Latest / M365.FM – Podcast Microsoft 365, Copilot & IA en français / Gouvernance des agents IA avec LangChain4j et Copilot Studio : injection de prompt, connecteurs, audit et RBAC (Doublage IA)

Transcript

Gouvernance des agents IA avec LangChain4j et Copilot Studio : injection de prompt, connecteurs, audit et RBAC (Doublage IA) · M365.FM – Podcast Microsoft 365, Copilot & IA en français

0:00
Les agents d'IA sont livrés plus rapidement que vos réunions de contrôle des modifications,
0:02
et la gouvernance est une vibration, est une vibration.
0:05
Vous connaissez ce sentiment lorsqu'un copilote livre avec un accès à l'échelle du locataire juste pour les tests.
0:08
Oui, c'est le rythme cardiaque de votre responsable de la conformité que vous entendez.
0:11
Aujourd'hui, je vais démonter le désordre dans LongChain 4G et Copilot Studio avec des cas réels,
0:15
l'injection d'invit, les connecteurs trop permissifs et les lacunes d'audit.
0:18
Ah, et je vais vous montrer ce qui ne fonctionne pas, pourquoi cela ne fonctionne pas,
0:21
et les correctifs qui tiennent vraiment.
0:23
Restez jusqu'à la fin, je vais vous donner l'étape de gouvernance qui permet d'éviter la plupart des incidents.
0:26
Vous repartirez avec un modèle herbé assez d'agent, des politiques de perte de données,
0:29
et une liste de contrôle de l'équipe rouge.
0:32
KN degré 1, injection d'invite
0:33
Stagiaire non supervisé rédige une politique
0:36
L'injection d'invite est ce stagiaire non supervisé qui semble serviable,
0:39
écrit des phrases complètes, puis envoie par email,
0:41
les données de paye à ses archives personnelles pour les conserver en lieu sûr.
0:45
Vous pensez que votre invite-système est la loi.
0:47
Le modèle pense que c'est une suggestion.
0:49
Et dès que vous le basez sur du contenu interne,
0:51
un document ou un message utilisateur épicé peut réécrire les règles en plein milieu d'une conversation.
0:55
Pourquoi c'est important ?
0:56
Lorsque l'injection gagne, votre agent devient un pot étroit des fuites de données.
1:00
Il hallucine, fait monter les outils et ignore le langage des politiques
1:03
comme s'il s'agissait des conditions d'utilisation du Wi-Fi.
1:06
Dans les magasins réglementés, ce n'est pas un bug,
1:08
c'est un incident à signaler avec le nom de votre entreprise dessus.
1:10
Commençons par ce qui ne va pas dans Longchain 4G.
1:13
Ce que la plupart des gens oublient, c'est que l'appel d'outils sans schéma de sortie stricte
1:15
revient essentiellement à faire des crimes à renvoyer des ondes.
1:19
Si vos outils acceptent des arguments non vérifiés,
1:22
pensez au texte libre, au SQL ou au champ de requête,
1:24
et que vous ne validez pas les types, les plages ou les énumérations,
1:28
le modèle transmettra volontiers tout ce qu'un attaquant fait passer en douce.
1:31
Une validation de sortie faible est le complice du crime.
1:34
Lorsque vous attendez du JSON mais que vous acceptez du JSON-ish,
1:36
un attaquant peut glisser des instructions dans des commentaires ou des chaînes
1:38
que votre analyseur en aval traite comme des commands.
1:41
J'ai compris cela lorsque j'ai vu des journaux dans lesquels un outil de récupération
1:44
prenait un paramètre de sujet avec un markdown arbitraire.
1:47
L'appel suivant transmettait ce markdown comme s'il s'agissait d'une configuration.
1:50
Ce n'est pas de l'orchestration, c'est de l'auto-appropriation.
1:54
Maintenant c'est là que la plupart des gens font des erreurs.
1:56
Ils s'appuient sur le paramètre ONS,
1:57
soyez prudents en cas du modèle plutôt que sur des gardes fous dans le code.
2:01
Dans Longchain 4G, vous avez besoin de listes d'autorisations pour les noms d'outils et les arguments,
2:05
de sorties de schéma JSON appliquées à la limite,
2:06
de filtres de sortie basés sur des modèles pour supprimer les secrets,
2:09
et d'une gestion des exceptions qui ne restait pas la même entrée empoisonnée
2:12
cinq fois comme un golden retriever avec une balle de tennis.
2:16
La raison pour laquelle cela fonctionne
2:17
est qu'ils transforment la confiance dans le modèle en vérification de chocotte.
2:21
Qu'est-ce qui ne va pas dans Copilot Studio ?
2:22
Une mise à la terre naïve avec une large ingestion SharePoint.
2:25
Vous connectez une collection de sites entiers pour l'exhaustivité,
2:28
et maintenant un document d'intégration avec
2:29
« Ignorer les instructions précédentes » devient la nouvelle religion de votre agent.
2:33
Les invites systèmes modifiables par les utilisateurs professionnels sont la suite.
2:35
J'adore les utilisateurs professionnels,
2:37
mais leur donner une administration rapide,
2:38
c'est comme laisser le marketing définir des règles de pare-feu,
2:40
car ils connaissent la voie de la marque.
2:42
Eh oui, j'ai vu des configurations de locataires
2:44
où la modération était désactivée pour réduire les frictions.
2:46
Vous aimeriez ne pas pouvoir le faire.
2:47
Des preuves que vous reconnaîtrez.
2:49
Les journaux de locataires qui montrent des outils invoqués
2:50
avec des paramètres illimités,
2:52
comme exporter tous les indicateurs qui n'étaient pas censés exister.
2:55
Les traces de conversation où l'assistant répète une chaîne injectée
2:57
à partir d'un document récupéré,
2:59
les bascules de modération désactivées.
