Што такое агентнае кадаванне?

Агентнае кадаванне — гэта распрацоўка праграмнага забеспячэння, у якой агент штучнага інтэлекту ставіць мэту, плануе працу і выконвае яе ў вашай кодавай базе з дапамогай інструментаў: чытае файлы, рэдагуе іх, усталёўвае залежнасці, запускае тэсты, выклікае знешнія службы і адкрывае... pull requestsРаспрацоўшчык задае кірунак і аналізуе вынік. Агент выконвае ўсю працу паміж імі. Гэта кароткая версія таго, што такое агентнае кадаванне. Больш падрабязная версія мае значэнне, таму што пераход ад аўтазапаўнення да аўтаномнага выканання змяняе таго, хто піша ваш код, чаму ваш код давярае і дзе на самой справе знаходзіцца ваша паверхня для атакі.

Значэнне агентнага кадавання, тэрмін за тэрмінам #

Разбіце фразу на часткі, і вызначэнне стане больш выразным.

Агентура апісвае праграмнае забеспячэнне, якое дзейнічае ў мэтах, а не рэагуе на адну інструкцыю. Агент самастойна вырашае свой наступны крок, выкарыстоўвае інструменты, назірае за вынікам і выконвае ітэрацыі, пакуль мэта не будзе дасягнута або пакуль не скончыцца месца.

Кадаванне гэта дамен, у якім ён працуе: ваш рэпазітар, вашы залежнасці, ваша зборка, вашы тэсты.

У цэлым, сэнс агентскага кадавання просты: вы дэлегуеце вынік замест таго, каб дыктаваць націсканне клавіш. «Дадайце абмежаванне хуткасці ў API плацяжоў і пакіньце яго тэстамі» замяняе дваццаць хвілін набору тэксту. Агент чытае сэрвіс, рэдагуе некалькі файлаў, запампоўвае бібліятэку, запускае пакет і справаздачу.

Значэнне агентнага кадавання, якое мае значэнне для каманды бяспекі, — гэта другая палова гэтага сказа. Кожнае з гэтых дзеянняў — прывілеяваная аперацыя, якая выконваецца нечалавечай асобай, што чытае інструкцыі з файлаў, якія ніхто ўважліва не праглядае.

Што гэта такое, на практыцы? #

Тыповы агентычны цыкл працуе наступным чынам.

1. Гол. Распрацоўшчык паказвае вынік у IDE, CLI або pull request каментарый.
2. Збор кантэксту. Агент чытае рэпазітар, а таксама ўласную канфігурацыю: файлы правілаў, файлы навыкаў, азначэнні і падказкі сервера MCP.
3. План. Агент раскладае мэту на крокі.
4. Выкарыстанне інструмента. Ён рэдагуе файлы, усталёўвае пакеты, запытвае базу дадзеных, звяртаецца да ўнутранага API, запускае зборку.
5. Назіранне. Ён зчытвае вынік, у тым ліку збоі, і карэктуе.
6. Перадача. Гэта адкрывае pull request, або прымяняе змены непасрэдна, калі гэта дазволена.

Крокі 2 і 4 — гэта тое, дзе знаходзіцца гісторыя бяспекі. Паводзіны агента вызначаюцца канфігурацыяй, а яго ахоп вызначаецца падлучанымі інструментамі. Код прыкладання таксама не рэгулюецца, таму ні адзін з іх не ахопліваецца ўжо запушчанымі інструментамі.

Гласарый агентнага кадавання #

Перш чым пісаць палітыку адносна любога з гэтых тэрмінаў, варта ведаць значэнне агентычнага кода.

