Google chystá pro agenty počítače, které nedostanou klíče k firemním službám
Google představil Agent Compute Engine, prostředí s vlastním virtuálním počítačem pro každého agenta. Přístupové klíče k firemním službám má doplňovat až vnější brána; veřejná zkouška přijde v příštích měsících.
Google 22. října ohlásil Agent Compute Engine, cloudovou službu pro agenty, kteří spouštějí kód, pracují se soubory nebo ovládají prohlížeč. Každý má dostat vlastní oddělený virtuální počítač. Přihlašovací údaje k cílovým službám však zůstanou mimo něj. Podle Googlu už tato infrastruktura slouží Gemini, zatímco zákazníkům Google Cloudu ji firma otevře ke zkoušení v příštích měsících.
Klíč doplní až brána mimo počítač agenta
Agent není jen okno s odpovědí modelu. Potřebuje místo, kde spustí příkaz, nainstaluje knihovnu nebo otevře dokument. Google odděluje část, která volá model a rozhoduje o dalším kroku, od prostředí, které jeho příkazy vykonává. Právě vykonávající část běží v takzvané microVM, tedy malém virtuálním počítači s vlastním jádrem operačního systému. Může v něm mít i nejvyšší oprávnění správce.
V technickém rozboru návrhu Google vychází z předpokladu, že útočník může takové prostředí plně ovládnout. Uvnitř proto nemají ležet uživatelské přihlašovací údaje, dlouhodobé přístupové klíče ani obnovovací tokeny, kterými se prodlužuje přihlášení. Prostředí také nemá přístup k obvyklému cloudovému rozhraní s údaji o instanci, odkud si programy mohou vyzvedávat oprávnění.
Když agent potřebuje přečíst firemní dokument, požadavek projde přes vnější Agent Gateway. Tato brána ověří, který agent jej posílá, za kterého uživatele jedná a zda mu pravidla dovolují danou službu použít. Teprve potom do odchozího požadavku doplní potřebné přihlašovací údaje. Program uvnitř virtuálního počítače je podle návrhu vůbec neuvidí.
Totéž platí pro síť. Virtuální počítač nemá běžnou síťovou kartu ani přímou cestu do podnikové sítě. Komunikace musí přes prostředníka a vnější bránu, kde lze vynutit seznam povolených cílů. O tom, kam agent smí, tak nerozhoduje jen příkaz napsaný modelu.
Vlastní identita neznamená vlastní klíč k dokumentům
Úplně bez dokladu totožnosti prostředí nezůstává. Google mu přiděluje krátkodobou identitu založenou na standardu SPIFFE. Ten umožňuje programům prokazovat, kdo jsou, pomocí krátce platných kryptografických dokladů. Identita prostředí slouží bráně k rozpoznání původce požadavku; podle Googlu s ní nelze mimo daný počítač přímo volat cílové firemní rozhraní.
Dokumentace nezávislého projektu SPIFFE zároveň výslovně odděluje identitu od izolace. Předpokládá, že jednotlivé programy jsou dostatečně oddělené, aby si navzájem nekradly vydané doklady. Jak se takové oddělení zajistí, standard neřeší. Samotné označení SPIFFE tedy nedokládá bezpečnost celého prostředí; tu musí zajistit konkrétní provedení služby.
Google k tomu popisuje hardwarovou izolaci, ochranu hostitelského systému a kontrolu požadavků mimo virtuální počítač. Oddělení klíčů zmenšuje prostor pro jejich odcizení. Z popisu ale neplyne, že agent nemůže provést nežádoucí operaci v rozsahu oprávnění, která už dostal. Oprávnění ke čtení dokumentu a správnost rozhodnutí dokument otevřít jsou dvě různé věci.
Při čekání se uchová stav a uvolní paměť
Druhá část návrhu řeší náklady. Mezi dvěma příkazy agent čeká na další výstup modelu nebo odpověď člověka. Google nechce po celou tuto dobu rezervovat procesor a paměť. Jakmile prostředí oznámí, že nemá rozpracovaný příkaz ani úlohu na pozadí, hostitel uloží jeho stav a uspí ho. Při dalším požadavku má pokračovat z uloženého snímku.
Aktivní prostředí navíc sdílejí neměnné části paměti, například základ systému, knihovny a prohlížeč. Samostatná kopie vzniká až u stránek paměti, které konkrétní agent změní. Rozpracované uživatelské soubory se ukládají trvale, zatímco dočasná data mohou zaniknout. Agent tak nemá při každé další zprávě znovu instalovat stejné nástroje a obnovovat pracovní adresář.
Pro zájemce zatím zůstává otevřený formulář k připravované zkoušce. Oznámení neurčuje přesný den jejího spuštění ani sazby za provoz Agent Compute Engine. Příslib úspory při čekání proto zatím nelze převést na částku na zákaznické faktuře.