3:01
N'est pas hypothétique, c'est chaque examen à post-incident
3:03
auquel vous ne voulez pas assister.
3:05
Alors quel est le chemin fixe que vous pouvez mettre en œuvre d'autre ?
3:07
Pour Longchain KG, appliquez des listes d'autorisation
3:09
au niveau du registre d'outils.
3:11
Si l'outil n'est pas enregistré avec un schéma, il n'existe pas.
3:13
Exigez des sorties de schéma JSON
3:14
et rejetez tout ce qui n'est pas validé.
3:16
Pas de schéma, pas de réponse, point final.
3:19
Ajoutez des filtres de modèles pour les fuites évidentes,
3:21
les clés API, les secrets, les numéros de sécurité sociale.
3:23
Les filtres Bloom sont rapides et peu coûteux utilisés.
3:25
Enveloppez les outils avec des vérifications de stratégie,
3:27
validez les types d'arguments,
3:28
les plages et les formats attendus avant l'exécution.
3:30
Ajoutez la modération de contenu dans les pré-post-processeurs,
3:33
empêchez le modèle d'agir sur ou d'émettre du contenu toxique ou sensible,
3:35
ou sensible.
3:37
Échec fermé avec des exceptions explicites
3:38
et ne réessayez jamais automatiquement les invites empoisonnées.
3:41
Pour Copilot Studio, perruyez les invites système.
3:43
Seuls les administrateurs peuvent les modifier.
3:45
Versionnez-les comme du code.
3:46
Portez les connecteurs par environnement.
3:47
Développez, testez, produisez des limites différentes.
3:49
Privilèges minimums sur les sources de vente.
3:51
Activez les stratégies de modération de contenu au niveau du locataire.
3:54
S'agit d'enjeux de base.
3:55
Ne vous basez que sur le contenu étiqueté sensible et étiqueté,
3:57
et non sur l'ensemble de la batterie de serveur pour plus de commodités.
3:59
Le gain rapide qui porte ses fruits immédiatement.
4:02
Ajoutez un schéma de sortie
4:03
et une étape de modération de filtres Bloom à la limite de l'agent.
4:06
Vous éliminerez la plupart des fuites stupides sans toucher à la logique médicale.
4:08
Ajoutez ensuite une petite liste de rejets autorisés
4:10
pour les formats que vous attendez, comme les résumés structurés,
4:12
et bloquez tout le reste, et bloquez tout le reste.
4:14
Laissez-moi vous montrer exactement comment cela se passe.
4:17
Par exemple, vous avez un outil de création de tickets
4:18
qui accepte le titre, la description et la priorité.
4:21
Sans application du schéma,
4:23
un attaquant injecte une description
4:24
pour fermer tous les incidents P1
4:26
à l'intérieur d'un bloc triple backtick.
4:28
Le modèle le transmet.
4:30
Votre API ITSM hausse les épaules
4:31
et exécute un script de mise à jour.
4:33
Avec le schéma et la validation,
4:34
la description ne peut pas contenir de jetons de commande
4:36
ni dépasser la longueur.
4:37
La requête échoue, se ferme.
4:39
Consigne l'ID de corrélation
4:40
et votre CM signale un succès de modération.
4:43
Et voilà, regardez ce résultat.
4:45
Incident évité, piste préservée, auditeur apaisé.
4:48
Erreur courante à éviter.
4:50
Laissez le modèle choisir dynamiquement les noms d'outils.
4:52
Les outils sont des contrats, pas des suggestions.
4:54
Acceptez du JSON de Formulier pour son valide.
4:56
On dirait que JSON n'est pas un compliment.
4:58
Un vide modifiable dans les environnements de production.
5:00
Si cela peut changer sans révision, cela le fera.
5:03
S'appuyer sur la mémoire de conversation pour la politique.
5:05
La politique appartient au code et à la configuration, pas aux vibrations.
5:08
Une fois que vous avez réussi cela, tout le reste fonctionne.
5:10
Vous empêchez le stagiaire de parler à travers.
5:11
Ensuite, nous l'empêchons d'entrer dans chaque pièce avec un passe-partout.
5:15
C2, sur des connecteurs permissifs, des clés du château sur un cordon, sur un cordon.
5:19
Vous empêchez le stagiaire de parler.
5:21
Maintenant, reprenez le badge.
5:22
Les connecteurs trop permissifs sont ce trousseau de clés de concierge
5:25
qui ouvre toutes les portes du bâtiment, y compris le coffre-fort, la garderie
5:27
et d'une certaine manière, le peloton du PDG.
5:30
La raison pour laquelle cela est important est simple.
5:31
Un connecteur trop étendu équivaut à une exfiltration de données à l'échelle de l'entreprise
5:34
en une seule requête, pas théorique.
5:36
Pas théorique.
5:37
Un appel.
5:37
Pendant que vous discutez encore du titre du ticket de modification.
5:40
Commençons par ce qui ne va pas dans l'AngChain 4G.
5:43
Les développeurs partagent les clés API entre les agents pour plus de commodité.
5:46
Puis quelqu'un confie l'envie à un dépôt privé qui est en fait public
5:49
et vous répondez aux incidents à 2h du matin à l'étranger.
5:52
Les étendues OO sont les suivants.
5:54
Vous accordez la lecture, l'écriture pour gagner du temps pendant les tests.
5:57
Et 6 mois plus tard, ce jeton de test est désormais le joyau de la couronne de la production.
6:01
Il origine des outils.
6:02
J'adore un registre propre, mais si vous indiquez à un agent de développement
6:04
les informations d'identification de production
6:05
parce que la démo doit fonctionner aujourd'hui.
6:07
Vous venez de connecter une tronçonneuse à un rumba.
