali.
10:12
I registri parziali nascondono
10:13
l'unica chiamata allo strumento.
10:15
E i guasti silenziosi dello strumento
10:16
quelli sono i miei preferiti.
10:17
Tutto sembra verde
10:18
mentre lo strumento non è mai stato eseguito
10:20
e il modello ha solo immaginato
10:21
una risposta per essere educato.
10:23
Ho capito il giorno in cui ho seguito un incidente
10:25
in cui un passaggio di recupero è scaduto,
10:26
ha restituito null
10:27
e il passaggio successivo
10:28
ha felicemente scritto nessun record
10:29
trovato chiudendo un API di ticketing.
10:32
Nessuna eccezione e nessuna traccia,
10:33
solo vibrazioni e ticket chiusi.
10:35
Se non riesci a distinguere l'output
10:36
del modello dall'output
10:37
dello strumento nei tuoi registri,
10:38
si è già inizio.
10:38
Lascia che ti mostri esattamente
10:39
come risolvere il problema
10:40
della registrazione di LangCain 4J
10:41
in modo che sia pronta per l'edit.
10:42
Innanzitutto abilita la registrazione
10:44
strutturata U.
10:45
JSON non zuppa di string.
10:46
Ogni richiesta e risposta
10:47
riceve una busta con timestamp,
10:49
nome del modello,
10:49
conteggi di token
10:50
e un ID correlazione
10:51
che sopravviva all'intera catena.
10:52
Quindi aggiungi grafici
10:53
o tracce di esecuzione
10:54
utilizzando LangSmith o LangGraph.
10:57
Ogni nodo registra
10:58
input, output, durata ed error.
10:59
Se uno strumento genera un errore forte,
11:01
nessun errore silenzioso
11:02
non l'abbiamo ipotizzato.
11:03
Ora il problema più importante,
11:04
centralizza.
11:05
Incanna la traccia e registri nel tuo sim.
11:07
Non lasciarli su un pod
11:07
che si ridimensiona automaticamente
11:09
fino all'ubbligo.
11:09
Aggiungi il campionamento per il rumore
11:10
ma non eliminare maglia.
11:11
Vuoi cercare in base all'ID traccia
11:13
e vedere l'intera storia.
11:14
Prompt recupera documenti,
11:15
chiamate gli strumenti,
11:16
risposte API
11:17
e la risposta finale
11:17
senza dover giocare a Dove è Wall-E
11:19
alle due di notte.
11:20
Passa a Copilot Studio.
11:21
La piattaforma ti fornisce
11:22
un po' di telemetria
11:23
ma è distribuita tra team,
11:24
dataverse e qualsiasi connettore
11:25
che tu abbia toccato.
11:26
L'esportazione limitata
11:27
delle conversazioni
11:28
significa che ottieni frammenti
11:29
in una narrazione.
11:29
La telemetria frammentata
11:30
significa che il tuo responsabile
11:32
della conformità
11:32
sta cucendo screenshot
11:33
come se fossero opere d'arte e mestiere.
11:34
Fissavi il problema
11:35
che hanno una questione unificata.
11:37
Attiva la conservazione
11:37
delle trascrizioni
11:38
delle conversazioni
11:39
con SLA di conservazioni chiari,
11:40
chi le conserva
11:41
per quanto tempo e perché.
11:42
Esporti i registri
11:43
delle conversazioni
11:43
e relazioni in un'area
11:44
di lavoro centralizzata
11:44
come Fabric e Log Analytics.
11:47
Contrassegna ogni evento
11:47
con un ID di correlazione
11:48
che passi dal punto di ingresso
11:50
in Teams
11:50
fino ai plugin dataverse
11:51
e alle API downstream.
11:53
Se la chat dice
11:54
Crea caso,
11:55
voglio cliccare sul record.
11:56
Esatto nel sistema,
11:57
esatto con i dati esatti
11:58
che sono stati inviati.
12:00
Prove che riconoscerai
12:00
dalle revisioni degli incidenti.
12:02
Chiamate LLM
12:03
e orfani registri
12:03
non elaborati
12:04
che non corrispondono
12:05
ad alcuna sessione utente.
12:05
Invocazioni di strumenti
12:07
senza prompt corrispondente.
12:08
Oppure risposte
12:09
che citano fonti
12:10
che non riesce a trovare
12:10
perché i registri
12:11
di messa a terra
12:11
non includono ID documenti.
