Quali componenti consentono l’esecuzione sicura degli strumenti per un agente IA self-hosted?
L’esecuzione sicura degli strumenti deriva dall’applicazione di controlli esterni al modello: chiamate vincolate, funzionalità con ambito limitato, verifiche delle policy, isolamento, approvazioni, verifica dei risultati e registri di audit duraturi.
Un agente self-hosted può leggere file NAS, eseguire comandi shell, controllare le luci o inviare messaggi, quindi una risposta plausibile del modello può trasformarsi in un effetto reale. Il modello dovrebbe proporre un’operazione, non ereditare direttamente credenziali senza restrizioni. Un livello di esecuzione affidabile risolve la destinazione, verifica l’identità e la policy, ottiene l’approvazione quando richiesta, opera entro limiti prestabiliti e verifica il risultato.
Le chiamate agli strumenti tipizzate trasformano l’intento in richieste ispezionabili
Uno schema dello strumento definisce le operazioni consentite, gli argomenti obbligatori, i tipi, gli intervalli e gli enum. La convalida deterministica rifiuta i campi malformati o sconosciuti prima dell’esecuzione, mentre la risoluzione della destinazione converte un nome intuitivo nell’identificativo corrente di un dispositivo, percorso, destinatario o risorsa.
La ricerca sulla sicurezza dei sistemi agentici considera la sicurezza degli agenti un problema di sistemi che coinvolge isolamento, controllo degli accessi, provenienza e confini di esecuzione affidabili. Ciò supporta il mantenimento dei controlli al di fuori della pianificazione e della generazione probabilistiche. Questa distinzione resta visibile durante i successivi test domestici.
L’output strutturato è necessario, ma non sufficiente. Una richiesta perfettamente valida può comunque eliminare la cartella sbagliata o inviare un messaggio alla persona sbagliata, quindi i validatori semantici confrontano l’azione proposta con lo stato corrente, l’identità dell’utente, lo scopo del flusso di lavoro e la policy esplicita.
Le funzionalità e le sandbox limitano i danni massimi
Il gateway di esecuzione concede funzionalità con ambito ristretto e durata limitata, come l’accesso in lettura a una sola directory o il controllo di un gruppo di luci. Una sandbox limita quindi i percorsi del filesystem, i processi, le destinazioni di rete, la CPU, la memoria, il tempo e le dimensioni dell’output durante l’esecuzione.
Un’analisi pratica delle sandbox di esecuzione degli agenti confronta container, microVM e WebAssembly, sottolineando al contempo l’accesso predefinito negato alle risorse dell’host. La scelta dell’isolamento modifica il costo di avvio e la compatibilità, ma ogni opzione richiede concessioni esplicite. Il risultato intermedio deve restare ispezionabile prima che l’automazione proceda.
Le credenziali restano fuori dal contesto del modello e vengono inserite solo per una chiamata autorizzata. Sandbox separate proteggono l’host dall’esecuzione di codice, mentre i controlli delle funzionalità proteggono i servizi esterni; nessuno dei due controlli sostituisce l’altro. Questo confine dovrebbe essere misurato separatamente in condizioni operative realistiche.
Approvazione e verifica proteggono dagli effetti collaterali rilevanti
La policy classifica le azioni in base al rischio e decide se consentirle, negarle, simularle o richiedere l’approvazione umana. La schermata di approvazione deve mostrare la destinazione risolta, i parametri esatti, le modifiche previste e la provenienza, anziché una richiesta vaga di “continuare”.
Le linee guida di NVIDIA sulle sandbox per i flussi di lavoro agentici descrivono l’approvazione manuale come un controllo comune e discutono l’attrito che motiva l’uso selettivo delle sandbox e dei controlli. Ciò rafforza l’idea di collocare l’approvazione al confine irreversibile, invece di interrompere ogni passaggio in sola lettura.
Il confine di errore è rappresentato da uno strumento con privilegi eccessivi o da un risultato non verificato. L’approvazione non può rendere sicuro un comando nascosto e un codice di uscita positivo non dimostra che lo stato previsto sia cambiato. I flussi di lavoro ad alto impatto richiedono postcondizioni indipendenti, nuovi tentativi limitati, chiavi di idempotenza e un registro di audit delle proposte, dei rifiuti, delle approvazioni, delle esecuzioni e dei controlli.
Testa il livello di controllo, non la promessa dell’agente
Crea casi per argomenti malformati, attraversamento dei percorsi, file non autorizzati, destinazioni di rete bloccate, istruzioni inserite tramite prompt, destinazioni obsolete, nuovi tentativi duplicati, manomissione delle approvazioni, timeout e uno strumento che segnala falsamente il successo. Eseguili con gli stessi permessi utilizzati in produzione.
Applica il principio del controllo indipendente negli controlli indipendenti dei risultati per verificare lo stato dopo ogni azione consentita. Conferma che le operazioni negate non raggiungano mai lo strumento, che le approvazioni siano associate all’hash esatto della richiesta, che le credenziali restino fuori dai prompt e dai log e che le chiavi dei nuovi tentativi impediscano effetti collaterali duplicati.
Effettua il deployment solo dopo aver verificato che i controlli adottino una politica di fail closed quando il servizio di policy, il canale di approvazione o il verificatore non è disponibile. Se la sicurezza dipende dal fatto che il modello ricordi una regola, trasferisci quella regola in una policy eseguibile prima di concedere l’accesso allo strumento.
Prodotti consigliati
Hub Tecnologico e AI
Altro da leggere
Quali componenti consentono la ricerca ibrida tra i file NAS?
Scopri come gli identificatori esatti e il significato semantico portano a un unico risultato di ricerca NAS classificato, senza aggirare le autorizzazioni né nascondere...
Quali funzionalità consentono una selezione affidabile delle versioni dei documenti nel RAG?
Scopri come RAG seleziona la revisione pertinente invece della copia obsoleta più simile e come testare gli aggiornamenti espliciti, impliciti e sovrapposti.
Quali fattori causano la divergenza dei piani degli agenti rispetto alle autorizzazioni degli strumenti disponibili?
Scopri come l’individuazione, la delega, il feedback sulle policy e la ripianificazione mantengono i passaggi proposti da un agente di IA allineati a ciò...