6:09
Ce que la plupart des gens oublient, c'est que les outils héritent de l'identité que vous leur confiez.
6:12
Les identifiants partagés signifient un rayon d'action partagée.
6:15
Il n'y a pas de magie, il suffit de sauvegarder les éléments.
6:17
Si le jeton peut supprimer des enregistrements,
6:19
votre agent peut supprimer des enregistrements accidentellement,
6:20
accidentellement, avec enthousiasme et en toute confiance.
6:23
Maintenant, passez à Copilot Studio.
6:25
Les connecteurs M365 à l'échelle du locataire sont le piège cassique.
6:27
Vous cliquez une fois et chaque copilote de chaque équipe
6:29
peut voir des données qu'il ne devrait pas.
6:32
Ce n'est pas de l'autonomisation, c'est un buffet d'erreurs.
6:34
Ensuite, vous déployez vers des équipes
6:36
avec une visibilité à l'échelle de l'organisation
6:37
car l'adoption est soudain un bot pilote destiné à la finance
6:40
répondant aux questions du marketing et extraillant du contenu
6:42
de sites SharePoint dont ils n'auraient jamais dû connaître l'existence.
6:45
Et les Ouxas, tiers non gérés ?
6:47
C'est comme les clés USB en 2009, mystérieusement.
6:49
Partout et toujours temporaires.
6:51
Les preuves apparaissent de la même manière à chaque fois.
6:53
Des secrets périmés, qui n'ont jamais changé.
6:55
Pas d'expiration, pas de propriétaire.
6:58
Des connecteurs mappés à des groupes globaux
6:59
pour plus de simplicité.
7:00
Des enregistrements d'applications avec des étendues
7:02
qui se lisent comme une confession.
7:04
Et oui, cette clé de production temporaire
7:05
qui reste dans le développement pendant des mois.
7:08
Vos découvertes de sécurité et vos configurations de locataires
7:10
ne mentiront pas, elles soupiront juste.
7:12
Alors, quel est le chemin de la correction ?
7:13
Pour Longchain 4G, traitez chaque agent
7:14
comme une application distincte avec sa propre identité
7:16
et créez des principaux de service par agent.
7:19
Pas de jetons partagés.
7:20
Si deux agents ont besoin de la même API,
7:21
ils obtiennent toujours des informations d'identification différentes.
7:23
Utilisez Outh avec étendue.
7:25
Accordez le plus petit ensemble d'autorisations
7:26
qui permettent à l'outil de faire son travail.
7:28
Lecteur, pas auteur.
7:29
Écrivez dans une collection, pas dans toutes.
7:31
Stockez les secrets dans un gestionnaire de secrets appropriés.
7:33
Effectuez une rotation selon un calendrier.
7:34
Effectuez une rotation en cas d'incident.
7:36
Effectuez une rotation lorsque quelqu'un méromure un jeton.
7:38
Ajoutez un RBAC à deux niveaux.
7:39
Un rappeur d'outils vérifie le rôle de l'appel
7:41
avant qu'il ne touche une API.
7:42
Pas de rôle, pas d'appel.
7:43
Environnement distinct, les clés de développement
7:44
ne communiquent qu'avec les systèmes de développement.
7:46
Si un outil voit un point de terminaison de production
7:48
dans le développement, il échoue et est affiché dans les journaux.
7:50
Pour copier le studio, définissez des limites strictes
7:52
avec les environnements et les étendues.
7:54
Utilisez la séparation des environnements.
7:56
Dev, test, prod.
7:57
Différents connecteurs, différentes autorisations,
7:58
différents propriétaires.
8:00
Examinez les étendues des connecteurs avec un workflow.
8:02
Des modifications nécessitent une approbation
8:03
des dates d'expiration et des propriétaires.
8:04
Pas de propriétaires, pas de connecteurs.
8:06
Appliquez des politiques DLP par canal.
8:07
Le canal financier est soumis à des règles plus strictes
8:09
que celles de l'entreprise.
8:10
C'est là tout l'intérêt.
8:11
Supprimez les déploiements Teams
8:12
à l'échelle de l'organisation pour les pilotes.
8:14
Limitez la visibilité à un groupe de sécurité.
8:16
Ne développez qu'après examen.
8:17
Inventoriez et protégez les connecteurs sastières.
8:20
S'ils ne sont pas gérés, ils sont désactivés par défaut.
8:22
Les propriétaires doivent justifier l'accès et le renouveler.
8:24
Voici une solution rapide que vous pouvez proposer cet après-midi.
8:26
Supprimez les étendues à l'échelle du locataire.
8:28
Émappez chaque connecteur, un groupe de sécurité
8:29
avec une politique d'expiration.
8:31
Lorsque le groupe expire, l'accès disparaît en douceur.
8:33
Pas de drame, pas de surprise.
8:35
Laissez-moi vous montrer exactement comment cela se passe.
8:36
Vous disposez d'un outil d'exportation de rapports
8:38
qui est écrit dans un compartiment de stockage.
8:39
Avec des informations d'identification partagées,
8:41
il peut voir chaque compas.
8:42
Donc une invite indique enregistrer la sauvegarde dans l'archiveur.
8:44
Dépose discrètement des données sensibles dans un chemin public.
8:47
Avec des principaux par agents et des rôles délimités,
8:49
cet outil ne peut écrire que dans un compartiment
8:52
avec un seul préfixe.
8:54
Si le modèle décide d'inventer un autre chemin,
8:57
l'API le refuse.
8:58
Vous consignez l'ID de corrélation
8:59
et votre CM déclenche une alerte.
9:01
Et hop, pas de fuite de données accidentelles.
9:03
Erreur courante à éviter.
9:06
Utilisez des groupes globaux pour l'accès juste pour l'instant.
