BRANDBUSTERS SIGNAL / 08 · AI I CYBERBEZPIECZEŃSTWO
Agent AI dostał dostęp do firmy. Kto kontroluje, co może zrobić?
Ryzyko nie zaczyna się wtedy, gdy model udziela błędnej odpowiedzi. Zaczyna się wtedy, gdy może czytać pocztę i dokumenty, korzystać z kont pracowników, wywoływać narzędzia, aktualizować systemy albo komunikować się w imieniu firmy. Im więcej agent może zrobić, tym mniej bezpieczeństwo zależy od samego promptu, a bardziej od tożsamości, uprawnień, architektury i możliwości zatrzymania działania.
- 15 MIN CZYTANIA
- AI · RYZYKO · KONTROLA
- AKTUALIZACJA: PAŹDZIERNIK 2026
08 / 01
Asystent podpowiada. Agent może wykonać działanie.
Pierwsza fala firmowych wdrożeń generatywnej AI koncentrowała się na tworzeniu tekstu, wyszukiwaniu informacji, podsumowywaniu dokumentów i wspieraniu decyzji.
Ryzyko było stosunkowo ograniczone, dopóki człowiek kopiował wynik, sprawdzał go i samodzielnie wykonywał działanie.
Agent zmienia tę relację. Może otrzymać dostęp do poczty, kalendarza, CRM, systemu obsługi, dokumentów, katalogu produktów, środowiska programistycznego albo zewnętrznego API. Może wykonywać serię kroków, korzystać z wyników innych narzędzi i podejmować działania w imieniu użytkownika.
Wtedy błąd przestaje być wyłącznie błędnym zdaniem. Może stać się:
- —wiadomością wysłaną do niewłaściwej osoby
- —ujawnieniem poufnej informacji
- —zmianą rekordu w systemie
- —pobraniem złośliwej instrukcji z dokumentu lub strony
- —uruchomieniem działania zbyt szerokimi uprawnieniami
- —decyzją, której nie można łatwo cofnąć.
Model może proponować działanie. O tym, czy wolno je wykonać, powinien decydować system znajdujący się poza modelem.
OD ODPOWIEDZI DO DZIAŁANIA
Agent AI może nie tylko tworzyć treść, ale również korzystać z narzędzi i wykonywać kolejne kroki procesu.
Źródło: NIST — Accelerating the Adoption of Software and AI Agent Identity and Authorization ↗PROMPT INJECTION
Złośliwa instrukcja może znajdować się nie tylko w wiadomości użytkownika, lecz także w stronie, dokumencie, e-mailu lub wyniku narzędzia pobranym przez agenta.
Źródło: OWASP GenAI Security Project — Prompt Injection ↗GUARDRAILE TO ZA MAŁO
NIST wskazuje na potrzebę architektonicznego oddzielenia rozumowania modelu od systemu, który podejmuje deterministyczne decyzje o dostępie.
Źródło: NIST — Design Tenets for Agent Identity Management Systems ↗08 / 03
Agent nie powinien dziedziczyć całego zaufania użytkownika.
Najprostsze wdrożenie polega na podłączeniu agenta do konta pracownika i udostępnieniu mu tych samych systemów, danych oraz uprawnień.
To wygodne, ale niebezpieczne. Użytkownik może mieć dostęp do szerokiego zakresu informacji, ponieważ rozumie kontekst organizacyjny, zasady i konsekwencje. Model nie posiada takiej samej odpowiedzialności ani zdolności oceny sytuacji.
Agent powinien mieć własną tożsamość, precyzyjnie ograniczony cel i tylko takie uprawnienia, które są potrzebne do wykonania konkretnego zadania.
Jeżeli pracownik może:
- —czytać całą skrzynkę
- —eksportować bazę klientów
- —zmieniać uprawnienia
- —usuwać pliki
- —wysyłać wiadomości
- —zatwierdzać koszt
- —uruchamiać kod
nie oznacza to, że agent działający w jego imieniu powinien automatycznie otrzymać wszystkie te możliwości.
