Limiteu les facultats d'un agent

Descriviu la tasca abans de concedir accés

Un agent que llegeix codi necessita facultats diferents d’un agent que desplega un servei. No concediu tots dos conjunts de permisos perquè el mateix producte admeti totes dues accions.

Utilitzeu tres parts per definir les facultats: una acció, un recurs i una condició. Per a una correcció fictícia d’un informe, l’agent pot escriure en una branca de funcionalitat mentre la tasca és activa. Pot llegir els fitxers aprovats del repositori. No pot modificar dades de producció ni regles de protecció del repositori.

La manera exacta de fer complir els límits depèn de l’eina. Si un token no pot expressar una restricció de branca, utilitzeu controls addicionals del repositori o un servei d’execució. Documenteu honestament les facultats que encara queden.

Feu complir el límit fora del model

Un prompt no és un sistema de control d’accés. El component d’execució ha de contrastar l’acció i la destinació demanades amb els permisos vigents. No ha d’acceptar l’afirmació del model que ja existeix una aprovació.

AWS recomana permisos limitats i credencials temporals per a les càrregues de treball adequades. OWASP aplica un raonament similar de mínim privilegi als agents i les seves eines. Aquests principis requereixen una implementació en els sistemes reals d’identitat i execució. Directrius d’AWS IAM, directrius d’OWASP per a agents.

Utilitzeu credencials de curta durada quan s’admetin. Manteniu fora de l’entorn els secrets no relacionats. Una tasca de només lectura d’un repositori no ha d’heretar una contrasenya de base de dades de producció de l’intèrpret d’ordres del desenvolupador.

Vinculeu l’aprovació a l’acció real

L’aprovació per preparar un canvi no implica l’aprovació per desplegar-lo. Una decisió de desplegament ha d’identificar l’artefacte, l’entorn de destinació i les condicions pertinents. Si canvien, la decisió anterior pot deixar de ser aplicable.

Considereu un agent que proposa una lectura segura de base de dades i després executa una consulta diferent un cop aprovada. Un mecanisme d’aprovació útil comprova l’operació que realment s’executa. Un missatge genèric de «continueu» sense una destinació definida pot amagar aquesta diferència.

Separeu també la identitat de la capacitat. Registreu quina persona o càrrega de treball ha iniciat l’execució. Verifiqueu que la identitat iniciadora encara tingui permís quan es produeix l’acció. Retirar l’accés d’una persona ha de tenir un efecte explícit sobre la feina en cua.

Proveu una denegació i una interrupció

Verifiqueu més que el recorregut satisfactori. En un entorn de proves aïllat, intenteu una acció fora del recurs permès. Confirmeu que el sistema d’execució la rebutja. Inspeccioneu l’esdeveniment d’auditoria sense registrar credencials.

Després proveu la cancel·lació o la caducitat de les credencials. Determineu quina feina s’atura immediatament i quina operació pot acabar. Un botó d’aturada no reverteix necessàriament una acció que ja ha arribat a un altre sistema.

Manteniu un registre breu de permisos amb la tasca. Incloeu el responsable, l’abast aprovat, els controls reals, la prova de denegació i la caducitat. Això fa que una revisió posterior sigui prou concreta per millorar el flux de treball.