9:08
Maintenant ça ne s'arrête jamais.
9:09
Accorder des portées larges ou toutes les portées
9:11
parce que la documentation était confuse.
9:12
Confondre n'est pas une autorisation.
9:14
Copiez les informations d'identification entre les ans.
9:16
Si vous pouvez les coller, vous les collerez mal.
9:18
Traitez la visibilité Teams comme inoffensive.
9:20
La visibilité est un accès.
9:21
L'accès est un risque.
9:23
Une fois que vous avez défini la portée de l'accès,
9:24
les auditeurs cessent de sentir le sang dans l'eau.
9:26
Et lorsqu'ils frappent à la porte, vous aurez besoin de preuves.
9:28
Ce qui nous amène à la partie que tout le monde oublie.
9:30
Si il n'est pas consigné, cela ne s'est pas produit.
9:32
Quatre fois ?
9:34
Lacune d'audite.
9:35
Si il n'est pas consigné, cela ne s'est pas produit.
9:37
Vous avez défini l'accès.
9:38
Super.
9:39
Prouvez-le maintenant car lorsqu'un auditeur demande
9:41
qu'a fait l'agent à 15h14
9:42
et que vous répondez
9:44
« Nous pensons quelque chose ».
9:46
Ce n'est pas une posture.
9:47
C'est une tournée d'excuses.
9:49
Pourquoi c'est important ?
9:50
Sans lignage, vous ne pouvez pas expliquer les réponses étranges,
9:52
annuler les mauvaises actions
9:53
ou même savoir si un incident a été maîtrisé.
9:55
Les régulateurs adorent cette incertitude.
9:57
Les clients l'aiment moins.
9:58
Et vos dirigeants adorent vraiment quand vous dites
10:00
« Nous n'en avons aucune idée ».
10:01
Voici ce que la plupart des gens oublient dans Langchain 4G.
10:04
Votre chaîne fait bien plus que ce que vos journaux admettent.
10:06
Les graphiques d'exécution manquant
10:07
signifient que vous ne pouvez pas reconstituer les étapes.
10:09
L'absence d'ID de trace signifie que les événements
10:11
ressemblent à des feux d'artifice à la toile.
10:12
Les journaux partiels masquent l'appel d'outils qui comptaient.
10:15
Et les échecs d'outils silencieux, ce sont mes préférés.
10:17
Tout semble vert alors que l'outil n'a jamais fonctionné
10:19
et que le modèle a juste halluciné.
10:21
Une réponse pour être poli.
10:22
J'ai eu ce déclic le jour où j'ai suivi un incident
10:25
où une étape de récupération a expiré, a renvoyé nul
10:27
et l'étape suivante a heureusement écrit
10:28
« No records found clause » dans une API « Ticketing ».
10:31
Aucune exception, aucune trace,
10:33
juste des vibrations et des tickets fermés.
10:35
Si vous ne pouvez pas distinguer la sortie du modèle
10:36
et la sortie d'outils dans vos journaux,
10:37
vous êtes déjà dans le pétrin.
10:38
Laissez-moi vous montrer exactement comment corriger
10:40
la journalisation Langchain 4G pour qu'elle soit prête pour le tribunal.
10:42
Tout d'abord, activez la journalisation structurée partout.
10:45
Jason, pas de la soupe de chaîne.
10:46
Chaque requête et réponse reçoit une enveloppe
10:48
avec des horodatages, le nom du modèle,
10:49
le nombre de jetons et un ID de corrélation
10:51
qui survit à toute la chaîne.
10:52
Ajoutez ensuite des graphiques d'exécution
10:54
ou des traces à l'aide de Langsmith ou Langgraph.
10:57
Chaque nœud consigne les entrées,
10:58
les sorties, la durée et les erreurs.
10:59
Si un outil génère un échec, il le génère bruyant.
11:01
Pas d'échec silencieux, nous avons supposé.
11:03
Maintenant le plus important, centralisez-le.
11:05
Transférez les traces et les journaux dans votre couture.
11:07
Ne les laissez pas sur un pod
11:07
qui s'adapte automatiquement jusqu'à l'oubli.
11:09
Ajoutez un échantillonnage pour le bruit,
11:10
mais ne supprimez jamais les erreurs.
11:11
Vous souhaitez effectuer une recherche par edit de traces
11:13
et voir l'histoire complète ?
11:14
Invite, récupérez des documents, des appels d'outils,
11:16
des réponses d'API
11:16
et la réponse finale sans jouer à WeCharlie
11:18
à 2h du matin...
11:20
Tassez à copier l'autre studio ?
11:21
La plateforme vous fournit des données de télémétrie,
11:23
mais elles sont réparties entre les équipes
11:24
Dataverse et le connecteur que vous avez utilisé.
11:26
L'exportation limitée des conversations
11:28
signifie que vous obtenez des extraits, pas des récits.
11:30
Une télémétrie fragmentée signifie
11:31
que votre responsable de la conformité
11:32
assemble les captures d'écran
11:33
comme s'il s'agissait d'un art et d'un bricolage.
11:34
Corrigez cela en créant une voie d'audit unifiée.
11:37
Activez la conservation des transcriptions de conversation
11:38
avec des SLA de conservation claires
11:40
qui les conservent,
11:40
combien de temps et pourquoi ?
11:42
Exportez les journaux de conversation et d'action
11:43
vers un espace de travail centralisé
11:44
comme Fabrique ou Log Analytics.
11:47
Marquez chaque événement
11:47
avec un ID de corrélation
11:48
que vous transmettez
11:49
depuis le point d'entrée dans Teams
11:50
jusqu'au plugin Dataverse et aux API en aval.
