Az AI kódoló ügynökök rejtett ereje (és veszélye)

2024-ben, ha szoftvert fejlesztesz, biztos találkoztál már az AI kódoló asszisztensek varázsával. Leírod, mit szeretnél, az ügynök átfutja a kódot, javít rajta, tesztel, és commitol – miközben te nyugodtan iszogathatod a kávédat. Ez tényleg forradalmi.

Csak van egy kínos részlet: a legtöbb fejlesztőnek fogalma sincs, mit művel pontosan az ügynök futás közben.

Amikor az ügynök shell parancsot futtat, fájlt ír vagy olvas, vagy konfigurációt nézeget, mindezt a te jogosultságaiddal teszi, a te fájlrendszeredben, a te kulcsaiddal. Látja az SSH kulcsaidat, az AWS tokenjeidet, a környezeti változóidat. Te csak a barátságos chat felületet látod. Alatta mi történik? Nagyrészt fekete doboz.

Egy valós (és ijesztő) példa

Képzeld el: megkérdezed az ügynököt, hogy refaktorozza a kóbor auth modult. Átolvassa a fájlokat, szebbé teszi, majd tesztelni kezd. De aztán – rossz függőség, prompt injection vagy sima félreértés miatt – megpróbálja megnézni a ~/.ssh/known_hosts-ot. Vagy írni akar a ~/.aws/credentials/-be.

Észrevennéd? Valószínűleg csak akkor, ha már késő.

Ez az a biztonsági terület, amiről túl keveset beszélünk. Pont ezért létfontosságú az AI ügynökök futásidejű monitorozása.

Prempti: Falco a kódoló ügynöködnek

A nyílt forráskódú biztonsági közösség mozgásba lendült. Meglévő futásidejű eszközöket – főleg a Falco threat detection motort – ráhúztak az AI ügynökök tool call-jaira. Így megszületett valami ütős: strukturált átláthatóság és szabályok érvényesítése, amint az ügynök cselekedni próbál.

Így néz ki működésben:

Mielőtt az ügynök tool call-t indít (fájlolvasás, írás, bash parancs stb.), a Prempti elkapja. A kérés elmegy a Falco-hoz, ami ellenőrzi a biztonsági szabályaid alapján. A Falco dönt:

• Allow – minden oké, folytatódik
• Deny – blokkolja, és megmondja miért
• Ask – rád bízza, jóváhagyod vagy sem

Nincs kernel modul, root jog, konténer. Könnyű userspace szolgáltatás, ami beleakad az ügynök tool call láncába.

Az ügynök nem csak megáll – kap magyarázatot miért. Ezt továbbadhatja neked, így a biztonság láthatóvá válik, nem láthatatlan.

Két mód: Először nézd, aztán zárd le

A Prempti két üzemmóddal jön, ez okos megoldás:

Monitor mód: Látod, mit csinál az ügynök, de nem blokkol semmit. Futtasd pár session-ig, ismerd meg a viselkedését, finomhangold a szabályokat, építs bizalmat.

Guardrails mód (alapértelmezett): Itt már érvényesíti a döntéseket. Blokkol, ha kell, kérdez tőled, különben engedi.

Átválthatsz közöttük:

premptictl mode monitor      # csak figyel
premptictl mode guardrails   # érvényesít
premptictl logs              # élő események

Így kell lennie a biztonsági eszközöknek: először figyeld, aztán biztos kézzel zárj le.

Szabályírás: Ismerős terep

Ha írtál már Falco szabályt, ez azonnal ismerős lesz. Íme egy példa, ami blokkolja a legősibb támadási trükköt – tartalom közvetlen pipe-olását shell-be (klasszikus prompt injection):

- rule: Deny pipe to shell
  desc: Block piping content to shell interpreters
  condition: >
    tool.name = "Bash"
    and (tool.input_command contains "| sh"
         or tool.input_command contains "| bash"
         or tool.input_command contains "| zsh")
  output: >
    Falco blocked piping to a shell interpreter (%tool.input_command)
  priority: CRITICAL
  source: coding_agent