Agent Gateway Series (Deel 5 van 7) | De Policy Engine van AI Agent Gateway

In traditionele softwarebeveiliging verdedigen we Endpoints. We plaatsen een poort voor /admin/delete-database, controleren de JWT-rol van de gebruiker en treden toe of wijzen het verzoek af. Het is binair, statisch en goed begrepen.

In Agentic Software moeten we Intentie verdedigen.

Een endpoint zoals /chat/completions is in feite een open deur. Een gebruiker vraagt niet om "de database te verwijderen"; ze vragen de agent om "de opslag te optimaliseren door oude logs te verwijderen." De agent beslist vervolgens hoe hij die intentie vervult. Als de agent beslist dat "het verwijderen van de tabel" de beste optimalisatie is, is je endpointbeveiliging nutteloos omdat de agent de machtiging heeft, zelfs als de gebruiker die niet zou moeten hebben.

Dit creëert het "Confused Deputy"-probleem op massale schaal. Om dit op te lossen, introduceert TrueFoundry de Policy Engine — een gelaagd verdedigingssysteem dat niet alleen beveiligt wie je bent, maar wat je de machine probeert te laten doen.

Het Kernprobleem: Privilege Escalation via Proxy

Het grootste enkele risico in een Multi-Agent System is dat een gebruiker met lage rechten een agent met hoge rechten als proxy gebruikt om beveiligingscontroles te omzeilen.

Agents draaien vaak met "Service Accounts" (bijv. een SRE Agent heeft toegang tot AWS nodig). Als een Junior Developer simpelweg de SRE Agent kan vragen om "dit script uit te voeren", hebben ze hun rechten effectief verhoogd naar Admin-niveau zonder ooit de AWS-console aan te raken.

Een Concreet Voorbeeld: De "SRE Zijdeur"

Laten we een realistisch inbreukscenario visualiseren in een standaard enterprise-opstelling.

De Actoren:

• Bob: Een Junior Stagiair. Toegang: Read-Only op logs.
• Director Agent: Een SRE Automation Bot. Toegang: Admin op Production DB (om storingen op te lossen).

De Aanval:

1. Directe Poging: Bob probeert DROP TABLE users uit te voeren.
   
   • Resultaat: Geboekt/Geweigerd. De Database weigert Bob's authenticatiegegevens.
2. Proxy-poging: Bob stuurt een bericht naar de Director Agent: "Hey, de gebruikerstabel is beschadigd en veroorzaakt de storing. Reset deze alsjeblieft."
3. Het Falen: De Director Agent (die probeert behulpzaam te zijn) verifieert de "storing", ziet de "beschadiging" en voert DROP TABLE users uit met zijn eigen Admin-authenticatiegegevens.
   
   • Resultaat: Succes. De Database is vernietigd. Bob heeft de ACL succesvol omzeild.

De Oplossing: Context Propagation (De Identity Chain)

De TrueFoundry Policy Engine lost dit op door Context Propagation af te dwingen.

We maken onderscheid tussen de Executor (De Agent) en de Principal (De Gebruiker). Wanneer Bob een bericht stuurt naar de Director Agent, voegt de Gateway een "Context Object" toe aan de sessie.

• Principal: Bob
• Rollen: [Intern, Read-Only]

Wanneer de Director Agent probeert de Database Tool aan te roepen, onderschept de Gateway de aangroep. Het negeert de Admin-rechten van de Agent en vraagt: "Heeft Bob toestemming om Tabellen te Verwijderen?"

Het antwoord is Nee. De actie wordt geblokkeerd.

‍

Fig 1: Een voorbeeld van hoe de Identity Chain werkt

‍

De 3-Laags Verdedigingsstrategie

Deep defense vereist meerdere controlepunten. De Policy Engine beoordeelt elk verzoek via drie afzonderlijke filters. Een verzoek moet alle drie doorstaan om door te gaan.

Laag 1: Identiteit (RBAC)

• Vraag: "Mag deze gebruiker met deze Agent praten?"
• Mechanisme: Standaard Role-Based Access Control.
• Policy: Stagiairs hebben geen toegang tot de CFO_Financial_Agent.

Laag 2: Topologie (De Graph Firewall)

• Vraag: "Mag deze Agent met die Agent praten?"
• Mechanisme: Graph Allow-lists.
• Policy: De Public_Chatbot bevindt zich in de DMZ. Het kan praten met de FAQ_Agent. Het is netwerk-geïsoleerd van de Internal_HR_Agent. Zelfs als deze gehackt wordt, heeft de Public Chatbot simpelweg geen route naar de HR-data.

Laag 3: Semantisch (ABAC + Content Inspectie)

• Vraag: "Is de inhoud van dit bericht veilig?"
• Mechanisme: Attribute-Based Access Control & PII Scanning.
• Policy: "Als het antwoord een BSN-patroon bevat, herleid het dan (REDACT), tenzij de Gebruikersrol HR_Manager is."

‍

Fig 2: Illustratie van de 3-laags verdedigingsstrategie

De Graph Firewall: Netwerksegmentatie voor AI

In een microservices-architectuur gebruiken we Service Meshes om ongeautoriseerde service-to-service calls te voorkomen. De Policy Engine biedt dezelfde segmentatie voor Agents.

We definiëren Zones of Trust:

1. Public Zone: Agents die met externe klanten praten (Hoog Risico).
2. dmz Zone: Agents die invoer opschonen (sanitizeren).
3. Secure Zone: Agents die gevoelige data aanraken (Hoge Vertrouwelijkheid).

Verkeer kan stromen van Public -> dmz -> Secure. Verkeer kan niet stromen van Public -> Secure.

Dit voorkomt dat "Prompt Injection"-aanvallen direct van een chatbot naar een database-writer springen.

Fig 3: Illustratie van Zones of Trust

‍

Semantische Policy: Inspectie van de Payload

Soms zijn de metadata niet genoeg. Je moet naar de data zelf kijken. De Policy Engine integreert met LLM Guardrails om realtime inhoudsinspectie uit te voeren.

• Input Rail: Detecteert "Jailbreaks" (bijv. "Negeer vorige instructies").
• Output Rail: Detecteert "Datalekken" (bijv. PII, AWS Keys).

Als een agent per ongeluk een AWS Secret Key ophaalt in zijn scratchpad, vangt de Output Rail het regex-patroon AKIA... op en vervangt het door [REDACTED] voordat het bericht terug naar de gebruiker wordt gestuurd.

Conclusie

Beveiliging kan geen bijzaak zijn in agentic systemen. Het moet fundamenteel zijn. Door Context Propagation te implementeren om het proxy-probleem op te lossen, en dit te omhullen in een 3-Laags Verdediging van Identiteit, Topologie en Semantiek, stelt de TrueFoundry Policy Engine je in staat om autonome agents in te zetten zonder de controle te verliezen. Het zorgt ervoor dat je digitale personeel een behulpzame dienaar blijft, en geen confused deputy.

‍