• Агент штучнага інтэлекту. Праграмнае забеспячэнне, якое аўтаномна пераследуе пэўную мэту, выкарыстоўваючы інструменты і памяць. Пры кадаванні яно працуе ў рэпазітарыі з уласнымі дазволамі распрацоўшчыка.
• Агент-сервер. Сэрвіс, які размяшчае і прадстаўляе агента кліентам, і першакласны актыў у вашым інвентары, а не дэталь чыёйсьці лакальнай налады.
• Выклік інструмента. Механізм, з дапамогай якога агент уздзейнічае на свет: запіс файла, адпраўка электроннай пошты, запыт да вектарнага сховішча. Радыус выбуху агента роўны суме выклікаў яго інструментаў.
• MCP (Пратакол кантэксту мадэлі). Адкрыты standard для падключэння агентаў да інструментаў і крыніц дадзеных. Перададзеная ў ахвяраванне Linux Foundation у снежні 2025 года, цяпер яна з'яўляецца незалежнай ад пастаўшчыка інфраструктурай і стандартнай схемай распрацоўкі агентаў.
• Сервер MCP. Працэс, які дае доступ да інструментаў агенту праз MCP. Большасць з іх працуюць на ноўтбуках распрацоўшчыкаў, а не ў прадукцыйным асяроддзі, і менавіта таму яны пазбягаюць кантролю, арыентаванага на прадукцыйнасць.
• Файл навыкаў. Файл, які навучае агента магчымасці або працэдуры. Дакументацыя для рэцэнзента, набор інструкцый для агента.
• Файл з правіламі. Напрыклад, аўтаматычна загружае кіраўніцтва на ўзроўні праекта агентам .cursor/rulesУсё, што ў ім змяшчаецца, становіцца палітыкай для кожнага згенераванага радка.
• Хуткая ін'екцыя. Ненадзейны кантэнт дасягае шляху інструкцый агента і змяняе яго паводзіны. LLM01 у Топ-10 OWASP для падачы заявак на атрыманне магістра права (LLM), і найбольш надзейна выкарыстоўваная слабасць у агентных сістэмах.
• Ін'екцыя інструмента. Маніпуляванне метададзенымі інструмента або яго выкананнем, каб агент выканаў дзеянне, пра якое карыстальнік ніколі не прасіў, напрыклад, выманне дадзеных праз уласны інструмент электроннай пошты.
• Бэкдор для файла правілаў. Дакументаваны метад, пры якім сімвалы Unicode нулявой шырыні хаваюць шкоднасныя інструкцыі ўнутры файла правілаў. Агент выконвае іх і ніколі пра іх не згадвае. Закаталогаваны як MITRE ATLAS AML.CS0041.
• Прысяданні на кукішках. Рэгістрацыя імёнаў пакетаў, якія мадэлююцца моўнымі мадэлямі, дазваляе агенту ўсталёўваць пакет зламысніка па запыце. Даследаванне, прадстаўленае на USENIX Security 2025, паказала, што 19.7% пакетаў, рэкамендаваных LLM, не існуюць, і што гэтыя імёны паўтараюцца дастаткова часта, каб іх можна было выкрасці.
• Агароджа. Кантроль, які абмяжоўвае тое, што агент можа рабіць або казаць. Адсутнічае guardrails з'яўляюцца знаходкай, а не прабелам у дакументацыі.
• Залішняя свабода дзеянняў. Агент, які мае больш дазволаў або аўтаноміі, чым патрабуецца для яго задачы. Найтаннейшы спосаб ператварыць невялікі кампраміс у вялікі.
• Чалавек у курсе падзей. Патрабуецца адабрэнне, перш чым дзеянні агента ўступяць у сілу. Розніца паміж прапанаваным pull request і прамы націск на асноўны.
• ШІ-BOM. Машыначытэльны пералік штучнага інтэлекту ў вашым праграмным забеспячэнні: мадэлі, наборы дадзеных, агенты, серверы MCP і інструменты штучнага інтэлекту, якія выкарыстоўваюць вашы распрацоўшчыкі. CycloneDX ML-BOM і профілі штучнага інтэлекту SPDX 3.0 — гэта рэальныя фарматы. AI-BOM падтрымлівае дакументацыю Дадатку IV да Закона ЕС аб ​​штучным інтэлекце і абавязацельствы CRA, і ніводзін рэгламент не патрабуе яго па імені.
• ШІ-SPM. Кіраванне станам бяспекі штучнага інтэлекту: пастаяннае адкрыццё рэсурсаў штучнага інтэлекту, узаемасувязяў паміж імі і звязаных з імі рызык. Gartner вызначыў гэту катэгорыю ў сваім аглядзе Hype Cycle for Data Security, 2025.
• Вайб-кадаванне. Прыняцце вынікаў, створаных штучным інтэлектам, з мінімальным праглядам. Стыль працы, а не архітэктура, і найхутчэйшы шлях да распрацоўкі чагосьці, чаго ніхто не разумее.
• Топ-10 OWASP для агентаў-прыкладанняў 2026 года. Таксанамія супольнасці для агентурных рызык, апублікаваная ў снежні 2025 года разам з устаноўленым рэйтынгам OWASP Top 10 для заявак на атрыманне ступені магістра права (LLM).