11:53
Si le chat indique créer un cas,
11:55
je souhaite cliquer sur l'enregistrement exact
11:56
dans le système exact
11:57
avec les données exactes qui ont été envoyées,
12:00
des preuves que vous reconnaîtrez
12:01
grâce aux examens d'incident.
12:01
Appel LLM orphelin dans les journaux bruts
12:04
qui ne correspondent à aucune session utilisateur.
12:06
Appel d'outils sans invite correspondante.
12:08
Réponse citant des sources que vous ne trouvez pas
12:10
car les journaux de mise à la terre
12:11
n'inclut pas les identifiants de documents.
12:13
Ce n'est pas un mystère.
12:14
Il manque de la plomberie.
12:15
Des gains rapides que vous pouvez expédier cette semaine ?
12:17
Mandatez les enveloppes de demande-réponse
12:18
avec des hachages.
12:19
Stockez un hachage de contenu des invites,
12:21
récupérez les fragments et les sorties
12:22
afin de pouvoir prouver l'intégrité.
12:24
Si quelqu'un falsifie,
12:25
le hachage indique non.
12:26
Exigez des identifiants de corrélation de bout en bout.
12:28
Générez à la périphérie.
12:30
Transmettez chaque saut
12:31
et rejetez tout appel qui l'abandonne.
12:33
Pas d'identifiant, pas de service.
12:34
Définissez des SLA de conservation.
12:36
Approbation juridique, application de la sécurité.
12:37
90 jours pour le développement.
12:39
Un an pour la production.
12:40
Plus longtemps pour les domaines réglementés.
12:41
Publiez.
12:42
Respectez-le.
12:43
Erreur courante à éviter.
12:45
Ou des informations personnelles identifiables.
12:47
Masquées à la source.
12:47
Conservez les champs dont vous avez besoin
12:48
pour l'investigation, pas les joies de courant.
12:50
Erreur d'échantillonnage.
12:51
Succès de l'échantillon.
12:52
Vous signez tous les échecs.
12:53
Lorsque les choses se cassent,
12:54
vous aurez besoin de chaque miette de bain.
12:56
Les journaux en texte libre,
12:57
les humains les adorent,
12:58
les machines les détestent.
12:59
Utilisez des champs.
13:00
Ajoutez des schémas.
13:01
Validez lors de l'ingestion.
13:03
Maintenant, les auditeurs demandent
13:03
ce qui s'est passé.
13:05
Vous ouvrez une trace.
13:06
Vous affichez l'invite,
13:07
les ID de documents récupérés,
13:08
l'entrée de l'outil,
13:09
la sortie de l'outil
13:10
et le message final.
13:11
L'ID de corrélation correspond
13:12
à la passerelle API,
13:13
à l'écriture de la base de données
13:14
et au message Teams.
13:15
Et voilà, l'histoire tient la route.
13:17
Donc, lorsque vous pouvez voir,
13:18
vous pouvez gouverner,
13:19
ce qui signifie qu'il est temps
13:20
de formaliser les règles
13:21
et de verrouiller qui fait quoi.
13:23
Le modèle RPA, c'est de l'agent,
13:24
traite les agents
13:24
comme des utilisateurs
13:25
très stupides et très puissants.
13:27
Vous avez de la visibilité.
13:28
Bien.
13:29
Maintenant, donnez à ces choses
13:29
une identité et une laisse.
13:31
Les agents sont des utilisateurs.
13:32
Des utilisateurs très stupides
13:33
et très puissants.
13:34
Si vous ne confieriez pas
13:34
à un administrateur temporaire humain,
13:36
dès le premier jour,
13:36
ne le confiez pas
13:37
à un perroquet stochastique
13:38
qui ne sait pas distinguer
13:38
le sarcasme de sudo.
13:39
Pourquoi c'est important ?
13:41
La plupart des organisations
13:42
sécurisent les humains et les agents.
13:43
L'agent contourne alors
13:44
le principe du moindre privilège
13:45
par conception.
13:46
Il saute d'outils,
13:47
traverse l'environnement
13:48
et personne ne le remarque
13:48
car il n'apparaît pas
13:49
dans leur ganigramme.
13:51
C'est ainsi que le bot d'assistance
13:52
se transforme en administrateur fantôme.
13:54
Voici le modèle
13:54
que je veux que vous nous envoyez.
13:56
Une identité par agent,
13:57
des rôles clairs,
13:57
des vérifications de politique
13:58
dans le code
13:59
et des limites d'environnement
14:00
qui ont réellement un sens.
14:01
Commencez par l'identité.
14:03
Créez un principal de service
14:04
pour chaque agent,
14:04
pas pour le bot de plateforme 0.1,
14:05
un mappage individuel réel,
14:07
réel.
14:08
Nommez-le comme une application.
14:09
Balisez-le avec le propriétaire,
14:10
l'objectif,
14:11
l'environnement et l'expiration.
14:12
Si deux agents accèdent
14:13
à la même API,
14:13
ils obtiennent toujours
14:14
des identités différentes.
14:15
Une identité partagée
14:16
équivaut à un rayon d'action partagé.
14:18
Définissez ensuite
14:18
une taxonomie de rôle
14:19
que même les personnes occupées
14:20
peuvent appliquer.
14:21
J'en utilise quatre,
14:21
lecteur, exécuteur,
14:22
rédacteur, administrateur.
14:23
Le lecteur peut récupérer des données
14:24
avec un effet secondaire.
14:25
Pensez à interroger,
14:26
récupérer, résumer.
14:28
L'exécuteur peut invoquer
14:29
des workflows avec des effets limités.
14:31
Créer un ticket,
14:32
envoyer une approbation,
14:33
planifier une réunion.
14:34
Le rédacteur peut écrire
14:35
des données dans des étendues spécifiques.
14:37
Une table, un compartiment,
14:38
une boîte aux lettres, pas tout.
