Den skjulte kraft (og fare) i AI-kodningsagenter

I 2024 er AI-kodningshjælpere en del af hverdagen for de fleste udviklere. Du beskriver en opgave, og agenten dykker ned i din kodebase, retter, tester og committer – mens du slapper af med en kop kaffe. Det ændrer spillet totalt.

Men sandheden er ubehagelig: De fleste har nul indsigt i, hvad agenten rent faktisk laver, når den kører.

Når agenten udfører shell-kommandoer, skriver filer eller læser konfig, sker det med dine rettigheder, i dit filsystem og med dine credentials. Den ser dine SSH-nøgler, AWS-tokens og miljøvariabler. Du ser kun den venlige chat. Bagsiden? Et totalt sort hul.

Et realistisk – og skræmmende – eksempel

Tænk dig, du beder agenten om at rydde op i en rodet auth-modul. Den læser filer, forbedrer koden og starter tests. Men pludselig – via en ondsinnet dependency, prompt injection eller bare fejlslutninger – prøver den at åbne ~/.ssh/known_hosts. Så skriver den til ~/.aws/credentials/.

Ville du opdage det? Sandsynligvis ikke, før skaden var sket.

Det her er sikkerhedsudfordringen, vi burde tale mere om. Runtime-overvågning af AI-agenter bliver essentiel infrastruktur.

Prempti: Falco til din kodningsagent

Open source-samfundet tager fat. Ved at koble eksisterende runtime-sikkerhedsværktøjer – især Falco-motoren til trussel-detektion – på agentens tool calls, får vi noget stærkt: fuld indsigt og politikstyring præcis når agenten vil handle.

Sådan fungerer det:

Før agenten kalder et tool (fil-læsning, skrivning, bash-kommando osv.), fanger Prempti det. Anmodningen går til Falco, der tjekker mod dine politikker. Falco giver et svar:

• Allow – handlingen går igennem
• Deny – blokeres, agenten får forklaring
• Ask – du bliver spurgt om godkendelse

Ingen kernel-moduler. Ingen root. Ingen containere. Det kører som en let user-space-tjeneste, der hakker sig ind i agentens tool-flow.

Agenten får ikke kun blokering – den får en klar begrundelse. Den kan vise det til dig, så sikkerheden bliver synlig i stedet for usynlig.

To driftsmodi: Observer først, blokér senere

Prempti kommer med to smarte modi:

Monitor mode viser alt, hvad agenten rører, uden at blokere. Kør det et par gange, lær agentens vaner, finpudser reglerne, få tryghed.

Guardrails mode (standard) håndhæver beslutningerne. Deny stopper det, ask spørger dig, allow løber.

Skift nemt:

premptictl mode monitor      # kun observer
premptictl mode guardrails   # håndhæv regler
premptictl logs              # se live-hændelser

Sikkerhedsværktøjer skal fungere sådan: Se først, blokér trygt.

Skriv politikker: Kender du Falco, kender du det her

Har du lavet Falco-regler før, føles det her bekendt. Her er en regel, der stopper en klassisk angrebsvej – piping direkte til shell (typisk prompt injection):

- rule: Deny pipe to shell
  desc: Block piping content to shell interpreters
  condition: >
    tool.name = "Bash"
    and (tool.input_command contains "| sh"
         or tool.input_command contains "| bash"
         or tool.input_command contains "| zsh")
  output: >
    Falco blocked piping to a shell interpreter (%tool.input_command)
  priority: CRITICAL
  source: coding_agent