Bezpieczeństwo agentów nie polega na zaufaniu, że model zawsze podejmie właściwą decyzję. Polega na zaprojektowaniu systemu tak, aby pojedynczy błąd nie mógł wywołać nieproporcjonalnej szkody.
08 / 04
Prompt nie jest granicą bezpieczeństwa
- GRANICA KONTROLI ↓
ETAP 05 / 08
POLITYKA DOSTĘPU
DETERMINISTYCZNE
- uprawnienie
- limit
- zatwierdzenie
- wykonanie
- zapis w logu
- odwołanie dostępu
Model może oceniać i rekomendować. Krytyczne decyzje o dostępie, limicie i wykonaniu powinny być egzekwowane poza modelem.
08 / 05
Nie każdy agent potrzebuje tego samego poziomu autonomii.
00INFORMUJE
Agent wyszukuje, analizuje lub podsumowuje. Nie może zmieniać systemów.
Przykład: Przygotowanie podsumowania raportu.
01PROPONUJE
Agent przygotowuje projekt działania, ale człowiek wykonuje je samodzielnie.
Przykład: Projekt odpowiedzi dla klienta.
02DZIAŁA PO ZATWIERDZENIU
Agent przygotowuje konkretną operację, którą człowiek sprawdza i zatwierdza przed wykonaniem.
Przykład: Aktualizacja wybranego rekordu CRM.
03DZIAŁA W GRANICACH
Agent wykonuje odwracalne działania w precyzyjnie określonym zakresie, limicie i czasie.
Przykład: Kategoryzacja zgłoszeń i przekazywanie ich do właściwej kolejki.
04WYSOKA AUTONOMIA
Agent wykonuje serię działań o istotnych konsekwencjach bez każdorazowego zatwierdzenia.
Przykład: Zmiany w produkcji, uprawnieniach, finansach albo komunikacji zewnętrznej.
Wymaga szczególnego uzasadnienia, niezależnych kontroli, ograniczonych uprawnień, pełnej obserwowalności i sprawdzonego mechanizmu zatrzymania. W wielu procesach taki poziom nie będzie właściwy.
Poziom autonomii powinien wynikać z konsekwencji błędu, a nie z tego, co technicznie potrafi model.
08 / 06
Osiem warstw kontroli agenta AI
- 01
REJESTR I WŁAŚCICIEL
Wiemy, jakie agenty działają, po co istnieją i kto odpowiada za każdy z nich.
- 02
WŁASNA TOŻSAMOŚĆ
Agent nie działa jako anonimowy proces ani nie korzysta bezpośrednio z pełnego konta człowieka.
- 03
MINIMALNE UPRAWNIENIA
Otrzymuje wyłącznie dane, narzędzia i operacje potrzebne do konkretnego zadania.
- 04
ODDZIELENIE DECYZJI
Model proponuje działanie, ale niezależny system egzekwuje politykę dostępu.
- 05
ZATWIERDZENIA I LIMITY
Krytyczne działania wymagają akceptacji, limitu kwoty, zakresu, czasu albo liczby operacji.
- 06
ZAUFANY KONTEKST
System rozróżnia instrukcje od pobieranych dokumentów, stron, wiadomości i wyników narzędzi.
- 07
LOGI I OBSERWOWALNOŚĆ
Można odtworzyć, co agent otrzymał, czego użył, co zaproponował i co wykonał.
- 08
ZATRZYMANIE I ODTWORZENIE
Można szybko odwołać dostęp, przerwać działanie, cofnąć operację oraz zbadać incydent.
Bezpieczny agent nie jest agentem, który nigdy się nie myli. Jest agentem, którego błąd można ograniczyć, zauważyć i zatrzymać.
08 / 07
Osiem warstw — od rejestru do zatrzymania
- 01
Rejestr i właściciel: shadow AI zaczyna się tam, gdzie firma nie wie, co działa.