12:13
Non è un mistero.
12:14
Manca l'infero.
12:14
Vittoria Apri
12:15
che puoi distribuire
12:16
questa settimana.
12:17
Imporre buste di richiesta
12:18
e risposta con hash.
12:19
Archivia un hash
12:20
di contenuto di prompt
12:21
recupera blocchi e output
12:22
in modo da poter dimostrare
12:23
l'integrità.
12:24
Se qualcuno manomette
12:25
l'hash dice no.
12:27
Richiedi ID
12:27
di correlazione end to end.
12:29
General Edge
12:30
passa attraverso ogni op
12:31
e rifiuta qualsiasi chiamata
12:32
che lo interrompe.
12:33
Nessun servizio.
12:34
Definisce SLA di conservazione.
12:35
Approvazioni legali
12:36
e applicazioni della sicurezza.
12:37
90 giorni per lo sviluppo
12:39
un anno per la produzione
12:39
più a lungo
12:40
per i domini regolamentati.
12:41
Pubblicalo.
12:42
Vivilo.
12:43
Errori comuni da evitare.
12:45
Registrazione di segreti
12:45
non elaborati
12:46
o maschere la fonte.
12:47
Conserva i campi necessari
12:48
per analisi forensi
12:49
non gioiella con.
12:50
Errori di campionamento.
12:51
Successo del campionamento.
12:52
Registra affidimento.
12:53
Quando le cose si rompono
12:54
avrai bisogno
12:55
di abbracciola di pan.
12:56
Registri il testo libero.
12:57
gli umani li amano
12:58
le macchine li odiano.
12:59
Usa i campi.
13:00
Aggiungi schemi.
13:01
Convalida l'inserimento.
13:03
Ora gli auditor
13:03
chiedono cosa è successo.
13:05
Apri una traccia.
13:06
Mostri il prompt
13:07
gli ID di documenti recuperati
13:08
l'input dello strumento
13:09
l'output dello strumento
13:10
e il messaggio finale.
13:11
L'ID di correlazione
13:12
corrisponde al gateway API
13:13
alla scrittura del database
13:14
al messaggio di Teams.
13:15
Ed ecco che la storia regge.
13:17
Quindi quando puoi vedere
13:18
puoi governare
13:19
che significa che è il momento
13:20
di formalizzare le regole
13:21
e bloccare chi fa cosa.
13:23
Il modello airbag dell'agente
13:24
tratta gli agenti
13:25
come utenti molto stupidi
13:26
e molto potenti.
13:27
Hai visibilità.
13:28
Bene.
13:29
Ora dai a queste cose
13:29
un'identità in guinzaglia.
13:31
Gli agenti sono utenti.
13:32
Utenti molto stupidi
13:33
e molto potenti.
13:34
Se non daresti
13:34
un amministratore temporaneo
13:35
umano il primo giorno
13:36
non darle un pappagallo stocastico
13:37
che non sa distinguere
13:38
il sarcasmo dal sudo.
13:39
Perché è importante.
13:41
La maggior parte
13:41
dell'organizzazione
13:42
protegge Gimani Nare.
13:43
L'agente quindi agira
13:44
per progettazioni
13:45
e privilegi minimi.
13:46
Salta tra gli strumenti
13:47
attraversa gli ambienti
13:48
e nessuno se ne accorge
13:49
perché non viene visualizzato
13:50
nell'organigramma.
13:50
E' così che il bot di supporto
13:52
si trasforma
13:52
in un amministratore home.
13:54
Ecco il modello
13:54
che voglio che tu distribuisca.
13:55
Un'identità per agente
13:56
ruoli chiari
13:57
controlli delle policy
13:58
nel codice
13:59
e confini di ambiente
13:59
che abbiano un significato concreto.
14:01
Inizia con l'identità.
14:03
Crea un service principal
14:04
per ogni agente
14:04
non un platform bot 0-1
14:06
o un mapping 1-1 effettivo.
14:08
Assegna gli un nome come l'A.
14:09
Contrassegnalo con proprietario
14:10
scopo, ambiente e scadenza.
14:12
Se due agenti
14:12
accedono alla stessa abia
14:13
ottengono comunque
14:14
identità diverse.
14:15
Identità condivisa
14:16
equivale a un raggio
14:16
di diffusione e condivisa.