14:39
L'administrateur peut modifier
14:41
la configuration.
14:42
Ce rôle devrait vous faire transpirer.
14:44
Utilisez-le avec parcimonie,
14:45
limité dans le temps
14:46
et toujours approuvé en dos.
14:47
Maintenant, mappez-le
14:47
à Longchain4G.
14:49
Les outils sont vos points d'application.
14:51
Chaque rappeur d'outils
14:51
vérifie le rôle de l'appel
14:52
avant de s'exécuter.
14:54
Si l'identité de l'agent
14:54
est mappée au lecteur,
14:55
un outil d'écriture
14:56
ne reçoit même jamais l'appel.
14:58
Et ne vous arrêtez pas au rôle,
14:59
incluez la portée de la ressource.
15:00
Un rédacteur de cas financiers
15:01
ne peut pas écrire
15:02
de cas commerciaux.
15:04
La portée n'est pas un commentaire,
15:05
c'est une porte.
15:06
Utilisez des variables d'environnement
15:07
et des fichiers de configuration
15:08
pour lier les outils
15:09
aux environnements.
15:10
L'agent de développement
15:10
ne voit que les ordres
15:11
de développement et les clés de dédé.
15:12
S'il essaie une URL de production,
15:14
fermez-la et enregistrez-la.
15:15
Les vérifications de stratégie
15:16
ont lieu à la limite,
15:17
pas après l'échec
15:18
de l'appel d'API.
15:19
Dans Copelo Studio,
15:20
appliquez le même modèle
15:21
avec les rôles d'environnement
15:22
et les portées de connecteurs.
15:23
Affectez l'agent à un environnement
15:24
avec des autorisations
15:25
qui reflètent le lecteur,
15:26
donc exécuteur,
15:27
rédacteur,
15:28
administrateur.
15:29
Les autorisations de connecteurs
15:30
sont mappées au groupe de sécurité
15:31
lié à ces rôles.
15:32
Les limites de déploiement
15:33
des équipes sont votées en action.
15:34
Gardez les pilotes
15:35
dans un petit groupe.
15:36
Développez-vous uniquement
15:37
avec un ticket de modification.
15:38
C'est là que le flux
15:38
de travail de révision
15:39
vous permet de rester honnête.
15:40
Tout changement de périmètre
15:41
est une demande de changement.
15:42
Indiquez l'agent,
15:48
deux approbations,
15:49
un propriétaire technique,
15:50
un propriétaire des données.
15:51
Lorsque l'expiration arrive,
15:52
l'accès est automatiquement interrompu
15:53
et vous recevez une alerte
15:54
pour le renouveler
15:55
ou l'abandonner.
15:56
Temporaire signifie enfin temporaire.
15:58
Laissez-moi vous montrer
15:58
exactement comment cela se passe
15:59
avec une micro-histoire.
16:00
Un agent de question-réponse financière
16:01
commence en tant que lecteur.
16:02
Les gens adorent ça,
16:03
donc le produit veut créer
16:04
une note de frais.
16:05
Et c'est une action d'exécution
16:06
avec une portée étroite.
16:07
Vous ajoutez un nouvel outil
16:08
avec une politique
16:09
au niveau de l'outil,
16:10
uniquement à la soumission
16:10
des dépenses,
16:11
uniquement pour le centre de coût
16:13
des employés,
16:13
uniquement pour moins
16:14
de 5 pièces jointes.
16:15
L'identité de l'agent
16:16
devient exécuteur
16:16
pour cette API unique
16:17
expirant dans 30 jours.
16:19
Dans Copilot Studio,
16:20
l'environnement obtient
16:21
une autorisation de connecteur
16:22
pour une table dataverse
16:23
avec une sécurité
16:24
au niveau des lignes.
16:25
Les journaux d'audit
16:26
affichent le ticket de modification,
16:27
les approbateurs, l'expiration.
16:29
Lorsque le marketing
16:29
demande également
16:30
de supprimer des rapports,
16:31
vous refusez vous diriger
16:32
vers un outil d'écriture distinct
16:33
avec ses propres propriétaires
16:34
et SLA.
16:35
Le modèle peut vouloir tout.
16:37
La politique applique tout.
16:39
Erreur courante
16:40
que vous devez arrêter.
16:41
Identité partagée
16:42
pour plus de commodité.
16:43
La commodité est l'ennemi
16:44
du confinement,
16:45
administrateur temporaire
16:46
qui n'expire jamais.
16:47
Mettez des délais d'attente
16:47
sur l'autorisation,
16:48
pas sur votre calendrier.
16:49
Identifiant de projet
16:50
dans le développement
16:51
pour débloquer les démos.
16:52
Les démos n'ont pas besoin
16:53
de données de production,
16:53
les auditeurs le font.
16:54
Contrôle les outils
16:55
par l'interface utilisateur.
16:56
Si le modèle peut l'appeler,
16:57
l'interface utilisateur
16:57
n'a pas d'importance.
16:58
Si vous ne vous souvenez
16:59
de rien d'autre,
16:59
traitez les agents
17:00
comme des utilisateurs
17:01
avec une curiosité stupide
17:02
et des couteaux pointus.
17:03
Identité par agent,
17:04
rôle par action,
17:05
porté par ressource,
17:06
délimité par défaut,
17:08
et chaque appel
17:08
vérifie la politique
17:09
avant de toucher aux données.
17:11
Politique de perte de données
17:12
qui empêche réellement l'IA
17:13
de devenir un robinet qui fuit.
17:15
Vous avez donné des identités
17:15
et des rôles aux agents.
17:16
Maintenant, nous arrêtons les fuites.
17:18
La gouvernance est proactive ici.
17:19
Bloquer les mauvaises choses
17:20
avant qu'elle ne quitte le bâtiment.