Pracownicy instalują rozszerzenia, łączą asystentów z dokumentami, tworzą automatyzacje i korzystają z nowych narzędzi szybciej, niż organizacja aktualizuje rejestr systemów.
Całkowity zakaz często nie zatrzymuje wykorzystania AI. Przenosi je poza widoczność firmy.
Każdy agent powinien posiadać:
- —nazwę
- —cel
- —właściciela biznesowego
- —właściciela technicznego
- —wykorzystywany model
- —źródła danych
- —dostępne narzędzia
- —poziom autonomii
- —datę ostatniego przeglądu.
Pytanie
Czy potrafimy dziś wymienić wszystkie systemy AI posiadające dostęp do firmowych danych lub narzędzi?
- 02
Własna tożsamość: każde działanie musi mieć rozpoznawalnego wykonawcę.
Jeżeli agent korzysta ze wspólnego konta albo pełnej sesji pracownika, trudno odróżnić działania człowieka od automatyzacji, ograniczyć zakres dostępu i odtworzyć przebieg incydentu.
Agent powinien posiadać identyfikowalną tożsamość powiązaną z użytkownikiem, zadaniem i konkretnym uruchomieniem.
Pytanie
Czy po sześciu miesiącach będziemy potrafili jednoznacznie ustalić, który człowiek, agent i proces wykonali daną operację?
- 03
Minimalne uprawnienia: dostęp „na wszelki wypadek” staje się częścią powierzchni ataku.
Agent przygotowujący podsumowanie spotkania nie potrzebuje możliwości wysyłania wiadomości. Agent aktualizujący CRM nie musi eksportować całej bazy. Agent sprawdzający fakturę nie powinien zatwierdzać płatności.
Uprawnienia powinny być ograniczone według:
- —danych
- —rodzaju operacji
- —klienta lub projektu
- —czasu
- —liczby działań
- —maksymalnej wartości
- —środowiska.
Pytanie
Jakie jest najmniejsze uprawnienie pozwalające wykonać zadanie?
- 04
Oddzielenie decyzji: model nie może sam rozszerzać własnych możliwości.
Model językowy interpretuje informacje probabilistycznie. Może zostać wprowadzony w błąd przez treść użytkownika, dokument, stronę internetową, wynik narzędzia albo wcześniejszą pamięć.
Dlatego decyzja o dostępie nie powinna zależeć wyłącznie od tego, co model uznał za właściwe. Polityka dostępu musi być egzekwowana przez niezależny, deterministyczny mechanizm.
Pytanie
Które zabezpieczenia nadal działają, jeżeli model wybierze niewłaściwe działanie?
- 05
Zatwierdzenia i limity: human-in-the-loop musi widzieć to, co naprawdę zatwierdza.
Przycisk „zatwierdź” nie tworzy bezpieczeństwa, jeżeli użytkownik nie widzi odbiorcy, danych, zakresu zmiany, kosztu i konsekwencji.
Dobre zatwierdzenie pokazuje:
- —proponowane działanie
- —system docelowy
- —dane wejściowe
- —wynik, który zostanie zapisany lub wysłany
- —ryzyko
- —możliwość cofnięcia
- —odchylenie od standardowego procesu.
Pytanie
Czy osoba zatwierdzająca otrzymuje wystarczająco dużo informacji, aby świadomie powiedzieć „tak”?
- 06
Zaufany kontekst: dokument może zawierać dane i jednocześnie próbować sterować agentem.
W pośrednim prompt injection złośliwa instrukcja znajduje się w treści pobieranej przez system: stronie internetowej, dokumencie, e-mailu, rekordzie bazy albo odpowiedzi API.
Agent może potraktować ją jak część zadania i spróbować wykonać operację niezgodną z intencją użytkownika.
Nie istnieje jeden filtr rozwiązujący całe ryzyko. Potrzebne są między innymi:
- —rozdzielenie instrukcji od nieufnych danych
- —ograniczenie dostępnych narzędzi
- —walidacja danych wejściowych i wyników
- —polityka dostępu poza modelem
- —zatwierdzanie krytycznych działań
- —testy na scenariuszach ataku.
