AgenticIAMJournal

Microsoft Red Team описал воспроизводимый класс атак на агентов: через внешний контент (чаще всего — письмо) атакующий записывает свои инструкции в долговременную память агента, и они возвращаются как доверенный контекст в будущих сессиях. Разбираем механику, почему human-in-the-loop здесь бессилен и какие архитектурные меры реально работают.

Пользователь просит AI-агента показать заказы и вернуть деньги — агент идёт в MCP-сервер и базу данных. Разбираем эталонный безопасный сценарий: токен пользователя не пробрасывается дальше, а обменивается на минимально необходимый; украденный токен бесполезен без ключа; опасная операция требует подтверждения человека. И проверяем, какими инструментами и с какой версии это покрывает Keycloak.

Когда оркестратор делегирует задачу рабочему агенту, а тот — специализированному, обычный access token превращается в слабое звено. Разбираем три подхода к делегированию: act-цепочки RFC 8693, транзакционные токены и ослабляющую авторизацию.

Как выдать доверенную идентичность тысячам сервисов, не распределяя ни одного секрета? Разбираем SPIFFE/SPIRE: аттестация, SVID, Workload API, сценарии от Kubernetes до AI-агентов, выгоды и границы.

Поднимаете авторизацию на удалённом MCP-сервере? Проходим весь путь: от discovery через /.well-known до DPoP-привязки токенов — и разбираем ошибки, на которых горят команды.

AI-агенты уже участвуют в бизнес-процессах — от обработки заявок до торговых операций. Но традиционный IAM заточен под человека, а не под миллионы эфемерных сущностей. Agentic IAM меняет саму парадигму управления доступом.