tbhost.eu / AI a bezpečnosť · Aktualizované 26. októbra 2026

AI agent: čo mu nedávať do rúk (heslá, prístupy, kľúče) a ako ho obmedziť

AI agent je program postavený na jazykovom modeli, ktorý s pridelenými nástrojmi a prístupmi nielen odpovedá, ale aj sám koná, a preto mu nepatria heslá, súkromné kľúče ani plné API kľúče. Číta poštu, zapisuje do systémov a spúšťa príkazy, takže chyba alebo útok sa prejaví ako skutočný krok, nie ako zlá odpoveď. Riziko zmenšia najmenšie oprávnenia, vlastný účet s krátkodobým tokenom, schválenie človekom pri nevratných krokoch a izolované prostredie. Úplnú ochranu nedá nikto: britské NCSC pripúšťa, že sa prompt injection možno nikdy nepodarí úplne zmierniť.

Čím sa agent líši od chatbota

OWASP v zozname rizík pre aplikácie s jazykovými modelmi opisuje agency ako schopnosť volať funkcie a komunikovať s inými systémami cez rozšírenia, teda nástroje či pluginy. Z toho vzniká riziko Excessive Agency (LLM06): škodlivé kroky v reakcii na neočakávaný alebo zmanipulovaný výstup modelu. Podľa OWASP ho spravidla spôsobí zbytočná funkcia, príliš široké oprávnenie alebo príliš veľká samostatnosť.

NCSC v blogu z 20. augusta 2026 uvádza viacero nedávnych incidentov, pri ktorých AI systémy vykonali neschválenú alebo nechcenú činnosť. Pripomína, že agent nemá zdravý rozum a pokyny môže chápať doslovne, a čím väčšia je jeho samostatnosť, tým väčší je dosah zlyhania.

Čo agentovi nedávať do rúk

Čo agent nevidí, to nemôže vyzradiť ani zneužiť. NCSC zaraďuje medzi poverenia, ktoré tvoria možný dosah škody, API kľúče, OAuth udelenia, kľúče SSH a všetky prihlásené relácie, ku ktorým sa agent dostane.

Heslá a reťazce na pripojenie k databáze nepatria ani do systémového promptu. OWASP (LLM07:2025) píše, že ho netreba považovať za tajomstvo ani za bezpečnostnú kontrolu, a radí presunúť citlivé údaje do systémov, ku ktorým model nemá priamy prístup. Prepisy práce agenta navyše podľa NCSC môžu obsahovať citlivé údaje, takže heslo vložené do zadania úlohy sa môže neskôr objaviť v zázname.

Anthropic to pri Claude Code na webe rieši tak, že citlivé poverenia, napríklad prístupy ku gitu alebo podpisové kľúče, nikdy nie sú v izolovanom prostredí spolu s modelom: samostatná služba overí obsah operácie, napríklad či sa zapisuje len do nastavenej vetvy, a až potom pripojí skutočný token. NCSC radí podobne: sprostredkovateľ vkladá poverenia do požiadaviek tak, aby ich agent nikdy nevidel.

Prompt injection: pokyn, ktorý nepríde od vás

Agent číta aj obsah, ktorý nenapísal nikto z vás: e-maily, weby, dokumenty. Útočník doň môže vložiť škodlivé pokyny a snaží sa agenta primäť k nechceným krokom, napríklad odoslať citlivé údaje používateľa alebo spustiť stiahnutý škodlivý kód. Americké centrum CAISI pri NIST to nazýva agent hijacking, teda nepriama prompt injection.

NCSC v decembri 2025 vysvetlilo, prečo sa to nedá jednoducho vyfiltrovať: súčasné jazykové modely nevynucujú hranicu medzi pokynmi a údajmi v prompte, preto sa prompt injection možno nikdy nepodarí úplne zmierniť tak, ako SQL injection. Pred filtrami zakázaných fráz typu „ignoruj predošlé pokyny“ varuje, lebo útok sa dá preformulovať nekonečne veľa spôsobmi. Odporúča zmenšovať riziko a dosah a pripomína pravidlo, ktoré cituje: keď model spracúva informácie od nejakej strany, jeho oprávnenia klesnú na úroveň tej strany. Agent, ktorý číta poštu od náhodných cudzích ľudí, nemá mať prístup k privilegovaným nástrojom.