Pytanie
Co się stanie, gdy dokument od klienta zawiera instrukcję skierowaną nie do pracownika, lecz do agenta?
- 07
Logi i obserwowalność: zapis samej odpowiedzi nie wystarcza.
W procesie agentowym potrzebny jest ślad obejmujący:
- —otrzymane zadanie
- —wykorzystane źródła
- —uruchomione narzędzia
- —przyznane uprawnienia
- —wykonane działania
- —zatwierdzenia
- —błędy
- —koszty
- —wersję modelu oraz instrukcji.
Log powinien umożliwiać odtworzenie przebiegu bez ujawniania danych osobom, które nie powinny ich oglądać.
Pytanie
Czy potrafimy odtworzyć pełną ścieżkę od instrukcji do działania?
- 08
Zatrzymanie i odtworzenie: każdy agent potrzebuje skutecznego hamulca.
Możliwość wyłączenia interfejsu nie wystarcza, jeżeli agent nadal posiada aktywne tokeny, sesje, klucze API albo zadania oczekujące w kolejce.
Procedura zatrzymania powinna obejmować:
- —odwołanie poświadczeń
- —przerwanie aktywnych zadań
- —zablokowanie nowych działań
- —zabezpieczenie logów
- —identyfikację zmienionych danych
- —cofnięcie odwracalnych operacji
- —komunikację do właścicieli procesu.
Pytanie
Jak długo zajęłoby całkowite odebranie agentowi możliwości działania?
08 / 08
Najważniejsze scenariusze ryzyka
| # | Scenariusz | Co może się wydarzyć | Podstawowa kontrola |
|---|---|---|---|
| 01 | Nadmierne uprawnienia | Co może się wydarzyćAgent wykonuje poprawne zadanie w zbyt szerokim zakresie. | Podstawowa kontrolaMinimalne uprawnienia, limity i własna tożsamość. |
| 02 | Pośredni prompt injection | Co może się wydarzyćDokument, strona lub wiadomość próbuje zmienić zachowanie agenta. | Podstawowa kontrolaOddzielenie instrukcji od danych, niezależna polityka dostępu i zatwierdzenia. |
| 03 | Ujawnienie danych | Co może się wydarzyćPoufna informacja trafia do niewłaściwego modelu, narzędzia albo odbiorcy. | Podstawowa kontrolaKlasyfikacja danych, kontrola dostępu i walidacja wyniku. |
| 04 | Zatruta pamięć | Co może się wydarzyćFałszywa instrukcja lub informacja zostaje zapisana i wpływa na kolejne zadania. | Podstawowa kontrolaWersjonowana pamięć, źródła, okres ważności i możliwość usunięcia. |
| 05 | Niebezpieczne narzędzie lub connector | Co może się wydarzyćZewnętrzna integracja otrzymuje więcej dostępu, niż wymaga jej funkcja. | Podstawowa kontrolaOcena dostawcy, ograniczone poświadczenia i izolacja narzędzi. |
| 06 | Działanie bez świadomej akceptacji | Co może się wydarzyćUżytkownik zatwierdza operację, nie widząc jej pełnych konsekwencji. | Podstawowa kontrolaCzytelny podgląd działania i zatwierdzenie proporcjonalne do ryzyka. |
| 07 | Utrata obserwowalności | Co może się wydarzyćFirma nie potrafi odtworzyć, dlaczego i jak agent wykonał operację. | Podstawowa kontrolaPełny ślad działania, powiązane identyfikatory i chronione logi. |
| 08 | Brak możliwości zatrzymania | Co może się wydarzyćAgent kontynuuje działania po wykryciu problemu. | Podstawowa kontrolaKill switch, odwołanie poświadczeń i procedura incydentowa. |
08 / 09
Minimalny kontrakt operacyjny agenta
Przed uruchomieniem agent powinien posiadać krótki, jednoznaczny kontrakt opisujący jego rolę i granice.