17:21
Proye, c'est important.
17:22
L'IA multiplie l'exposition.
17:23
Chalain vide peut produire
17:24
une centaine de jetons sortant,
17:25
chacun représentant une fuite potentielle.
17:27
Si vos contrôles n'apparaissent
17:28
que dans les autopsies,
17:29
vous faites de l'investigation,
17:30
pas de la gouvernance.
17:32
Voici l'ensemble de règles
17:33
qui fait mouche.
17:34
Considérez-le comme des ceintures
17:34
de sécurité, des airbags,
17:35
un mur de bâtiment.
17:36
Réduction des informations personnelles
17:37
identifiables sur les sorties par eau.
17:38
Nom, email, numéro de téléphone,
17:39
identifié en nationaux.
17:41
Si l'utilisateur n'y a pas droit,
17:42
il est masqué.
17:43
Les fuites internes sont
17:44
internes à personne.
17:46
Détection des secrets.
17:47
Protection des clés API,
17:48
des jetons, des clés privés,
17:49
des chaînes de connexion, des modèles.
17:50
Ainsi que des filtres Bloom
17:51
pour la vitesse.
17:52
Ajoutez des sommes de contrôle
17:53
pour les formats courants
17:53
afin que les faux positifs
17:54
ne vous nomment pas.
17:55
Filtre de termes sensibles
17:56
adaptés à votre entreprise.
17:58
Nom de projet juridique,
17:59
mot de code de fusion et acquisition,
18:00
nom de code de produit non publié.
18:02
Conservez cette liste
18:02
dans un magasin géré
18:03
avec les propriétaires
18:04
et l'historique des modifications.
18:05
Liste d'autorisation regex
18:06
pour la structure de sortie.
18:07
Si l'outil attend un résumé de facture,
18:08
seules les sorties
18:09
de formes de facture passent.
18:10
La poésie narrative ne passe pas.
18:11
Les schémas ne sont pas facultatifs.
18:12
Ce sont des contrats.
18:13
Dans Longchain,
18:14
Fargi des pré-processeurs
18:15
et post-processeurs d'application.
18:16
Les pré-processeurs analysent
18:17
les entrées pour détecter
18:17
les charges utiles d'injection
18:18
et les tâches non autorisées.
18:19
Les post-processeurs valident
18:20
les schémas JSON,
18:21
exécutent des filtres de termes secrets
18:22
et rédigent des informations
18:23
personnelles identifiables
18:24
avant que quoi que ce soit
18:25
ne quitte la limite de l'agent.
18:26
Si une vérification échoue,
18:27
vous renvoyez une erreur sûre
18:28
avec un édit de corrélation.
18:30
Pas de vérité partielle.
18:31
Pas de peut-être.
18:32
Ajoutez des pipelines de modération.
18:34
Filtre de motifs légers
18:35
et filtre bleu.
18:37
Modération plus lourde
18:37
basée sur l'IA pour le contexte.
18:39
Par exemple,
18:39
ne divulguez pas les données de santé.
18:41
Enchaînez-les.
18:42
Échec fermé.
18:43
Et définissez un comportement de secours.
18:44
Résumez à un niveau supérieur.
18:46
Donnez un refus sûr
18:47
ou dirigez vers un humain.
18:48
Ne bouclez pas le modèle
18:48
pour donner une fuite plus sûre.
18:50
Dans Copelo Studio,
18:51
utilisez la pile
18:52
pour laquelle vous payez déjà.
18:53
Les stratégies DLP
18:54
dans Microsoft 365
18:55
s'appliquent aux canaux
18:56
et aux connecteurs.
18:57
Activez-les et ajustez-les.
18:59
Utilisez des étiquettes
19:00
de sensibilité
19:00
dans vos sources de mise à la terre
19:01
afin que l'agent n'indexe
19:02
jamais de contenu
19:02
à fort impact
19:03
sans approbation explicite.
19:05
La modération au niveau du locataire
19:06
doit être activée par défaut
19:07
mais nous l'activerons plus tard.
19:09
C'est plus tard
19:09
que les relations publiques interviennent.
19:10
La surveillance relie tout cela.
19:12
Définissez des seuils,
19:13
une taille de sortie inhabituelle,
19:14
une destination inhabituelle,
19:15
une fréquence inhabituelle.
19:16
Si un bot de question-réponse
19:17
écrit soudainement des mégaoctets
19:18
sur un point de terminaison externe,
19:19
mettez la session en quarantaine.
19:21
Expirez automatiquement
19:21
les sessions à risque
19:22
et informez les propriétaires.
19:23
Gardez les alertes exploitables.
19:25
Ne pingez pas tout le monde
19:26
pour chaque événement de masques.
19:27
Une victoire rapide
19:28
que vous pouvez livrer aujourd'hui.
19:29
Appliquez les schémas de sortie
19:30
et les termes de la liste de blocage
19:31
à la limite de l'agent.
19:32
Pas de schéma,
19:33
pas de réponse.
19:34
Ajoutez la réduction
19:34
des informations personnelles
19:35
comme l'aide.
19:36
Cette combinaison
19:36
arrête les fuites évidentes
19:37
et vous fait gagner du temps
19:38
pour mettre en œuvre le reste.
19:39
Erreur courant.
19:40
Laissez dépendre du code frontal.
19:43
Caviar des côtés serveurs
19:43
avant que le message
19:44
n'atteigne un client.
19:45
Une liste de blocage globale.
19:47
Segmentée par domaine d'activité.
19:48
Les mots financiers
19:48
ne sont pas des mots marketing.
19:50
Journalisation de l'original,
19:51
donc à garder pour le débogage.
19:53
Masquer à l'ingestion.
19:54
Conservez une copie
19:54
sécurisée du coffre-fort
19:55
uniquement si votre équipe
19:56
juridique l'approuille.
