Securing the Agent: Vendor-Neutral, Multitenant Enterprise Retrieval and Tool Use
Dieser Beitrag schließt die kritische Sicherheitslücke in multitenanten Unternehmens-AI-Systemen, bei der die Relevanz der Abrufergebnisse die Autorisierung überlagert, indem er eine serverseitige, geschichtete Isolationsarchitektur innerhalb des Open-Source-Frameworks OGX vorschlägt und validiert, die eine policy-bewusste Ingestion und Abruf-Gating durchsetzt, um eine Datenlecks zwischen Mandanten mit vernachlässigbarem Performance-Overhead zu verhindern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine riesige, hochtechnologische Bibliothek vor, in der Tausende verschiedener Unternehmen (Mieter) Regalböden gemietet haben, um ihre geheimen Dokumente zu lagern. In dieser Bibliothek arbeiten zudem leistungsfähige Roboter (KI-Agenten), die eingestellt wurden, um spezifische Informationen zu finden und Aufgaben basierend auf den Anforderungen der Unternehmen zu erfüllen.
Der Artikel von Arceo und Narsing identifiziert einen gefährlichen Fehler in der aktuellen Funktionsweise dieser Bibliotheken und schlägt ein neues Sicherheitssystem vor, um ihn zu beheben.
Das Problem: Die „Relevanz"-Falle
In einer normalen Bibliothek reicht der Bibliothekar Ihnen, wenn Sie nach „Rezepten" fragen, die Bücher aus, die für dieses Wort am relevantesten sind. Ihm ist egal, wem die Bücher gehören; er greift einfach die besten Treffer heraus.
Die Autoren weisen darauf hin, dass dies in der Welt der KI eine Katastrophe für die Sicherheit darstellt.
- Das Szenario: Unternehmen A fragt den Roboter: „Wie reparieren wir unseren Server?"
- Der Fehler: Der Roboter durchsucht die gesamte Bibliothek. Er findet ein Dokument von Unternehmen B, das der Frage sehr ähnlich ist (vielleicht geht es dort ebenfalls um die Reparatur eines Servers).
- Das Leck: Da das Dokument ein „perfekter Treffer" für die Frage ist, reicht der Roboter es weiter. Unternehmen A hat gerade das geheime Server-Handbuch von Unternehmen B gelesen.
Der Artikel bezeichnet dies als „Relevanz-Autorisierungs-Lücke". Das System ist hervorragend darin, zu finden, was relevant ist, aber schrecklich darin zu prüfen, wer berechtigt ist, es zu sehen.
Die Lösung: Das Gebäude der „geschichteten Isolation"
Um dies zu beheben, schlagen die Autoren ein neues Gebäudedesign mit drei spezifischen Sicherheitsebenen und einer strikten Regel vor, wer die Schlüssel hält.
1. Die drei Sicherheitsebenen
Stellen Sie sich die Datenreise wie ein Paket vor, das durch eine sichere Anlage geht:
Ebene 1: Die Kennzeichnungsstation (Policy-Aware Ingestion)
Wenn ein Unternehmen einen Kasten mit Dokumenten abgibt, stempelt das System sofort jede einzelne Seite mit einem „Unternehmen A"- oder „Unternehmen B"-Etikett. Sie können das Kennzeichnen nicht nachträglich vergessen; es geschieht im Moment der Ankunft. Dies stellt sicher, dass jedes Papierstück weiß, wem es gehört.Ebene 2: Das Sicherheitstor (Retrieval Gating)
Bevor der Roboter überhaupt Bücher suchen darf, muss er ein Sicherheitstor passieren. Das Tor überprüft den Ausweis des Benutzers.- Wenn der Benutzer von Unternehmen A stammt, blockiert das Tor physisch den Gang, in dem sich die Bücher von Unternehmen B befinden.