Што змяняе агентнае кадаванне ў плане бяспекі? #

Тры рэчы, і ніводная з іх не з'яўляецца тэарэтычнай.

Код прыходзіць хутчэй, чым яго паспяваюць праверыць. Незалежныя даследаванні памочнікаў кадавання на базе штучнага інтэлекту паказваюць, што каля 40% згенераванага кода змяшчае ўразлівасць бяспекі, і гэты паказчык застаецца нязменным на працягу ўсіх пакаленняў мадэлі. Аб'ём павялічваецца, а магчымасці праверкі — не.

Канфігурацыйны пласт стаў паверхняй атакі. Файлы навыкаў, файлы правілаў і азначэнні MCP вызначаюць, што робіць агент, і традыцыйны аналіз не чытае ніводнага з іх. Аўдыт 3,984 навыкаў агента ў 2026 годзе выявіў, што 13.4% з іх утрымліваюць крытычныя праблемы бяспекі, а сканаванне публічных рэпазітароў выявіла 24 008 сакрэтаў, якія захоўваюцца ў файлах канфігурацыі MCP, 2,117 з якіх усё яшчэ дзейсныя.

Рызыка ляжыць на канчатковай кропцы. Прыкладна 86% MCP-сервераў працуюць на машынах распрацоўшчыкаў, а не ў прадукцыйным асяроддзі. Вашы вытворчыя элементы кіравання ніколі іх не бачаць. Гэта агентнае кадаванне, з якім ваш CI-шлюз не можа дапамагчы: да таго часу, як pipeline працуе, агент ужо ўсталяваў пакет і прачытаў файл з атручанымі правіламі на чыімсьці ноўтбуку.

Абарона агентнага кадавання #

Шчыры адказ на пытанне, што такое агентнае кадаванне, заключаецца ў тым, што яно перамяшчае перыметр да машыны распрацоўшчыка і файлаў, якія кіруюць агентам. Xygeni AI Security выяўляе кожны актыў штучнага інтэлекту ў вашым SDLC, уключаючы мадэлі, агентаў, серверы MCP, файлы навыкаў і падказкі, якія ніхто не абвясціў, адлюстроўвае сувязі паміж імі і выяўляе рызыкі, характэрныя для іх: укараненне падказак і інструментаў, шкоднасныя інструкцыі ў файлах правілаў і навыкаў, небяспечную канфігурацыю MCP, сакрэты ў файлах штучнага інтэлекту і нядбайныя залежнасці штучнага інтэлекту. Вынікі суадносяцца з топ-10 OWASP для прыкладанняў LLM і паказваюць на дакладны файл і радок. Палітыка ўжываецца там, дзе агент фактычна працуе, на канцавой кропцы, да выканання несанкцыянаванага сервера або шкоднаснага пакета.

Агенты ўжо знаходзяцца ў вашых рэпазіторыях. Глядзіце, да чаго яны падключаны, на xygeni.io.y інструменты падобныя, скарачаючы аб'ём папярэджанняў, каб засяродзіцца на тым, чаго можа дасягнуць рэальная пагроза.

Часта задаваныя пытанні #