--- title: "Audit trail pre AI agentov: úplné protokolovanie odolné voči manipulácii" description: "Audit trail pre AI agentov je úplné protokolovanie odolné voči manipulácii, ktoré zaznamenáva všetky rozhodnutia, volania nástrojov, prístupy k dátam, operácie ukladania a ľudské schválenia agenta." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/audit-trail-pre-ai-agentov-uplne-protokolovanie-odolne-voci-manipulacii" category: "AI agenti" topic: "Bezpečnosť AI agentov a OWASP" updated: "2026-10-17T15:34:52.602Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Audit trail pre AI agentov: úplné protokolovanie odolné voči manipulácii Audit trail pre AI agentov je úplné protokolovanie odolné voči manipulácii, ktoré zaznamenáva všetky rozhodnutia, volania nástrojov, prístupy k dátam, operácie ukladania a ľudské schválenia agenta. Robí autonómne správanie agenta forenzne dohľadateľným, plní regulačné povinnosti logovania a v prípade škody poskytuje dôkazy o tom, kto alebo čo spustil ktorú akciu. ## Na prvý pohľad - Audit trail musí pri každej akcii agenta zaznamenať najmenej osem dátových bodov: úplný prompt, verziu modelu a hash konfigurácie, sekvenciu volaní nástrojov s argumentmi, retrieval dopyty a ID dokumentov, výstup vrátane zdôvodnenia rozhodnutia, human-override udalosti, operácie čítania a zápisu do pamäte, ako aj náklady a latenciu. - Logy musia byť odolné voči manipulácii: WORM úložisko (Write-Once-Read-Many) a kryptografické podpisovanie na detekciu manipulácie sú štandardné vzory z výskumu OWASP. - Hnacími faktormi sú povinnosti logovania podľa EU AI Act, zodpovednosť podľa GDPR (čl. 5 ods. 2, čl. 24, čl. 32) a forenzná analýza po bezpečnostných incidentoch, napríklad keď kompromitovaný agent podľa výskumu Galileo za štyri hodiny otrávi 87 % nadväzujúcich rozhodnutí. - EU AI Act vyžaduje, aby sa automaticky generované logy vysokorizikových AI systémov uchovávali najmenej šesť mesiacov (čl. 19, čl. 26), podľa prílohy od 2. decembra 2027 alebo od 2. augusta 2028. K tomu pribúdajú odvetvové lehoty: banky a poisťovne typicky 10 rokov, zdravotníctvo podľa národného práva o zdravotnej dokumentácii (AT: § 51 ÄrzteG; DE: § 630f BGB), verejný sektor podľa archívneho zákona. - V modeli OWASP Agentic pokrýva audit trail predovšetkým ASI03 (Identity & Privilege Abuse vrátane Repudiation/Untraceability) a je predpokladom na objasnenie ASI06, ASI08 a ASI10. - Bez logov založených na pôvode (provenance) sa memory poisoning nedá preukázať: ak si agent pamätá inštrukcie, pre ktoré neexistuje žiadny záznam o pôvode (provenance record), práve to je hlavný detekčný signál. Audit trail pre [AI](https://blckalpaca.at/sk/slovnik/ai) agentov je úplné [protokolovanie odolné voči manipulácii](https://blckalpaca.at/sk/sluzby/integracia-ai-agenta), ktoré zaznamenáva všetky rozhodnutia, volania nástrojov, prístupy k dátam, operácie ukladania a ľudské schválenia agenta. Robí autonómne správanie forenzne dohľadateľným, plní regulačné povinnosti logovania a v prípade škody poskytuje dôkazy o tom, kto alebo čo spustil akciu. Na rozdiel od klasického aplikačného logovania musí umožniť rekonštrukciu rozhodovacej cesty, ktorá je špecifická pre agentov. - **Čo sa loguje:** [prompt](https://blckalpaca.at/sk/slovnik/prompt), verzia modelu/hash konfigurácie, sekvencia volaní nástrojov s argumentmi, retrieval dopyty a ID dokumentov, výstup so zdôvodnením, ľudské zásahy (human overrides), udalosti pamäte, náklady a latencia. - **Ako je chránený:** WORM úložisko (Write-Once-Read-Many) a kryptografické podpisovanie na detekciu manipulácie; odvádzanie