Agent AI: co to jest i jak bezpiecznie używać go w firmie

Agent AI: co to jest?

Agent AI to program, w którym model językowy dostaje cel, narzędzia i uprawnienia, a potem sam decyduje o kolejnych krokach, żeby ten cel osiągnąć. Może przeszukać skrzynkę, otworzyć stronę, wypełnić formularz, zapisać plik albo wywołać system firmowy, bez zatwierdzania przez Ciebie każdego ruchu.

OWASP Top 10 for Agentic Applications, opublikowane 9 grudnia 2025, opisuje agentów jako systemy, które planują, mają pamięć, wywołują narzędzia i działają z przekazanymi im uprawnieniami. Narzędzia agent często dostaje przez serwery MCP.

Agent AI a asystent AI: na czym polega różnica

Asystent AI odpowiada, a działa człowiek. Prosisz o szkic maila, dostajesz tekst, wysyłasz go sam. Błąd asystenta kończy się na złym tekście, który możesz poprawić.

Agent AI działa sam. Prosisz o odpowiedź na zaległe maile, a agent je czyta, pisze i wysyła. Błąd agenta to wysłany mail, wykonany przelew albo skasowany plik.

Granica jest płynna, bo ten sam produkt potrafi działać w obu trybach. Dla bezpieczeństwa liczy się jedno pytanie: czy system może zrobić coś w świecie bez Twojego kliknięcia? Jeśli tak, traktuj go jak agenta. Przykłady w firmie: bot, który sam odpowiada klientom i wystawia zwroty, asystent w edytorze kodu, który uruchamia polecenia w terminalu, automatyzacja, która czyta faktury i przygotowuje przelewy do akceptacji.

Bezpieczeństwo agentów AI: co może pójść nie tak

Pierwsze trzy pozycje listy OWASP dla agentów to dobra mapa ryzyk. ASI01, przejęcie celu agenta: tekst, który agent czyta, zmienia to, co agent próbuje osiągnąć. To jest prompt injection w wersji ze skutkami. ASI02, nadużycie narzędzi: agent używa narzędzi, do których ma prawo, w szkodliwy sposób, w pętli albo na masową skalę. ASI03, nadużycie tożsamości i uprawnień: agent działa z szerszymi prawami, niż ktokolwiek zamierzał mu dać.

Starsza lista OWASP dla LLM (pozycja LLM06, nadmierna sprawczość) wskazuje trzy źródła szkód: za dużo funkcji, za dużo uprawnień i za dużo autonomii. Każde z nich da się ograniczyć konfiguracją, zanim cokolwiek pójdzie nie tak.

Kluczowa obserwacja: agent nie musi zostać „zhakowany”. Wystarczy, że przeczyta złośliwy dokument, stronę albo maila i potraktuje zawarte w nich zdanie jak polecenie. Dlatego pytanie przy wdrożeniu brzmi nie „czy agent jest bezpieczny”, tylko „co się stanie, jeśli zrobi najgorszą rzecz, na którą pozwalają mu uprawnienia”.

Przeglądarki z agentem: Comet, ChatGPT Atlas i treść ze stron

Przeglądarka z agentem to przeglądarka, w której model może sam klikać, przewijać i wypełniać formularze na stronach, na których jesteś zalogowany. To najbardziej bezpośrednie zetknięcie agenta z niezaufaną treścią, bo każda odwiedzona strona jest wejściem dla modelu.

Brave 20 sierpnia 2025 opisał podatność w przeglądarce Comet firmy Perplexity: polecenia ukryte w komentarzu na Reddicie, przeczytane przy prośbie o streszczenie strony, kazały agentowi odczytać adres e-mail użytkownika, wywołać kod jednorazowy, odczytać go z zalogowanej skrzynki Gmail i opublikować oba w odpowiedzi. Brave zalecił oddzielanie treści użytkownika od treści strony, potwierdzanie wrażliwych działań przez człowieka i odizolowanie trybu agenta od zwykłego przeglądania.