19:57
Verrouillez le robinet,
19:58
puis essayez de le casser exprès.
20:00
La liste de contrôle
20:01
de l'équipe rouge.
20:02
Brisez-la avant les producteurs.
20:03
Ne faites pas confiance
20:04
à une ceinture de sécurité
20:05
tant que vous ne l'avez pas dit.
20:06
Pareil pour les garde-fous.
20:07
Planifiez le chaos.
20:08
Objectif,
20:09
test contradictoire
20:09
que vous pouvez répéter,
20:10
pas de vibrations.
20:11
Vous allez envoyer une liste de contrôle,
20:12
l'exécuter à une cadence
20:13
et gérer les versions avec elle.
20:15
Test d'injection en premier.
20:21
Refuser.
20:22
Collision non-outil.
20:23
Injecter de faux noms d'outils
20:24
et paramètres.
20:25
Seuls les outils enregistrés
20:26
doivent s'exécuter.
20:27
Contournement du schéma.
20:29
Intégrez des commandes
20:29
dans des chaînes
20:30
et des commentaires JSON.
20:32
Les validateurs doivent rejeter.
20:34
A pas de chiennes de pensée.
20:35
Essayez d'amadouer
20:35
les vidages du raisonnement
20:36
qui divulguent les sources.
20:37
La sortie doit rester dans le schéma.
20:39
Invite d'exfiltration de données.
20:41
Citez les numéros
20:41
de sécurité sociale exact.
20:42
Exportez tous les e-mails.
20:44
Vous obtenez un refus
20:45
avec une piste d'audit.
20:46
Test d'accès ensuite.
20:47
Escalade de la portée.
20:48
Demandez des actions
20:49
en dehors du rôle de l'agent.
20:50
Les outils doivent bloquer
20:51
au niveau du rappeur.
20:52
Comportement du jeton expiré.
20:54
Rotation des secrets
20:54
en mieux de session.
20:55
Les appels doivent échouer
20:56
et se fermer
20:56
avec des erreurs claires.
20:58
Fuites de l'environnement fantôme.
20:59
L'agent de développement
20:59
essaye les points
21:00
de terminaison de production.
21:01
Échec brutal.
21:02
Journaux bruit.
21:03
Test d'audit.
21:04
Exhaustivité des traces.
21:05
Pouvez-vous reconstruire
21:06
l'invite à l'action
21:06
avec un ID de corrélation ?
21:08
Détection de températion,
21:09
modification des journaux
21:10
stockées, incompatibilité
21:10
de hachage
21:11
devrait déclencher l'invite.
21:12
Corrélation inter-services,
21:13
ID de message teams
21:14
vers enregistrement dataverse
21:15
vers appel d'appel
21:15
externe,
21:16
tous correspondent.
21:17
Définissez des portes
21:18
de réussite slash échec.
21:19
Aucun schéma ne fonctionnera.
21:21
Toutes sorties non validées
21:22
bloquent la publication.
21:23
Portée à l'échelle du locataire
21:24
ne fonctionnera pas.
21:25
Tout connecteur sans groupe
21:26
de portée et expiration
21:27
est bloqué.
21:28
Échec de l'outil silencieux
21:29
ne fonctionnera pas.
21:30
Les erreurs doivent être signalées,
21:31
pas valées.
21:32
Aucun plan de restauration
21:33
ne fonctionnera.
21:33
Si vous ne pouvez pas annuler
21:34
une modification d'autorisation
21:35
ou une configuration de modèle
21:36
en quelques minutes,
21:37
vous n'êtes pas prêts.
21:38
Cadencez la pré-publication
21:39
pour chaque changement d'agent.
21:40
Exercice de chaos trimestriel
21:41
contre les environnements
21:42
de type production.
21:43
Boucle d'apprentissage
21:44
post-incident dans les 5 jours ouvrables
21:45
avec de nouveaux tests
21:46
ajoutés à la suite.
21:48
Propriétaire et CLA,
21:49
chaque élément de la liste contrôle
21:50
a un propriétaire,
21:50
un CLA corrigé et un statut.
21:52
Pas de propriétaire,
21:53
pas de livraison.
21:54
Victoire rapide.
21:55
Ne connecter aucun schéma,
21:56
il échouera et la portée
21:56
à l'échelle du locataire
21:57
échouera lors des vérifications
21:58
CICD.
22:04
Exécutez la liste,
22:05
cassez les choses,
22:06
réparer,
22:07
puis relancez-la
22:07
jusqu'à ce que les surprises
22:08
cessent d'être surprenantes.
22:11
La seule étape de gouvernance
22:12
que la plupart des organisations ignorent.
22:13
Si vous ne vous souvenez que de cela,
22:15
les agents sont des identités.
22:16
Traitez-les comme des utilisateurs
22:17
très stupides et très puissants,
22:18
avec le minimum de privilèges,
22:20
des contrats de sortie appliqués
22:21
et des pistes d'audit complètes.
22:23
L'étape que la plupart
22:23
des organisations ignorent
22:24
est la création de principaux de services
22:26
dédiés pour chaque agent,
22:27
puis le câblage de chaque outil
22:28
et connecteur
22:29
via des rôles définis par environnement.
22:30
Pas d'identifiant partagé,
22:32
pas de portée à l'échelle du locataire.
22:33
Adoptez le modèle AirBase.
22:35
Activez les politiques DLP
22:36
et exécutez la liste de contrôle
22:37
de l'équipe rouge cette semaine.
22:39
Abonnez-vous pour la suite
22:39
où je montre les configurations exactes
22:41
dans Langchain pour J et Copilot Studio
22:43
afin que vous puissiez copier-coller
22:44
la gouvernance
22:45
au lieu de vous excuser.