do SIEM mimo dosahu agenta. - **Prečo je potrebný:** povinnosti logovania podľa [EU AI Act](https://blckalpaca.at/sk/slovnik/eu-ai-act), zodpovednosť podľa [GDPR](https://blckalpaca.at/sk/slovnik/gdpr) a forenzná analýza po incidentoch, ktoré eskalujú rýchlejšie, než ich dokáže klasická reakcia na incidenty zastaviť. ## Prečo agenti potrebujú vlastný audit trail Klasické [LLM](https://blckalpaca.at/sk/slovnik/llm) aplikácie len *odpovedajú*: prompt dnu, completion von. Agentické systémy naproti tomu *plánujú, uvažujú, vyberajú nástroje, zapisujú do pamäte a konajú* s minimálnym ľudským schvaľovaním jednotlivých krokov. Práve tieto vlastnosti (autonómia, používanie nástrojov a perzistentný stav) vytvárajú [rozhodovaciu cestu](https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/human-in-the-loop-hitl-design), ktorú bežné request/response logy nezachytia. V modeli OWASP pre agentické aplikácie (ASI01–ASI10, zverejnenom 9. decembra 2025) už dohľadateľnosť nie je samostatným rizikom v Top 10, ale je začlenená do iných kategórií: niekdajšia téma z pracovnej verzie „Repudiation & Untraceability“ dnes patrí pod [**ASI03 (Identity & Privilege Abuse)**](https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/tool-misuse-a-excessive-agency-ked-agenti-ai-smu-privela) a pod prierezové požiadavky na logovanie. Audit trail je tak prierezovým opatrením, vďaka ktorému sa viaceré triedy rizík dajú vôbec objasniť. Tri príklady z výskumu OWASP ukazujú, prečo je potrebný: - **ASI06: Memory & Context Poisoning:** Jediný úspešný injection útok môže perzistentnú pamäť trvalo otráviť; jedným z hlavných detekčných signálov je, že si [agent](https://blckalpaca.at/sk/slovnik/agent) „pamätá“ inštrukcie, pre ktoré *neexistuje žiadny záznam o pôvode (provenance record)*. Bez logov založených na pôvode je tento dôkaz nemožný. - **ASI08: Cascading Failures:** Podľa výskumu Galileo AI (december 2025) jediný kompromitovaný agent v simuláciách otrávil **87 % nadväzujúcich rozhodnutí v priebehu 4 hodín**, teda rýchlejšie, než to dokáže klasická reakcia na incidenty zastaviť. Iba úplný log komunikácie medzi agentmi umožňuje šírenie spätne rekonštruovať. - **ASI10: Rogue Agents:** V prehľade threat-to-control je „Audit“ popri priebežne sledovaných referenčných profiloch správania a núdzovom vypínači (kill switch) jedným z kľúčových opatrení, ktoré odhalia pretrvávajúci nesúlad (misalignment) v priebehu času. ## Čo sa musí protokolovať Výskum OWASP (časť 7.6, Audit logging) definuje **forenzný minimálny rozsah pre každú akciu agenta**, teda pre každú jednotlivú akciu, nie pre celú reláciu: | Pole logu | Obsah | Riešené riziko | | --- | --- | --- | | Úplný prompt | Používateľský, systémový a injektovaný kontext | ASI01 Goal Hijack, ASI06 | | Verzia modelu + hash konfigurácie | Ktorý model, ktoré parametre | ASI10 dôkaz driftu | | Sekvencia volaní nástrojov s argumentmi | Ktorý nástroj, ktoré parametre, v akom poradí | ASI02 Tool Misuse | | Retrieval dopyty + ID dokumentov | Ktoré zdroje sa načítali | ASI06 Memory/[RAG](https://blckalpaca.at/sk/slovnik/rag) | | Výstup + zdôvodnenie rozhodnutia | Výsledok, chain-of-thought, ak je dostupný | ASI09 Human Trust | | Human-override udalosti | Kto a kedy schválil/zamietol | ASI09, ľudský dohľad podľa EU AI Act (čl. 14) | | Operácie čítania/zápisu do pamäte | Čo sa uložilo/načítalo | ASI06 | | Náklady a latencia | Rozpočet v tokenoch/USD, čas odpovede | ASI02, Denial-of-Wallet | Rozhodujúce sú **metadáta o pôvode (provenance)**: každý záznam v pamäti by mal uchovávať zdroj, časovú pečiatku, cestu príjmu (ingestion path) a mieru istoty (confidence). [Zápisy do pamäte](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/observability-pre-ai-agentov-tracing-metriky-logy-a-evals) sú v logike OWASP bezpečnostne relevantné udalosti. Do perzistentnej pamäte sa záznam dostane iba explicitným, auditovaným zápisom, nikdy implicitne. ## Odolnosť voči manipulácii: WORM a kryptografické podpisovanie Audit trail je dôveryhodný len do tej miery, do akej je nemenný. Ak môže kompromitovaný agent alebo útočník s jeho oprávneniami (ASI03: „útočník zdedí oprávnenia agenta“) logy dodatočne zmeniť, forenzná dôkazná hodnota sa stráca. Vzory, ktoré uvádza výskum: - **WORM úložisko (Write-Once-Read-Many):** nemenné logy, ktoré po zápise už nemožno upraviť. - **Kryptografické podpisovanie:** každý záznam logu sa podpíše, takže manipulácia je rozpoznateľná (tamper detection). - **Integrácia so SIEM:** logy sa centrálne odvádzajú a sú uložené mimo dosahu agenta a jeho oprávnení na nástroje. V klasickej logike hrozieb STRIDE to rieši kategóriu *Repudiation* (popierateľnosť), ktorá v adaptácii STRIDE for AI od Microsoftu zostáva zachovaná. Ďalej platí: ak sa logujú spustenia kódu, do trailu patria aj zápisy do konfiguračných súborov mimo bežného change managementu a spúšťanie podprocesov (detekčné signály z ASI05). ## Prečo je potrebný: povinnosť logovania, zodpovednosť, forenzná analýza Regulačný hnací faktor je trojaký. **Po prvé**, [EU AI Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689) vyžaduje pre vysokorizikové AI systémy automatické zaznamenávanie udalostí počas celej životnosti (record-keeping, čl. 12), doplnené o čl. 14 (ľudský dohľad) a povinnosť monitorovania po uvedení na trh (post-market monitoring) z čl. 72. Čl. 12 a čl. 14 sa podľa [Digital Omnibus (nariadenie (EÚ) 2026/1744)](https://www.hunton.com/privacy-and-cybersecurity-law-blog/eu-digital-omnibus-on-ai-enters-into-force) uplatňujú až od 2. decembra 2027 pre systémy podľa prílohy III a od 2. augusta 2028 pre systémy podľa prílohy I. Výskum OWASP navyše priraďuje agentické riziká k čl. 15 (robustnosť, kybernetická bezpečnosť) a konštatuje, že nasadzujúce subjekty (deployers) musia čítať katalógy hrozieb typu OWASP *popri* čl. 15, pretože harmonizované normy k máju 2026 ešte mnohé medzery neuzatvárajú. **Po druhé**, zásada zodpovednosti podľa GDPR ([čl. 5 ods. 2](https://dsgvo-gesetz.de/art-5-dsgvo/), [čl. 24](https://dsgvo-gesetz.de/art-24-dsgvo/)) vyžaduje preukázanie vhodných technických a organizačných opatrení vrátane bezpečnosti spracúvania podľa [čl. 32](https://dsgvo-gesetz.de/art-32-dsgvo/). Výskum prepája viaceré riziká priamo s GDPR. ASI03 pritom priraďuje k čl. 32 ods. 1 písm. b) (dôvernosť a integrita systémov) a k zásade konania podľa pokynov z čl. 32 ods. 4. Toto ustanovenie sa týka fyzických osôb, ktoré konajú na základe poverenia prevádzkovateľa alebo sprostredkovateľa. V prenesení na agenta to znamená: smie konať iba v rámci pokynov prevádzkovateľa, sám však nie je sprostredkovateľom. S čl. 5 ods. 1 písm. d) (správnosť) a čl. 17 (právo na vymazanie) prepája ASI06. Procesy mazania pamäte preto musia byť zosúladené s čl. 17 a aj to treba zdokumentovať. **Po tretie**, audit trail poskytuje podklady pre forenznú analýzu. Pri incidente Manufacturing Procurement Cascade (2025) bol nákupný agent počas troch týždňov postupne presvedčený, že jeho autorizačný limit je 500 000 USD; útočník potom zadal **falošné objednávky za 5 miliónov USD v 10 transakciách**. Až úplný trail zo zápisov do pamäte, volaní nástrojov a human-override udalostí umožňuje takýto priebeh