OpenAI przy przeglądarce ChatGPT Atlas opisuje w centrum pomocy zabezpieczenia trybu agenta: brak uruchamiania kodu i pobierania plików, tryb bez zalogowania do Twoich kont oraz tryb, w którym na wrażliwych stronach, na przykład bankowych, musisz mieć kartę na wierzchu i patrzeć. W grudniu 2025 firma napisała, że prompt injection, podobnie jak oszustwa w sieci, prawdopodobnie nigdy nie zostanie w pełni rozwiązany (OpenAI).

Praktycznie: do zadań na nieznanych stronach używaj trybu bez zalogowania. Nie zostawiaj agenta samego na stronach banku, poczty i paneli administracyjnych.

Zasada najmniejszych uprawnień w praktyce

Zasada najmniejszych uprawnień znaczy: agent dostaje dokładnie to, czego wymaga konkretne zadanie, i nic na zapas. Przeglądaj te uprawnienia regularnie, bo agenci zwykle dostają nowe narzędzia szybciej, niż ktoś odbiera im stare. W praktyce:

1. Osobne konto lub token dla agenta, nie konto administratora i nie Twoje pełne konto. 2. Odczyt zamiast zapisu, gdzie zadanie na to pozwala. 3. Lista dozwolonych adresów i odbiorców zamiast „cały internet”. 4. Działanie w kontekście użytkownika, który zleca zadanie, żeby agent nie widział więcej niż ten człowiek. OWASP LLM06 zaleca też, żeby o dostępie decydował system docelowy, a nie model.

Sprawdź przy tym zabójcze trio Simona Willisona: prywatne dane, niezaufana treść i możliwość wysyłki na zewnątrz w jednym agencie to przepis na wyciek. Odetnij choć jedno.

Człowiek w pętli: płatności, wysyłka i usuwanie

Człowiek w pętli to zasada, że określone działania agent tylko przygotowuje, a wykonuje je dopiero po zatwierdzeniu przez człowieka. Zalecają to OWASP (LLM01 i LLM06) i Brave.

Minimalna lista działań do zatwierdzenia: każda płatność i zmiana danych do płatności, wysyłka na zewnątrz (mail, wiadomość, publikacja, udostępnienie pliku), usunięcie danych, zmiana uprawnień i ustawień bezpieczeństwa, zakup i akceptacja regulaminu.

Zatwierdzenie ma sens tylko wtedy, gdy człowiek widzi, co dokładnie zatwierdza: pełnego odbiorcę, kwotę, treść. Okno „agent chce wykonać działanie, OK?” bez szczegółów uczy klikania bez czytania.

Logi i wyłącznik

Logi agenta powinny pozwolić odpowiedzieć na trzy pytania: co zrobił, kiedy i na czyje polecenie, razem z treścią, która go do tego skłoniła. Bez tego nie wyjaśnisz incydentu ani nie odróżnisz błędu modelu od ataku. Logi trzymaj poza zasięgiem samego agenta, żeby nie mógł ich zmienić ani usunąć.

Wyłącznik to możliwość natychmiastowego zatrzymania agenta i odebrania mu tokenów bez szukania ustawień. Sprawdź przed wdrożeniem, kto to potrafi zrobić i ile to trwa. Zaplanuj też, co dzieje się z zadaniami w toku po zatrzymaniu, żeby agent nie zostawił operacji wykonanej w połowie.

Agent AI w firmie: od czego zacząć

1. Spisz, jakich agentów, asystentów z trybem działania i przeglądarek z agentem już używacie, także tych podłączonych przez pracowników na własną rękę (shadow AI). 2. Przy każdym zapisz uprawnienia żądane i potrzebne. 3. Ustal listę działań wymagających zatwierdzenia. 4. Zapisz zasady w polityce korzystania z AI. 5. Przetestuj agenta na dokumencie z ukrytym poleceniem, zanim dostanie prawdziwe dane.

Jeśli chcesz, żeby uprawnienia, zatwierdzenia, ślad działań i odporność na wstrzyknięcie treści sprawdził ktoś z zewnątrz, zakres opisujemy na stronie agenci i serwery MCP. Wynik mówi, co sprawdziliśmy, czego nie i co poprawić.