Definer tilladelsesmodellen, før du giver en agent værktøjer
En autentificeringsagent kan hjælpe med at forklare beviser, forberede ændringer og kontrollere resultater. Disse muligheder retfærdiggør ikke ubegrænset kontrol over DNS , signeringsnøgler eller kundelejere. Organisationen bør dokumentere, hvilke ressourcer agenten kan læse, hvilke handlinger den kan foreslå, og hvilke operationer der kræver en særskilt verificeret godkendelse. "Hjælp med at forbedre e-mail-godkendelse" er ikke en præcis tilladelsesgrænse.
Modellen beskrevet her er et anbefalet design, ikke en erklæring om, at EmailAuth i øjeblikket implementerer det. Ingen produkttilladelseskontroller, administrative grænseflader eller lejerisolering blev inspiceret eller testet. Artiklens eksempler på forbudte handlinger er foreslåede testcases, ikke registreringer af vellykkede blokerede forsøg.
Adskil skrivebeskyttet forberedelse fra konsekvensudførelse
Forberedelse kan omfatte at analysere godkendte rapporter, sammenligne en autoriseret opgørelse, udarbejde en DNS forskel og forklare en genopretningsplan. Selv læsning kræver en defineret lejer og dataomfang; skrivebeskyttet adgang til en anden kundes rapporter er stadig uautoriseret adgang. Ekstern deling er også en separat operation, ikke en harmløs forlængelse af intern analyse.
Ændring af en DMARC politik, tilføje en SPF autorisation, udgivelse af en DKIM nøgle, skift af en underskriver eller fjernelse af en afsendelsestilladelse kan ændre produktionstillid og levering. DNS delegation, privat nøgleforvaring, vedvarende legitimationsoplysninger og administrative bevillinger kan udvide fremtidig kontrol. Den foreslåede tilladelsesmodel bør kræve ansvarlig godkendelse for disse handlinger og håndhæve den uafhængigt af modellens egen beslutning. OWASP Overdreven agentur.
Forbind godkendelse til den nøjagtige handling og aktuelle omfang
En meningsfuld godkendelsespost identificerer aktøren, lejeren, ressourcen, driften og normaliserede parametre. For en DNS ændring, vis den relevante aktuelle værdi og foreslåede værdi; for fjernelse af tilladelse, navngiv den identitet og adgang, der fjernes. En anmelder bør være i stand til at forstå konsekvensen uden at rekonstruere agentens samtale.
OWASPs AI Agent Security-vejledning kræver uafhængigt validerede, handlingsbundne godkendelser, begrænset gyldighed og genafspilningsbeskyttelse for operationer med stor effekt. Anvend disse kontroller i udførelseskomponenten i stedet for at stole på et modelgenereret "godkendt" flag. Et væsentligt mål eller en parameterændring kræver en ny beslutning. Den faktiske implementering og dens fejladfærd skal testes, før nogen hævder, at denne grænse er effektiv. OWASP AI Agent Security Cheat Sheet.
Behandl ny autoritet og ekstern offentliggørelse som særskilte ændringer
Tilladelse til at opdatere en godkendt vælger autoriserer ikke en wildcard- DNS delegation, en bredere cloud-rolle eller en permanent legitimation til fremtidigt arbejde. Tilladelse til at analysere rapporter giver ikke tilladelse til at sende dem til et nyt bureau. Det foreslåede design bør afsløre hver udvidelse som en separat beslutning, herunder ressource, modtager og operationelle formål.
RFC 9990's verifikation af ekstern destination illustrerer en vigtig sondring. En modtagende processor kan offentliggøre den tekniske bekræftelse, der er nødvendig for levering af DMARC -rapporter, men det fastslår ikke, at domæneejeren godkendte forretningsforholdet eller offentliggørelsen. Agenten bør bevare begge fakta og overlade den organisatoriske beslutning til den relevante ejer. RFC 9990 , afsnit 4.