14:18
Quindi finisce una tassonomia
14:19
dei ruoli
14:19
che anche le persone impegnate
14:20
possono applicare.
14:21
Io ne so quattro.
14:21
Lettore runner
14:22
scrittore amministratore.
14:23
Il lettore può recuperare i dati.
14:24
Nessun effetto careretto.
14:26
Pensa a query,
14:26
recupero,
14:27
riepilogo.
14:28
Runner può richiamare
14:29
flussi di lavoro
14:30
con effetti limitati.
14:31
Crea ticket,
14:32
invia approvazione,
14:33
pianifica,
14:33
riunione.
14:34
Lo scrittore può scrivere
14:35
dati in ambiti specifici.
14:37
Una tabella,
14:37
un bucket,
14:38
una casella di posta.
14:38
Non tutti.
14:39
L'amministratore può modificare
14:41
la configurazione.
14:42
Questo ruolo dovrebbe farti sudare.
14:44
Usalo con parsimonia,
14:45
con limiti di tempo
14:45
e sempre con doppia approvazione.
14:47
Ora,
14:47
mappalo su Langchain4J.
14:48
Gli strumenti sono
14:49
i tuoi punti di applicazione.
14:51
Ogni wrapper dello strumento
14:52
verifica il ruolo
14:52
del chiamante
14:52
prima delle sequenze.
14:54
Se l'identità dell'agente
14:54
è mappata al lettore,
14:55
uno strumento di scrittura
14:56
non riceve nemmeno la chiamata.
14:58
E non fermarti al ruolo,
14:59
includi l'ambito delle risorse.
15:00
Uno scrittore per i casi finanziari
15:02
non può scrivere i casi di vendita.
15:04
L'ambito non è un commento,
15:05
è un gate.
15:06
Usa variabili di ambiente
15:07
e file di configurazione
15:08
per associare gli strumenti
15:09
agli ambienti.
15:10
L'agente di sviluppo
15:10
vede solo gli host
15:11
e le chiavi di sviluppo.
15:12
Se provano un URL di produzione
15:13
il fallimento viene chiuso
15:14
e il log romano.
15:15
I controlli delle policy
15:16
vengono al limite
15:17
non dopo che la chiamata API fallisce.
15:19
In Copilot Studio
15:20
esegui lo stesso schema
15:21
con i ruoli di ambiente
15:21
e gli ambiti del connettore.
15:23
Assegna l'agente a un ambiente
15:24
con autorizzazioni
15:25
che rispecchiano il lettore
15:26
quindi
15:27
Runner
15:27
Writer
15:28
Admin.
15:29
Le autorizzazioni del connettore
15:30
sono associate ai gruppi di sicurezza
15:31
collegati a Trello.
15:32
I limiti di distribuzione dei team
15:33
sono il tuo raggio d'ezze.
15:34
Mantieni i piloti
15:35
all'interno di un piccolo gruppo.
15:36
Espandi solo con un'utica di modifica.
15:38
Che il flusso di lavoro
15:38
o di revisione ti mantiene onesta.
15:40
Ogni modifica dell'ambito
15:41
è una richiesta dei modifici.
15:42
Elenca l'agente
15:43
il ruolo richiesto
15:44
il connettore allo strumento
15:45
l'ambiente
15:45
il motivo il richiedente
15:46
e la scadenza.
15:48
Due approvazioni
15:49
un proprietario tecnico
15:49
un proprietario dei dati.
15:51
Quando si verifica la scadenza
15:52
l'accesso termina automaticamente
15:53
e riceve un avviso
15:54
per rinnovarlo o annullarlo.
15:56
Temporaneo
15:56
significa infine temporaneo.
15:58
Lascia che ti mostri
15:58
esattamente come funziona
15:59
con una microstoria.
16:00
Un agente che un'e finanziaria
16:01
inizia come elettore.
16:02
Le persone lo adorano
16:03
quindi il prodotto vuole creare
16:04
una nota a spesa.
16:05
E questa è un'azione di runner
16:06
con un ambito ristretto.
16:07
Aggiungi un nuovo strumento
16:08
con una policy
16:09
a livello di strumento.
16:10
Solo invio spese
16:11
solo per il centro di costo
16:12
dei dipendenti
16:12
solo sotto i 5 allegati.
16:15
L'identità dell'agente
16:16
ottiene l'autorizzazione
16:17
per quella singola API
16:17
che scade tra 30 giorni.