typu „boiling frog“ spätne rekonštruovať a preveriť ľudský schvaľovací reťazec. Pre regulované odvetvia v Rakúsku a Nemecku pribúdajú požiadavky z práva EÚ: [NIS2](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) (riadenie prístupu a správa aktív, čl. 21(2)(i)) a DORA s riadením incidentov v oblasti IKT a ich hlásením (čl. 17–23) pre poskytovateľov finančných služieb. V rámci ISO/IEC 42001 je audit trail ukotvený v opatrení **A.6.2.8 (logovanie)**, doplnenom o A.6.2.6 (prevádzka a monitorovanie). ## Uchovávanie podľa odvetvia EU AI Act stanovuje pre vysokorizikové AI systémy spodnú hranicu: poskytovatelia ([čl. 19 ods. 1](https://artificialintelligenceact.eu/article/19/)) a nasadzujúce subjekty ([čl. 26 ods. 6](https://artificialintelligenceact.eu/article/26/)) musia automaticky generované logy, pokiaľ sú pod ich kontrolou, uchovávať najmenej šesť mesiacov, ak právo Únie alebo vnútroštátne právo neustanovuje inak. K tomu pribúdajú odvetvové lehoty: | Sektor | Uchovávanie | | --- | --- | | Vysokorizikové AI systémy (EU AI Act, naprieč odvetviami) | najmenej 6 mesiacov (čl. 19 ods. 1, čl. 26 ods. 6), uplatňuje sa od 2. decembra 2027 (príloha III), resp. od 2. augusta 2028 (príloha I) | | Banky | typicky 10 rokov (orientačná hodnota z výskumu OWASP) | | Poisťovne | typicky 10 rokov (orientačná hodnota z výskumu OWASP) | | Zdravotníctvo | pri logoch, ktoré sú súčasťou zdravotnej dokumentácie pacienta, podľa národného práva o dokumentácii, napr. AT: [§ 51 ods. 3 ÄrzteG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10011138&Paragraf=51) (najmenej 10 rokov), v nemocniciach (Krankenanstalten) podľa práva spolkových krajín na základe [§ 10 ods. 1 bod 3 KAKuG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10010285&Paragraf=10) (chorobopisy spravidla najmenej 30 rokov), DE: [§ 630f ods. 3 BGB](https://www.gesetze-im-internet.de/bgb/__630f.html) (10 rokov po skončení liečby); ak je AI systém zdravotníckou pomôckou, platí navyše právo zdravotníckych pomôcok (príslušné orgány, napr. BASG, BfArM, Swissmedic) | | Verejný sektor | podľa archívneho zákona | *Tento príspevok nie je právne poradenstvo. Konkrétne lehoty, uplatniteľné čísla článkov a odvetvové povinnosti si v konkrétnom prípade vyjasni so svojím právnym a compliance útvarom.* ## Praktický príklad: auditný záznam akcie nástroja Takto by mohol v pseudokóde vyzerať jeden podpísaný záznam uložený vo WORM úložisku. Každé pole zodpovedá minimálnemu štandardu OWASP: \`\`\` audit\_event { event\_id: "a1f9-…" // jednoznačné, súčasť podpisu agent\_id: "procurement-agent-07" // ASI03: Non-Human Identity timestamp: 2026-06-09T08:14:22Z model: { version, config\_hash } prompt: { user, system, injected\_context } retrieval: [ { query, doc\_ids[] } ] tool\_call: { name: "create\_purchase\_order", args: { amount: 5\_000\_000, vendor: "…" } } rationale: "Order aligns with stored authorization limit" memory\_read: [ { key: "auth\_limit", provenance: NULL } ] // <- Alarm human\_override: { approver: "none", action: "auto-approved" } // <- Alarm cost: { tokens, usd } signature: "sig:…" // kryptografická detekcia manipulácie } \`\`\` Dve polia sú tu z forenzného hľadiska najcennejšie: memory read s `provenance: NULL` ukazuje, že autorizačná hodnota nemá preukázateľný pôvod (signál ASI06), a chýbajúci ľudský override pri 5-miliónovej transakcii dokladá obídenú schvaľovaciu bránu (ASI09). Bez týchto polí by sa incident nedal objasniť. ## Pre agentúry a B2B rozhodovateľov Kto nasadzuje agentov do produkčných procesov, presúva bremeno zodpovednosti a dôkazov: v prípade sporu alebo