- 01
CEL
Jakie zadanie wykonuje i jakiego wyniku oczekujemy?
- 02
WŁAŚCICIEL
Kto biznesowo odpowiada za rezultat i ryzyko?
- 03
TOŻSAMOŚĆ
Pod jaką tożsamością agent działa?
- 04
DANE
Które dane może odczytywać, zapisywać i przechowywać?
- 05
NARZĘDZIA
Z jakich narzędzi może korzystać?
- 06
UPRAWNIENIA
Jakie operacje są dozwolone, a jakie zabronione?
- 07
ZATWIERDZENIA
Które działania wymagają człowieka?
- 08
LIMITY
Jakie obowiązują limity czasu, kosztu, liczby operacji i zakresu?
- 09
LOGI
Jakie zdarzenia są rejestrowane i kto może je przeglądać?
- 10
ZATRZYMANIE
Jak natychmiast odebrać agentowi dostęp i zatrzymać zadania?
- 11
TESTY
Na jakich normalnych, granicznych i złośliwych przypadkach został sprawdzony?
- 12
PRZEGLĄD
Kiedy uprawnienia, instrukcje i ryzyko zostaną ponownie ocenione?
Agent bez właściciela, limitów i możliwości zatrzymania nie jest automatyzacją. Jest niekontrolowanym dostępem.
08 / 10
Dziesięć błędów bezpiecznego wdrażania agentów
- 01Firma zakłada, że dobry system prompt jest polityką bezpieczeństwa.
- 02Agent korzysta z pełnego konta pracownika.
- 03Uprawnienia są przyznawane na stałe i nie wygasają po zadaniu.
- 04Agent otrzymuje dostęp do całego dysku lub bazy zamiast potrzebnego zakresu.
- 05Zatwierdzenie pokazuje ogólny opis zamiast rzeczywistego działania.
- 06Log zawiera odpowiedź modelu, ale nie zawiera użytych narzędzi i wykonanych operacji.
- 07Nowe connectory i serwery MCP są instalowane bez oceny dostawcy oraz zakresu dostępu.
- 08Firma testuje wyłącznie poprawne, przewidywalne instrukcje.
- 09Całkowity zakaz korzystania z AI wypycha pracowników do niezatwierdzonych narzędzi.
- 10Nikt nie ćwiczył procedury zatrzymania i odtworzenia procesu po incydencie.
08 / 11
Scorecard bezpieczeństwa agentów AI
| # | Miernik | Co pokazuje |
|---|---|---|
| 01 | Pokrycie rejestru | Co pokazujeJaka część agentów, modeli i integracji jest znana organizacji. |
| 02 | Agenty z jednoznacznym właścicielem | Co pokazujeCzy każdy system posiada odpowiedzialność biznesową i techniczną. |
| 03 | Pokrycie własną tożsamością | Co pokazujeCzy działania agentów można odróżnić od działań ludzi i innych automatyzacji. |
| 04 | Zakres minimalnych uprawnień | Co pokazujeCzy dostęp jest ograniczony do rzeczywistej potrzeby procesu. |
| 05 | Działania wymagające zatwierdzenia | Co pokazujeCzy krytyczne operacje posiadają właściwy poziom kontroli człowieka. |
| 06 | Pełna identyfikowalność | Co pokazujeJaki udział działań można odtworzyć od instrukcji do skutku. |
| 07 | Czas odebrania dostępu | Co pokazujeJak szybko można całkowicie zatrzymać agenta. |
| 08 | Niewłaściwe lub zablokowane działania | Co pokazujeCzy kontrole wykrywają próby wyjścia poza zakres. |
| 09 | Pokrycie testami bezpieczeństwa | Co pokazujeCzy agent został sprawdzony na przypadkach błędnych, granicznych i złośliwych. |
| 10 | Czas od wykrycia do ograniczenia skutku | Co pokazujeJak szybko organizacja potrafi zatrzymać oraz odizolować incydent. |
Brak zarejestrowanych incydentów nie jest wystarczającym dowodem bezpieczeństwa, jeżeli firma nie posiada obserwowalności pozwalającej je wykryć.
