Tool Misuse a Excessive Agency: Keď agenti AI smú priveľa

Excessive Agency označuje príliš široko vymedzenú autonómiu, oprávnenia alebo funkcionalitu AI agenta, ktorý tak dokáže urobiť viac, než je pre jeho úlohu potrebné. Tool Misuse je zneužitie legitímnych nástrojov: prístup je autorizovaný, použitie nie. Oboje vedie k nechceným akciám, úniku dát a nekontrolovaným nákladom. V systematike OWASP tvorí Excessive Agency zastrešujúci rámec, pod ktorým sa Tool Misuse prejavuje ako konkrétne agentské riziko.

• Rýchla odpoveď 1: Excessive Agency je príčina (priveľa autonómie/práv), Tool Misuse je následok (legitímny nástroj sa použije nebezpečne alebo na iný než určený účel).
• Rýchla odpoveď 2: OWASP vedie túto tému v LLM Top 10 2025 ako LLM06:2025 a v Agentic Top 10 2026 (vydanie z 9. decembra 2025) ako ASI02 (Tool Misuse & Exploitation).
• Rýchla odpoveď 3: Hlavné protiopatrenia sú Least-Privilege, krátkodobé tokeny s obmedzeným rozsahom oprávnení, ľudské schválenie kritických akcií a tvrdé rate limity, resp. limity nákladov.

Prečo je „smieť priveľa“ skutočným problémom agentov

Klasické LLM aplikácie odpovedajú: dnu ide prompt, von vyjde completion. Agentské systémy plánujú, vyberajú nástroje, zapisujú do pamäte a konajú, pričom človek jednotlivé kroky schvaľuje len minimálne. Práve tento skok od „odpovedania“ ku „konaniu“ robí z oprávnení ústrednú bezpečnostnú otázku.

OWASP to v LLM Top 10 2025 zhŕňa pod LLM06:2025 Excessive Agency: udelenie nepreverenej autonómie konať LLM modelom pri nedostatočnom obmedzení oprávnení alebo nedostatočnom ľudskom dohľade. Tento bod bol v roku 2025 výslovne rozšírený na agentské architektúry, a tak tvorí most od rizík LLM k rizikám agentov. Z Excessive Agency priamo vychádzajú viaceré agentské riziká z OWASP Top 10 pre Agentic Applications 2026, konkrétne ASI02 (Tool Misuse), ASI03 (Identity & Privilege Abuse) a ASI10 (Rogue Agents).

Excessive Agency vzniká spravidla na troch úrovniach:

• Priveľa oprávnení: agent zdedí príliš široké práva od používateľa alebo servisného účtu, pod ktorým beží.
• Priveľa funkcionality: agent má k dispozícii nástroje, ktoré jeho úloha vôbec nevyžaduje (napríklad nástroj na mazanie alebo platby pri prípade použitia, ktorý vyžaduje iba čítanie dát).
• Priveľa autonómie: kritické akcie prebiehajú bez potvrdenia, napríklad cez zapnuté režimy Auto-Approve alebo „YOLO“.

Tool Misuse (ASI02): legitímny prístup, nelegitímne použitie

Opis ASI02 od OWASP je presný: agent koná v rámci svojich autorizovaných privilégií, legitímny nástroj však použije nebezpečne alebo inak, než bolo zamýšľané, a tak maže cenné dáta, nadmerne volá drahé API, vykonáva deštruktívne operácie alebo vynáša informácie. Dôležité je odlíšenie od ASI03: prístup je legitímny, použitie nie.

Typické útočné a chybové vektory:

• Prompt Injection, ktorá nástroj zneužije na iný účel, napríklad send_email, ktorý sa zrazu použije na phishing celej zákazníckej základne.
• Nesúlad medzi tým, ako agent interpretuje úlohu, a zámerom vývojára.
• Nebezpečné delegovanie: agent odovzdá silný nástroj subagentovi bez ochranných mechanizmov viazaných na kontext.
• Režimy Auto-Approve/„YOLO“, ktoré vypínajú potvrdzovacie prompty.