auditu rozhoduje to, čo bolo preukázateľne zaprotokolované. Marketingové agentúry, ktoré pre klientov stavajú workflowy s agentmi, by mali audit trail od začiatku brať ako požiadavku na architektúru, nie ako dodatočné logovanie. [Blck Alpaca](https://blckalpaca.at/sk) z Viedne pomáha firmám z regiónu DACH navrhovať [agentické systémy s forenzne spoľahlivými audit trailmi v súlade s OWASP a ISO 42001](https://blckalpaca.at/sk/sluzby/riesenia-custom-enterprise-software), od metadát o pôvode cez WORM úložisko až po napojenie na SIEM. Autonómia tak zostáva dohľadateľná a obstojí pri audite. ## Často kladené otázky ### Čo musí audit trail pre AI agentov minimálne protokolovať? Podľa výskumu OWASP Agentic zahŕňa forenzný minimálny štandard pre každú akciu agenta osem polí: úplný prompt (používateľský, systémový a injektovaný kontext), verziu modelu a hash konfigurácie, sekvenciu volaní nástrojov s argumentmi, retrieval dopyty spolu s vrátenými ID dokumentov, výstup so zdôvodnením rozhodnutia (chain-of-thought, ak je dostupný), human-override udalosti, operácie čítania a zápisu do pamäte, ako aj náklady a latenciu. ### Ako dlho sa musia uchovávať audit logy AI agentov? Pre vysokorizikové AI systémy stanovuje EU AI Act spodnú hranicu: poskytovatelia (čl. 19 ods. 1) a nasadzujúce subjekty (čl. 26 ods. 6) musia automaticky generované logy uchovávať najmenej šesť mesiacov, ak právo Únie alebo vnútroštátne právo neustanovuje inak. Podľa Digital Omnibus (nariadenie (EÚ) 2026/1744) platí táto povinnosť pre systémy podľa prílohy III od 2. decembra 2027 a pre systémy podľa prílohy I od 2. augusta 2028. K tomu pribúdajú odvetvové lehoty. Pre banky a poisťovne uvádza výskum OWASP typicky 10 rokov. V zdravotníctve platí pre logy, ktoré sú súčasťou zdravotnej dokumentácie pacienta, národné právo o dokumentácii. V Rakúsku vyžaduje § 51 ods. 3 ÄrzteG najmenej 10 rokov. V nemocniciach (Krankenanstalten) platí pre chorobopisy podľa zákonov spolkových krajín o nemocniciach na základe § 10 ods. 1 bod 3 KAKuG spravidla najmenej 30 rokov. V Nemecku platí § 630f ods. 3 BGB (10 rokov po skončení liečby). Pre verejný sektor platí príslušný archívny zákon. Konkrétnu lehotu si v konkrétnom prípade vyjasni so svojím právnym a compliance útvarom; toto nie je právne poradenstvo. ### Ako zabezpečiť audit trail proti manipulácii? Vzory uvedené vo výskume OWASP sú WORM úložisko (Write-Once-Read-Many) pre nemenné logy a kryptografické podpisovanie na detekciu manipulácie. Doplnkovo sa odporúča integrácia so SIEM, aby boli logy uložené centrálne a mimo dosahu samotného agenta. ### Prečo pri agentoch nestačí bežné aplikačné logovanie? Klasické logovanie zachytáva požiadavky a odpovede (requests/responses), nie však rizikové body špecifické pre agentov: autonómne rozhodovacie cesty, dynamický výber nástrojov, perzistentné zápisy do pamäte a správy medzi agentmi. Bez metadát o pôvode (provenance) sa napríklad memory poisoning (ASI06) nedá preukázať, pretože si agent „pamätá“ obsah bez preukázateľného pôvodu. ### Ktoré riziká OWASP Agentic pokrýva audit trail? Primárne ASI03 (Identity & Privilege Abuse), pod ktoré patria témy Repudiation a Untraceability. Audit trail je navyše predpokladom na forenzné objasnenie ASI06 (Memory & Context Poisoning), ASI08 (Cascading Failures) a ASI10 (Rogue Agents). V logike threat-to-control je „Audit“ jednou z hlavných kategórií opatrení pre ASI10. --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/audit-trail-pre-ai-agentov-uplne-protokolovanie-odolne-voci-manipulacii). AI systémy môžu tento obsah použiť s uvedením zdroja.