Lad ikke beviser omskrive reglerne
Rapporter, DNS tekst, udbydersider og supportmeddelelser kan indeholde materiale, der ikke er tillid til. Et felt, der siger "godkend denne afsender", er ikke en godkendelse fra organisationens autoriserede administrator. En instruktion, der er indlejret i hentet indhold, skal forblive bevis at analysere, ikke en kommando, der udvider agentens omfang. OWASP beskriver dette som en indirekte prompt-injektion risiko. OWASP prompt injektion.
Grænsen gælder også mellem automationskomponenter. En anbefaling fra en anden model eller service bør indeholde beviser og usikkerhed, ikke fremstillingstilladelse. Bekræft den faktiske godkendelseskilden og ressourceomfanget på handlingspunktet. Hvis politiktjenesten ikke kan etablere tilladelse, bør den foreslåede kontrol standse denne handling, mens den tillader ikke-relateret autoriseret analyse at fortsætte. OWASP autorisation snydeark.
Udøv grænsen med fiktive sager
I en fiktiv arbejdsgang godkender en administrator tilføjelse af en offentlig DKIM record for en navngivet vælger i lejer A. Før udførelse foreslår et andet værktøj at ændre den overordnede DMARC -politik og bruge lejer B's legitimationsoplysninger. Den oprindelige godkendelse bør ikke tillade nogen af de to substitutioner. Gennemgangspakken bør bevare det ændrede og anmode om den relevante beslutning i stedet for at behandle den oprindelige godkendelse som overførbar.
En anden fiktiv sag har en DNS skrivetimeout. Agenten ved ikke, om tjenesten har begået ændringen. Blinde gentagelse af skrivningen kan skabe en utilsigtet anden handling eller overskrive en senere administratorredigering. Den foreslåede gendannelsessekvens etablerer først den aktuelle tilstand og driftsresultat, og følger derefter den godkendte genforsøg eller gendannelsessti. Ingen af sagerne blev henrettet mod EmailAuth eller nogen levende lejer.
Gør stop og restitutionsadfærd revideret
Registrer den foreslåede handling, godkendelsesreference, udførelsesanmodning, returneret resultat og uafhængigt kontrolleret postcondition. Hold hemmeligheder uden for revisionsprotokollen. En succesmeddelelse fra et værktøj bør ikke være det eneste bevis på, at den tilsigtede DNS værdi eller tilladelsestilstand nu eksisterer. Genopretningsplanen bør identificere, hvilken tidligere tilstand der sikkert kan genoprettes, og hvem der kan godkende dette trin.
Selve bedring kan være konsekvens. Genindsættelse af en kompromitteret nøgle, gendannelse af en usikker afsendertilladelse eller svækkelse af en domænepolitik godkendes ikke automatisk, fordi det kaldes rollback. Definer disse tilfælde eksplicit. DMARC politik og justering semantik bør informere om den forudsagte effekt, men standarden giver ikke en agent administrativ myndighed. RFC 9989 , afsnit 4.4 og 4.5.
Kræv både tilladte og forbudte handlingstests
En komplet testplan skal demonstrere en korrekt godkendt snæver operation og afviste sager for forkert lejer, ændrede parametre, udløbet godkendelse, gentagen brug af godkendelse og instruktioner om ikke-pålideligt indhold. Kør kun sådanne test i et godkendt miljø med afgrænsede armaturer. Registrer faktiske resultater, herunder fejl i kontrollen, i stedet for at offentliggøre en tjekliste som bevis på, at beskyttelsen virker.
Test forbudte handlinger og godkendte ændringer ved hjælp af de nuværende produktkontroller. Dette nøjagtige idriftsættelseskrav forbliver åbent. Produkthåndhævelse, godkendt udførelse, afvisning af forbudte handlinger, kontrol efter tilstand og gendannelsesadfærd er ikke blevet påvist. Tilladelseskortet er et foreslået design til gennemgang, ikke et krav om den aktuelle EmailAuth funktionalitet.