16:19
In Copilot Studio
16:20
l'ambiente ottiene
16:21
un'autorizzazione di connessione
16:26
di modifica
16:27
e le approvatori
16:27
la scadenza.
16:29
Quando il marketing
16:29
richiede anche di eliminare
16:30
i report si rifiuta
16:31
o si indirizza
16:32
a uno strumento di scrittura
16:33
separato con i propri proprietari SLA.
16:35
Il modello può volere
16:36
qualsiasi cosa.
16:37
La policy applica tutto.
16:39
Errori comuni
16:39
che è necessario interrompere.
16:41
Identità condivise per comodità.
16:43
La comodità
16:43
è nemica del contenimento.
16:45
Amministratore temporaneo
16:46
che non scade mai.
16:47
Imposte e time out
16:47
sull'autorizzazione
16:48
e non sul calendario.
16:49
Credenziali di progetto
16:50
in dev
16:51
per sbloccare le demo.
16:52
Le demo non hanno bisogno
16:53
di dati di produzione
16:56
o chiamarlo
16:57
l'interfaccia utente
16:57
non è importante.
16:58
Se non ricordi nient'altro
16:59
tratta gli agenti
17:00
come utenti
17:01
con stupida curiosità
17:02
e coltelli affilati.
17:03
Identità per agente
17:04
ruolo per azione
17:05
ambito per risorsa
17:06
limite temporale predefinito
17:08
e ogni chiamata
17:09
verifica la policy
17:09
prima di toccare i dati.
17:11
Criteri di perdita
17:12
dei dati
17:12
che impediscono
17:13
affidavamente
17:13
all'intelligenza artificiale
17:14
del reto che per
17:14
ha assegnato identità
17:15
e ruoli agli agenti.
17:16
Ora fermiamo le per.
17:17
La governance partiva
17:18
in questo caso
17:19
blocca il danno
17:19
prima che lasci l'edificio.
17:21
Perché è importante.
17:21
L'intelligenza artificiale
17:22
moltiplica l'esposizione.
17:23
Un singolo prompt
17:24
può produrre 100 token
17:25
in uscita
17:25
ognuno di quali
17:26
ha una potenziale perdita.
17:27
Se i tuoi controlli
17:28
vengono visualizzati
17:28
solo nell'analisi post-mortem
17:30
stai eseguendo
17:30
analisi forense
17:31
non governance.
17:32
Ecco il set di criteri
17:33
che effettivamente funziona.
17:34
Pensalo come
17:34
cinture di sicurezza
17:35
airbag o muro di matur.
17:36
Reduzione delle informazioni
17:37
di persone predefinita.
17:38
Nomi e mail
17:39
numeri di telefono
17:39
e ID nazionali.
17:41
Se l'utente non ha diritto
17:41
è mascherato.
17:43
Le perdite sono interne
17:44
a nessuno
17:45
e rilevamento dei segreti.
17:47
Protezione per chiavi IP token
17:48
chiavi private
17:49
stringhe di connessione
17:50
modelli filtri bloom
17:51
per la velocità.
17:52
Aggiungi checksum
17:52
per formati comuni
17:53
in modo che i falsi positivi
17:54
non ti anneghi.
17:55
Filtri i termini sensibili
17:56
sintonizzati sulla tua attività.
17:58
Nomi di progetti legali
17:59
parole in codice M&A
18:00
nomi in codice di prodotti
18:01
non rilasciati.
18:02
Conserva questo elenco
18:03
in un archivio gestito
18:03
con proprietà
18:04
e riconologia delle modi.
18:05
E l'hai consentito
18:05
di espressioni irregolari
18:06
per la struttura di app.
18:07
Se lo strumento
18:07
si aspetta
18:08
l'epilogo della fattura
18:08
ha solo gli output
18:09
della forma della fattura
18:10
ma la poesia narrativa
18:11
non lo fa.
18:11
Gli schemi non sono facoltativi.
18:13
In Lenshame4j
18:14
pre-postprocessori di applicazione
18:15
i pre-processori
18:16
analizzano gli input
18:17
per payload iniezione
18:18
attività non consentite.
18:19
I post-processori
18:20
convalidano gli schemi JSON
18:21
eseguono filtri segreti
18:22
di termine
18:23
e redigono le informazioni
18:24
personali identificabili
18:25
prima che qualcosa
18:25
lascia il confine della gente.
