Audit trail pre AI agentov: úplné protokolovanie odolné voči manipulácii

Audit trail pre AI agentov je úplné protokolovanie odolné voči manipulácii, ktoré zaznamenáva všetky rozhodnutia, volania nástrojov, prístupy k dátam, operácie ukladania a ľudské schválenia agenta. Robí autonómne správanie forenzne dohľadateľným, plní regulačné povinnosti logovania a v prípade škody poskytuje dôkazy o tom, kto alebo čo spustil akciu. Na rozdiel od klasického aplikačného logovania musí umožniť rekonštrukciu rozhodovacej cesty, ktorá je špecifická pre agentov.

• Čo sa loguje: prompt, verzia modelu/hash konfigurácie, sekvencia volaní nástrojov s argumentmi, retrieval dopyty a ID dokumentov, výstup so zdôvodnením, ľudské zásahy (human overrides), udalosti pamäte, náklady a latencia.
• Ako je chránený: WORM úložisko (Write-Once-Read-Many) a kryptografické podpisovanie na detekciu manipulácie; odvádzanie do SIEM mimo dosahu agenta.
• Prečo je potrebný: povinnosti logovania podľa EU AI Act, zodpovednosť podľa GDPR a forenzná analýza po incidentoch, ktoré eskalujú rýchlejšie, než ich dokáže klasická reakcia na incidenty zastaviť.

Prečo agenti potrebujú vlastný audit trail

Klasické LLM aplikácie len odpovedajú: prompt dnu, completion von. Agentické systémy naproti tomu plánujú, uvažujú, vyberajú nástroje, zapisujú do pamäte a konajú s minimálnym ľudským schvaľovaním jednotlivých krokov. Práve tieto vlastnosti (autonómia, používanie nástrojov a perzistentný stav) vytvárajú rozhodovaciu cestu, ktorú bežné request/response logy nezachytia.

V modeli OWASP pre agentické aplikácie (ASI01–ASI10, zverejnenom 9. decembra 2025) už dohľadateľnosť nie je samostatným rizikom v Top 10, ale je začlenená do iných kategórií: niekdajšia téma z pracovnej verzie „Repudiation & Untraceability“ dnes patrí pod ASI03 (Identity & Privilege Abuse) a pod prierezové požiadavky na logovanie. Audit trail je tak prierezovým opatrením, vďaka ktorému sa viaceré triedy rizík dajú vôbec objasniť.

Tri príklady z výskumu OWASP ukazujú, prečo je potrebný:

• ASI06: Memory & Context Poisoning: Jediný úspešný injection útok môže perzistentnú pamäť trvalo otráviť; jedným z hlavných detekčných signálov je, že si agent „pamätá“ inštrukcie, pre ktoré neexistuje žiadny záznam o pôvode (provenance record). Bez logov založených na pôvode je tento dôkaz nemožný.
• ASI08: Cascading Failures: Podľa výskumu Galileo AI (december 2025) jediný kompromitovaný agent v simuláciách otrávil 87 % nadväzujúcich rozhodnutí v priebehu 4 hodín, teda rýchlejšie, než to dokáže klasická reakcia na incidenty zastaviť. Iba úplný log komunikácie medzi agentmi umožňuje šírenie spätne rekonštruovať.
• ASI10: Rogue Agents: V prehľade threat-to-control je „Audit“ popri priebežne sledovaných referenčných profiloch správania a núdzovom vypínači (kill switch) jedným z kľúčových opatrení, ktoré odhalia pretrvávajúci nesúlad (misalignment) v priebehu času.

Čo sa musí protokolovať

Výskum OWASP (časť 7.6, Audit logging) definuje forenzný minimálny rozsah pre každú akciu agenta, teda pre každú jednotlivú akciu, nie pre celú reláciu:

Rozhodujúce sú metadáta o pôvode (provenance): každý záznam v pamäti by mal uchovávať zdroj, časovú pečiatku, cestu príjmu (ingestion path) a mieru istoty (confidence). Zápisy do pamäte sú v logike OWASP bezpečnostne relevantné udalosti. Do perzistentnej pamäte sa záznam dostane iba explicitným, auditovaným zápisom, nikdy implicitne.

Odolnosť voči manipulácii: WORM a kryptografické podpisovanie

Audit trail je dôveryhodný len do tej miery, do akej je nemenný. Ak môže kompromitovaný agent alebo útočník s jeho oprávneniami (ASI03: „útočník zdedí oprávnenia agenta“) logy dodatočne zmeniť, forenzná dôkazná hodnota sa stráca. Vzory, ktoré uvádza výskum:

• WORM úložisko (Write-Once-Read-Many): nemenné logy, ktoré po zápise už nemožno upraviť.
• Kryptografické podpisovanie: každý záznam logu sa podpíše, takže manipulácia je rozpoznateľná (tamper detection).
• Integrácia so SIEM: logy sa centrálne odvádzajú a sú uložené mimo dosahu agenta a jeho oprávnení na nástroje.

V klasickej logike hrozieb STRIDE to rieši kategóriu Repudiation (popierateľnosť), ktorá v adaptácii STRIDE for AI od Microsoftu zostáva zachovaná. Ďalej platí: ak sa logujú spustenia kódu, do trailu patria aj zápisy do konfiguračných súborov mimo bežného change managementu a spúšťanie podprocesov (detekčné signály z ASI05).