- Der Roboter sieht die verbotenen Bücher niemals, sodass er sie nicht versehentlich aushändigen kann. Dies wird als ABAC-Gating (Attributbasierte Zugriffskontrolle) bezeichnet.
Ebene 3: Das gemeinsame Gehirn (Shared Inference)
Der eigentliche „Denk"-Teil des Roboters (das KI-Modell) wird von allen geteilt, um Kosten zu sparen. Normalerweise könnte man denken, man benötige einen separaten Roboter für jedes Unternehmen, um Geheimnisse sicher zu halten. Aber da die Ebenen 1 und 2 sicherstellen, dass nur die korrekten, gekennzeichneten Dokumente dem Roboter zugeführt werden, kann der Roboter sicher geteilt werden. Es ist wie ein Koch, der für alle kocht, aber die Zutaten sind bereits sortiert, sodass der Koch versehentlich nie das geheime Rezept eines Kunden in das Gericht eines anderen Kunden mischt.
2. Die „Server-seitige" Regel
Der Artikel argumentiert, dass die Sicherheitsprüfungen innerhalb des Gebäudes (des Servers) stattfinden müssen, nicht draußen im Büro des Kunden (dem Client).
- Der alte Weg (Client-seitig): Der Computer des Kunden führt die Suche und Prüfung durch. Ein hinterhältiger Kunde könnte einfach seine Sicherheitssoftware abschalten, die Regeln ignorieren und den Roboter bitten, alles anzusehen.
- Der neue Weg (Server-seitig): Der Kunde sendet eine Anfrage, aber das interne Sicherheitsteam des Gebäudes führt die gesamte Suche, Werkzeugnutzung und Prüfung durch. Der Kunde kann nach einem „roten Auto" fragen, aber er kann das Sicherheitsteam nicht anweisen, die Regeln zu ignorieren und ihm ein „blaues Auto" zu zeigen, das jemand anderem gehört. Das Gebäude steuert, wie die Suche durchgeführt wird, und stellt sicher, dass die Regeln niemals gebrochen werden.
Die Ergebnisse: Was sie getestet haben
Die Autoren entwickelten ein Prototyp-System namens OGX (Open GenAI Stack), um diese Idee zu testen. Sie führten Experimente mit fiktiven Unternehmen und kniffligen Fragen durch, um zu sehen, was passiert.
- Sicherheit: Ohne das neue Sicherheitstor wurden in 98–100 % der Fälle geheime Dokumente anderer Unternehmen vom Roboter offengelegt. Mit dem neuen Tor wurden 0 % der Geheimnisse offengelegt. Das Sicherheitstor stoppte die Lecks vollständig.
- Geschwindigkeit: Das Hinzufügen des Sicherheitstor verlangsamte die Vorgänge nur minimal (etwa 19 Millisekunden). Dies ist wie eine winzige Pause in einem Gespräch – für Menschen kaum wahrnehmbar, aber entscheidend für die Sicherheit.
- Qualität: Da der Roboter nicht durch irrelevante Dokumente anderer Unternehmen verwirrt wurde, fand er tatsächlich die richtigen Antworten schneller und genauer.
Das Fazit
Der Artikel kommt zu dem Schluss, dass man ein geteiltes, kosteneffektives KI-System für viele verschiedene Unternehmen haben kann, ohne dass diese sich gegenseitig Geheimnisse stehlen. Man muss lediglich aufhören, sich auf die „Relevanz" eines Suchergebnisses zu verlassen und stattdessen strenge „Berechtigungs"-Prüfungen an der Tür durchsetzen, die allesamt von einem zentralen Sicherheitsteam innerhalb des Servers verwaltet werden.
Sie betonen, dass dies eine anbieterneutrale Lösung ist, was bedeutet, dass Sie nicht an ein bestimmtes KI-Unternehmen (wie OpenAI oder Google) gebunden sind; sie funktioniert mit beliebigen Open-Source- oder kommerziellen KI-Tools, die Sie wählen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.