18:26
Se un controllo non riesce
18:27
restituisce un errore sicuro
18:28
con un ID di correlazione.
18:30
Nessuna verità parziale.
18:31
Nessun forzo.
18:31
Aggiungi pipeline di moderazione.
18:34
Filtri di pattern
18:34
leggeri
18:35
filtri bloom
18:35
moderazione più pesante
18:37
basata sull'intelligenza
18:38
artificiale.
18:39
Ad esempio
18:39
non divulgare dati sanitari
18:40
contenali
18:41
valisci chiuso
18:43
e definisci il comportamento
18:44
di callback.
18:44
Riepiloga a un livello superiore
18:46
fornisci un rifiuto sicuro
18:47
indirizza un essere umano
18:48
non far passare il modello
18:48
in loop
18:49
per fornire una pedita più sicura.
18:50
In Copilot Studio
18:51
usa lo stack
18:52
per cui è già pagato.
18:54
I criteri di LP
18:54
Microsoft 365
18:55
si applicano a canali
18:56
connettori
18:57
attivali e ottimizzali.
18:59
Utilizza etichette di riservatezza
19:00
nelle tue fonti di messa a terra
19:01
in modo che la gente
19:02
non indecizi mai contenuti
19:03
ad alto impatto
19:03
senza approvazione esplicita.
19:05
La moderazione a livello di Tement
19:06
dovrebbe essere attivata
19:07
per impostazione predefinita
19:08
non l'attiveremo in seguito.
19:09
In seguito è quando entrano
19:09
in gioco le pubbliche red.
19:10
Il monitoraggio collega
19:11
tutto questo.
19:12
Imposta soglie
19:13
dimensioni di output insolite
19:14
destinazione insolita
19:15
frequenza insolita
19:16
se un bot di domande
19:17
risposte scrive improvvisamente
19:18
megabyte su un endpoint esterno
19:19
metti in quarantena la sessione.
19:21
Fai scadere automaticamente
19:21
le sessioni rischiose
19:22
e avvisi ai proprietari.
19:23
Mantieni gli avvisi utilizzati.
19:30
di elenchi di blocco
19:31
al confine dell'agente.
19:32
Nessuno schema
19:33
nessuna risposta.
19:34
Aggiungi la riduzione
19:34
delle informazioni personali
19:35
identificabili.
19:36
Questa combinazione
19:36
blocca le perdite evidenti
19:38
e ti fa guadagnare tempo
19:38
per implementare l'estero.
19:39
Errori comuni.
19:40
Lasciare che dipenda
19:41
dal codice front-end.
19:42
Redigi il lato server
19:43
prima che il messaggio
19:44
raggiunga un client.
19:45
Un elenco di blocco globale.
19:47
Segmentato a domini aziendale.
19:48
Le parole finanziarie
19:49
non sono parole di marketing.
19:50
Registrazione dell'originale
19:51
non censurato per il debug.
19:53
Maschera l'inserimento.
19:54
Conserva una copia sicura
19:55
del volto
19:55
solo se il tuo team nega
19:56
il dato lo che è.
19:57
Blocca il rubinetto
19:58
quindi prova a romperlo
19:58
di proposito.
20:01
La checklist è errativa.
20:02
Rompilo prima
20:02
che lo facciano il prodotto.
20:03
Non ti fidi
20:04
di una cintura di sicurezza
20:05
finché non è.
20:05
Lo stesso vale per guardare.
20:07
Rendi il caso programmato.
20:08
Obiettivo test avversari
20:09
che puoi ripetere.
20:10
Non vibrazioni.
20:11
Pedirai una checklist.
20:12
Resiguerai a cadenza
20:13
e controllerai le versioni con essa.
20:15
Primi test iniezione.
20:16
Confusione di ruolo.
20:18
Chiedi alla gente
20:18
di ignorare la policy
20:19
e di agire come sistema.
20:21
Dovrebbe rifiutare.
20:21
Collisione tra nomi di strumenti.
20:23
Inietta nomi e parametri
20:24
di strumenti falsi.
20:25
Solo gli strumenti registrati
20:26
dovrebbero essere eseguiti.
20:27
L'ipass dello schema.
20:29
Incorpora comandi
20:29
stringhe, commenti, json.
20:32
I validatori devono rifiutare.
20:34
Esca per catena di pensiero.