Jak uporządkować bezpieczeństwo agentów w 30 dni
TYDZIEŃ 1
Zbuduj rejestr.
- Zidentyfikuj agentów, asystentów, connectory i automatyzacje.
- Zapisz właścicieli, modele, dane, narzędzia i uprawnienia.
- Oznacz rozwiązania niezatwierdzone.
- Wybierz trzy procesy o największych konsekwencjach błędu.
TYDZIEŃ 2
Ogranicz dostęp.
- Nadaj agentom odrębne tożsamości.
- Usuń zbędne uprawnienia.
- Wprowadź ograniczenia czasu, zakresu i liczby operacji.
- Oddziel środowisko testowe od produkcyjnego.
- Zdefiniuj działania wymagające zatwierdzenia.
TYDZIEŃ 3
Przetestuj granice.
- Sprawdź pośredni prompt injection.
- Przetestuj sprzeczne i złośliwe dane.
- Zweryfikuj odmowę wykonania zabronionego działania.
- Sprawdź kompletność logów.
- Przeprowadź próbę odebrania dostępu.
TYDZIEŃ 4
Ustal standard.
- Zatwierdź minimalny kontrakt agenta.
- Wyznacz właściciela przeglądów.
- Ustal częstotliwość ponownej oceny uprawnień.
- Przygotuj procedurę incydentową.
- Podejmij decyzję: skalujemy, ograniczamy albo zatrzymujemy.
08 / 13
Dwanaście pytań, które powinien zadać zarząd
- 01Jakie agenty AI działają dziś w firmie?
- 02Które z nich mogą wykonywać działania, a nie tylko przygotowywać odpowiedzi?
- 03Kto odpowiada biznesowo za każdy z tych procesów?
- 04Czy agent posiada własną tożsamość?
- 05Z jakich danych, systemów i narzędzi może korzystać?
- 06Które uprawnienia nie są niezbędne do jego zadania?
- 07Jak system reaguje na instrukcję ukrytą w dokumencie, stronie lub e-mailu?
- 08Które działania zawsze wymagają świadomej zgody człowieka?
- 09Czy potrafimy odtworzyć pełną ścieżkę działania?
- 10Jak szybko możemy odebrać agentowi wszystkie uprawnienia?
- 11Czy dostawca albo connector może rozszerzyć dostęp bez naszej wiedzy?
- 12Jaką maksymalną szkodę może spowodować jeden błędny krok?
08 / 14
Nie zatrzymuj wdrażania AI. Zatrzymaj niekontrolowane uprawnienia.
Odpowiedzią na nowe ryzyko nie powinien być całkowity zakaz korzystania z agentów. Firmy, które wybiorą wyłącznie blokowanie, mogą jedynie przenieść eksperymenty poza własną widoczność.
Potrzebny jest model, który pozwala zwiększać autonomię razem z jakością kontroli. Najpierw ograniczony proces, własna tożsamość, minimalne uprawnienia, pełny ślad oraz możliwość zatrzymania. Dopiero później szerszy zakres działania.
Najbezpieczniejszy agent nie jest agentem pozbawionym możliwości. Jest agentem, którego możliwości są adekwatne do zadania, mierzalne i kontrolowane poza samym modelem.
Im większa autonomia, tym silniejsza musi być kontrola znajdująca się poza modelem.
PLANUJESZ AGENTÓW AI W PROCESACH FIRMY?
Zaprojektujmy wartość, uprawnienia i kontrolę, zanim agent otrzyma dostęp do działania.
Możemy połączyć wybór właściwego procesu, model odpowiedzialności, architekturę kontekstu i kontrolę ryzyka w jeden bezpieczny pilotaż.