Nadmierna sprawczość agenta AI (excessive agency)

Nadmierna sprawczość agenta AI, po angielsku excessive agency, to podatność powstająca wtedy, gdy system oparty na modelu językowym może wykonać szkodliwą akcję po nieoczekiwanej, niejednoznacznej albo zmanipulowanej odpowiedzi. OWASP rozdziela trzy źródła problemu: nadmiar funkcji, nadmiar uprawnień i nadmiar autonomii. Nie chodzi więc o sam fakt, że agent korzysta z narzędzi. Ryzyko zaczyna się wtedy, gdy asystent do podsumowywania leadów ma równocześnie prawo wysyłać e-maile, modyfikować CRM i kasować pliki, choć do swojej codziennej pracy potrzebuje tylko odczytu.

To ważne rozróżnienie dla eksperta lub solopreneurki budującej automatyzację. Model może halucynować, źle odczytać pole formularza albo ulec prompt injection w dokumencie czy na stronie. Takiego ryzyka nie wyeliminuje pojedynczy prompt systemowy. Szkoda zależy od granicy działania ustawionej przez człowieka: jakie narzędzie agent widzi, jakim kontem ono działa i czy może wykonać akcję bez dalszego sprawdzenia. Model, który myli się w szkicu posta, tworzy koszt redakcyjny. Ten sam model, który sam publikuje, obciąża kartę lub usuwa kontakt, może narobić realnych szkód.

Nadmiar funkcji oznacza, że agent otrzymuje narzędzia niepotrzebne do konkretnego zadania. Przykładem jest integracja dysku, która daje jednocześnie odczyt, zapis i usuwanie, choć agent ma tylko znaleźć materiały do newslettera. Lepszy projekt rozbija szerokie narzędzie na wąskie operacje: wyszukaj dokumenty w określonym folderze, utwórz szkic w katalogu roboczym albo przygotuj propozycję zmian. Nie wystawiaj modelowi dowolnego polecenia shell, ogólnego zapytania SQL ani pełnego panelu administracyjnego tylko dlatego, że technicznie da się je podłączyć.

Nadmiar uprawnień dotyczy tożsamości, którą posługuje się integracja. Agent do odczytu kalendarza nie potrzebuje tokenu pozwalającego tworzyć i usuwać spotkania dla całego zespołu. Workflow, który dodaje lead do jednej listy, nie powinien mieć klucza administracyjnego do całego CRM. Zasada najmniejszych uprawnień ogranicza konto, zakres OAuth, bazę, folder, projekt oraz czas ważności dostępu do minimum potrzebnego w danym kroku. Warto używać osobnych kont technicznych dla oddzielnych workflowów, bo wtedy wyciek jednego tokenu lub błąd jednego agenta nie otwiera całego biznesu.

Nadmiar autonomii pojawia się, gdy agent sam przechodzi od sugestii do akcji o dużym wpływie. Dobry praktyczny podział jest prosty: AI może samodzielnie klasyfikować, streszczać, proponować i tworzyć robocze wersje, ale publikacja, płatność, masowa wysyłka, usunięcie danych, zmiana dostępu oraz kontakt z klientem wymagają potwierdzenia. Przykład: agent może przygotować follow-up dla leadów i oznaczyć osoby spełniające reguły, lecz przed wysyłką człowiek widzi odbiorców, treść i liczbę wiadomości. To nie zabija automatyzacji. Przenosi tylko punkt kontroli przed działanie, którego nie da się łatwo cofnąć.

Nadmierna sprawczość różni się od nieprawidłowej obsługi wyjścia modelu. Walidacja odpowiedzi sprawdza, czy dane mają poprawny format i spełniają reguły, zanim trafią do API. Sprawczość pyta wcześniej: czy agent w ogóle powinien mieć możliwość wywołania tego API i czy dana akcja wymaga zatwierdzenia. Obie warstwy są potrzebne. Ustrukturyzowane wyjście może ograniczyć model do pola statusu i identyfikatora, a kontrola uprawnień może zapewnić, że nawet prawidłowy JSON nie uruchomi płatności poza ustalonym limitem. Nie ufaj modelowi jako jedynemu mechanizmowi autoryzacji.

Wdrożenie zacznij od mapy narzędzi i skutków, nie od kupowania kolejnej platformy security. Dla każdego narzędzia zapisz: cel, dane wejściowe, zakres konta, możliwe skutki, odwracalność oraz osobę zatwierdzającą. Usuń nieużywane integracje z fazy testów. Następnie ustaw limity kwot, liczby odbiorców i zakresu danych, waliduj argumenty narzędzi poza modelem, loguj decyzję i wynik oraz testuj scenariusze z błędną instrukcją. Jeśli nie potrafisz krótko wyjaśnić, dlaczego agent ma prawo wykonać daną akcję, nie dawaj mu tego prawa. Zaczynaj od odczytu i szkicu, a autonomię zwiększaj dopiero po ewaluacji na realnych przypadkach.