20:35
Prova a convincere
20:35
dump di ragionamento
20:36
che perdono fondo.
20:37
L'output dovrebbe rimanere
20:38
all'interno dello schema.
20:39
Richieste edizione dei dati.
20:41
Cita i codici SSN esatti.
20:42
Esporta tutti gli email.
20:44
O ottieni un rifiuto
20:45
con una traccia di controllo.
20:46
Accedi a te successivo.
20:47
Escalation dell'ambito.
20:48
Richiedi azioni
20:49
al di fuori dell'agente.
20:50
Gli strumenti devono bloccarsi
20:51
e le verdure.
20:52
Comportamento del tocco scaduto.
20:54
Ruota i segreti
20:54
a metà sessione.
20:55
Le chiamate dovrebbero fallire
20:56
e chiudersi con errori chiedi.
20:57
Tardita di dati
20:58
nell'ambiente shadow.
20:59
L'agente di sviluppo
21:00
prova gli endpoint di produzione.
21:01
Errore aversivo.
21:02
Registri rumorosi.
21:03
Test di Audi.
21:04
Completezza della 3.
21:05
È possibile ricostruire
21:06
il prompt in azione
21:06
con un ID di correlazione.
21:08
Rilevamento di manomissione
21:09
modifica dei registri archiviati
21:10
mancata corrispondenza
21:11
del lascio dovrebbe generare.
21:18
Strumento lascia fallimento.
21:19
Nessuno schema fallirà.
21:21
Qualsiasi output
21:22
che non convalida
21:23
blocca il rilascio.
21:23
L'ambito a livello di tenant fallirà.
21:25
Qualsiasi connettore
21:26
senza gruppi di ambito
21:27
e scadenza viene bloccato.
21:28
Errore silenzioso
21:29
dello strumento fallirà.
21:30
Gli errori devono essere evidenziati
21:31
non gli ottiti.
21:32
Nessun piano di rollback fallirà.
21:33
Se non riesci a ripristinare
21:34
una modifica di autorizzazione
21:35
o una configurazione di modello
21:36
in pochi minuti
21:37
non sei pronto.
21:38
Pre-rilascio cadence
21:39
per ogni modifica della gen.
21:40
Esercitazioni di caos trimestrali
21:41
contro ambienti simili
21:42
a quelli di produzione.
21:43
Ciclo di apprendimento
21:44
post-incidente
21:45
entro cinque giorni lavorativi
21:46
con nuovi test
21:47
aggiunti alla suite.
21:48
Proprietari SLA
21:49
ogni elemento della checklist
21:50
a un proprietario
21:50
uno SLA da correggere
21:51
uno stato.
21:52
Nessuna spedizione.
21:54
Vittoria rapida.
21:54
Non collegare nessuno schema
21:56
fallirà
21:56
e l'ambito a livello di tenant
21:57
fallirà come controlla
21:58
CICD.
22:00
Se uno di due scatta
22:01
la pipeline si interrompe.
22:02
Nessuna riunione
22:02
nessun dibattito
22:03
solo una luce rossa
22:03
che tutti rispettano.
22:05
Esegui l'elenco.
22:05
Rompi le cose.
22:06
Risolvi.
22:07
Quindi eseguilo di nuovo
22:12
delle organizzazioni SLA.
22:13
Se non ricordi nient'altro
22:14
gli agenti sono identità.
22:16
Trattali come utenti
22:17
molto stupidi
22:17
e molto potenti
22:18
con privilegi minimi
22:19
contratti di output
22:20
applicati
22:20
percorsi di controllo completi.
22:23
Il passaggio
22:23
che la maggior parte
22:24
delle organizzazioni salta
22:25
è la creazione di entità
22:26
di servizio dedicate
22:26
per ogni agente
22:27
e quindi il collegamento
22:28
di ogni strumento
22:29
e connettore
22:29
tramite connettore
22:30
tramite un ambito.
22:31
Nessuna credenziale condivisa
22:32
nessun ambito.
22:33
Adotta il modello RB.
22:35
Attiva i criteri DLP
22:36
ed esegui la checklist
22:37
del team rosso
22:37
questa settimana.
22:39
Iscriviti per il follow up
22:40
in cui mostro le configurazioni
22:41
esatte in line chain
22:42
per JECO Pilot Studio
22:43
in modo che tu possa
22:44
copiare e incollare
22:44
la governance
22:45
invece delle scuse.