Že nejde o teóriu, ukazuje súťaž spoločnosti Gray Swan, ktorú opisuje blog CAISI z 23. marca 2026: z viac než 250 000 pokusov od viac než 400 účastníkov sa našiel aspoň jeden úspešný útok proti každému z 13 špičkových modelov.

Ako agenta obmedziť: päť krokov

1. Najmenšie oprávnenia a úzke nástroje. OWASP radí dať agentovi len rozšírenia, ktoré nevyhnutne potrebuje, a vyhnúť sa otvoreným funkciám typu „spusti príkaz v shelli“. Asistentovi, ktorý má poštu sumarizovať, stačí právo čítať, nie mazať ani odosielať. K databáze ho pripojte identitou, ktorá smie čítať len potrebnú tabuľku.
2. Vlastná identita a krátka platnosť poverení. NCSC chce, aby mal každý agent jedinečnú identitu v triede, ktorá ho odlišuje od ľudí, a poverenia s najkratšou možnou životnosťou. OWASP dopĺňa, že kroky v mene používateľa sa majú vykonávať v jeho kontexte, cez OAuth a s minimálnym rozsahom.
3. Schválenie človekom pri nevratných krokoch. OWASP požaduje, aby človek schválil kroky s veľkým dosahom skôr, než sa vykonajú, napríklad mazanie dokumentov, odosielanie správ alebo zverejňovanie. Oprávnenie sa má overovať v cieľovom systéme, nie v modeli. Samotný pokyn v prompte podľa NCSC nestačí, treba ho spojiť s technickými a prevádzkovými kontrolami.
4. Izolované prostredie. Anthropic upozorňuje, že účinná izolácia potrebuje súbory aj sieť: bez izolácie siete by napadnutý agent mohol odoslať napríklad kľúče SSH, bez izolácie súborov by mohol z vymedzeného priestoru ujsť. NCSC radí v prostredí agenta predvolene zakázať prevádzku v oboch smeroch a povoliť len zoznam potrebných spojení. Anthropic v internom používaní zaznamenal pokles žiadostí o povolenie o 84 %, čo zmenšuje aj únavu zo schvaľovania.
5. Záznamy a vypnutie. NCSC odporúča ukladať prepisy práce agenta aj záznamy zo siete a chrániť ich pred zmenou a zmazaním. Agenta musí byť možné zastaviť okamžite, a to aj odrezaním siete a jeho spojenia s modelom. OWASP pridáva obmedzenie počtu akcií za čas, ktoré dá monitoringu šancu zasiahnuť skôr.

Dvojfaktorové overenie, relácie a správca hesiel

Druhý faktor chráni prihlásenie, nie to, čo sa deje po ňom: prihlásená relácia už druhým faktorom prešla a NCSC ju zaraďuje medzi poverenia agenta. Druhý faktor zapnite na účte, kde agenta nastavujete a kde sú jeho tokeny: kto ten účet prevezme, ovláda aj agenta. Ktorý druh druhého faktora odolá podvrhnutej stránke, opisuje článok Dvojfaktorové overenie.

Poverenia agenta patria do správcu hesiel alebo do úložiska tajomstiev a nástroj ich preberá z nastavenia, nie z textu zadania. Ako trezor funguje, opisuje článok Správcovia hesiel.

Pred prvým spustením

• Určite, kto za agenta zodpovedá a kto ho môže zastaviť. NCSC pri väčších dôsledkoch odporúča pomenovaných ľudí a sledovanie v reálnom čase.
• Pre prvé nasadenie je dobrý agent, ktorý len navrhuje alebo plní úzko vymedzenú úlohu s nízkym rizikom, ako ich opisuje NCSC. Prvé pokusy radí robiť v pracovnom čase, keď je viac ľudského dohľadu, a nočný či víkendový samostatný chod pridať, až keď si je človek istý, že kontroly fungujú.