Prečo je potrebný: povinnosť logovania, zodpovednosť, forenzná analýza

Regulačný hnací faktor je trojaký. Po prvé, EU AI Act vyžaduje pre vysokorizikové AI systémy automatické zaznamenávanie udalostí počas celej životnosti (record-keeping, čl. 12), doplnené o čl. 14 (ľudský dohľad) a povinnosť monitorovania po uvedení na trh (post-market monitoring) z čl. 72. Čl. 12 a čl. 14 sa podľa Digital Omnibus (nariadenie (EÚ) 2026/1744) uplatňujú až od 2. decembra 2027 pre systémy podľa prílohy III a od 2. augusta 2028 pre systémy podľa prílohy I. Výskum OWASP navyše priraďuje agentické riziká k čl. 15 (robustnosť, kybernetická bezpečnosť) a konštatuje, že nasadzujúce subjekty (deployers) musia čítať katalógy hrozieb typu OWASP popri čl. 15, pretože harmonizované normy k máju 2026 ešte mnohé medzery neuzatvárajú.

Po druhé, zásada zodpovednosti podľa GDPR (čl. 5 ods. 2, čl. 24) vyžaduje preukázanie vhodných technických a organizačných opatrení vrátane bezpečnosti spracúvania podľa čl. 32. Výskum prepája viaceré riziká priamo s GDPR. ASI03 pritom priraďuje k čl. 32 ods. 1 písm. b) (dôvernosť a integrita systémov) a k zásade konania podľa pokynov z čl. 32 ods. 4. Toto ustanovenie sa týka fyzických osôb, ktoré konajú na základe poverenia prevádzkovateľa alebo sprostredkovateľa. V prenesení na agenta to znamená: smie konať iba v rámci pokynov prevádzkovateľa, sám však nie je sprostredkovateľom. S čl. 5 ods. 1 písm. d) (správnosť) a čl. 17 (právo na vymazanie) prepája ASI06. Procesy mazania pamäte preto musia byť zosúladené s čl. 17 a aj to treba zdokumentovať.

Po tretie, audit trail poskytuje podklady pre forenznú analýzu. Pri incidente Manufacturing Procurement Cascade (2025) bol nákupný agent počas troch týždňov postupne presvedčený, že jeho autorizačný limit je 500 000 USD; útočník potom zadal falošné objednávky za 5 miliónov USD v 10 transakciách. Až úplný trail zo zápisov do pamäte, volaní nástrojov a human-override udalostí umožňuje takýto priebeh typu „boiling frog“ spätne rekonštruovať a preveriť ľudský schvaľovací reťazec.

Pre regulované odvetvia v Rakúsku a Nemecku pribúdajú požiadavky z práva EÚ: NIS2 (riadenie prístupu a správa aktív, čl. 21(2)(i)) a DORA s riadením incidentov v oblasti IKT a ich hlásením (čl. 17–23) pre poskytovateľov finančných služieb. V rámci ISO/IEC 42001 je audit trail ukotvený v opatrení A.6.2.8 (logovanie), doplnenom o A.6.2.6 (prevádzka a monitorovanie).

Uchovávanie podľa odvetvia

EU AI Act stanovuje pre vysokorizikové AI systémy spodnú hranicu: poskytovatelia (čl. 19 ods. 1) a nasadzujúce subjekty (čl. 26 ods. 6) musia automaticky generované logy, pokiaľ sú pod ich kontrolou, uchovávať najmenej šesť mesiacov, ak právo Únie alebo vnútroštátne právo neustanovuje inak. K tomu pribúdajú odvetvové lehoty:

Tento príspevok nie je právne poradenstvo. Konkrétne lehoty, uplatniteľné čísla článkov a odvetvové povinnosti si v konkrétnom prípade vyjasni so svojím právnym a compliance útvarom.

Praktický príklad: auditný záznam akcie nástroja

Takto by mohol v pseudokóde vyzerať jeden podpísaný záznam uložený vo WORM úložisku. Každé pole zodpovedá minimálnemu štandardu OWASP:

```
audit_event {
event_id: "a1f9-…" // jednoznačné, súčasť podpisu
agent_id: "procurement-agent-07" // ASI03: Non-Human Identity
timestamp: 2026-06-09T08:14:22Z
model: { version, config_hash }
prompt: { user, system, injected_context }
retrieval: [ { query, doc_ids[] } ]
tool_call: { name: "create_purchase_order",
args: { amount: 5_000_000, vendor: "…" } }
rationale: "Order aligns with stored authorization limit"
memory_read: [ { key: "auth_limit", provenance: NULL } ] // <- Alarm
human_override: { approver: "none", action: "auto-approved" } // <- Alarm
cost: { tokens, usd }
signature: "sig:…" // kryptografická detekcia manipulácie
}
```

Dve polia sú tu z forenzného hľadiska najcennejšie: memory read s provenance: NULL ukazuje, že autorizačná hodnota nemá preukázateľný pôvod (signál ASI06), a chýbajúci ľudský override pri 5-miliónovej transakcii dokladá obídenú schvaľovaciu bránu (ASI09). Bez týchto polí by sa incident nedal objasniť.

Pre agentúry a B2B rozhodovateľov

Kto nasadzuje agentov do produkčných procesov, presúva bremeno zodpovednosti a dôkazov: v prípade sporu alebo auditu rozhoduje to, čo bolo preukázateľne zaprotokolované. Marketingové agentúry, ktoré pre klientov stavajú workflowy s agentmi, by mali audit trail od začiatku brať ako požiadavku na architektúru, nie ako dodatočné logovanie. Blck Alpaca z Viedne pomáha firmám z regiónu DACH navrhovať agentické systémy s forenzne spoľahlivými audit trailmi v súlade s OWASP a ISO 42001, od metadát o pôvode cez WORM úložisko až po napojenie na SIEM. Autonómia tak zostáva dohľadateľná a obstojí pri audite.