Riziká konkrétne: akcie, dáta, náklady

Tri rozmery škôd sa dajú jasne oddeliť:

Rozmer nákladov je vo svete agentov obzvlášť citlivý: OWASP ho v LLM Top 10 vedie ako LLM10:2025 Unbounded Consumption („denial-of-wallet“). Viacstupňové plány násobia spotrebu tokenov, preto každý plán potrebuje pevne vynútený rozpočet.

Zdokumentované incidenty (stav 2026)

Verejne zdokumentované sú okrem iného tieto prípady:

• Amazon Q Code Assistant (CVE-2025-8217, júl 2025): Útočníci kompromitovali GitHub token a prepašovali škodlivé inštrukcie do verzie 1.84.0 rozšírenia pre VS Code. Deštruktívne prompty v kombinácii s parametrami --trust-all-tools a --no-interactive by boli bez potvrdenia zmazali súborové systémy a cloudové zdroje (The Register). Rozšírenie bolo nainštalované u približne 1 milióna vývojárov; opravu priniesla verzia 1.85.0.
• OpenAI Operator (Embrace The Red, Johann Rehberger, február 2025): Prompt Injection v GitHub issue prinútila agenta otvoriť stránky účtov, do ktorých bol používateľ prihlásený, a vyzradiť súkromné údaje, napríklad e-mailovú adresu na Hacker News a adresu a telefónne číslo na Booking.com (Embrace The Red).
• Langflow (CVE-2025-3248): Rozšírený framework pre agentov umožňoval vo verziách pred 1.3.0 spúšťať kód bez autentifikácie (CSA Singapur). Podľa CrowdStrike od apríla 2025 viacerí aktéri hrozieb zneužívajú kritickú zraniteľnosť v Langflow, aby si v systémoch zabezpečili trvalý prístup, kradli prístupové údaje a nasadzovali malvér. Ide o zraniteľnosť v samotnom frameworku, nie o Tool Misuse v užšom zmysle: terčom je tu platforma pre agentov.

Myšlienkový experiment: limit, ktorý agentovi vyhovorili

V bezpečnostných blogoch koluje kaskáda obstarávania vo výrobe, napríklad u Stellar Cyber. Overiteľný primárny zdroj sme k nej nenašli. Prípad sa preto hodí len ako myšlienkový experiment: obstarávacieho agenta počas troch týždňov postupne „presvedčia“, že jeho autorizačný limit je 500 000 amerických dolárov. Útočník potom v 10 transakciách zadá falošné objednávky za 5 miliónov amerických dolárov. Poučenie: limit, ktorý je zapísaný iba v kontexte agenta, sa dá agentovi vyhovoriť. Ako pevná hranica patrí do nástroja alebo do gateway vrstvy.

Protiopatrenia: obrana vo vrstvách

Opatrenia sledujú životný cyklus agenta. Dôležité: žiadna jednotlivá ochrana nestačí. Vrstvy sa navzájom dopĺňajú.

K tomu pribúdajú dva architektonické princípy. Po prvé vzor gateway/proxy pred každým agentom ako centrálne miesto, ktoré vynucuje zoznamy povolených nástrojov (allow-listy), validáciu schémy, stropy nákladov, rate limity a auditné záznamy. Po druhé otázka identity: každý agent je samostatná Non-Human Identity (NHI) s vlastným životným cyklom prístupových údajov, krátkodobými tokenmi a prideľovaním just-in-time. Častou chybou pri nasadení je prevádzkovať agenta „aby to bežalo“ pod servisným účtom s právami na úrovni administrátora. Bezpečnejšia je delegovaná identita používateľa: agent koná ako človek a je obmedzený na jeho práva.

Slovo k účinnosti ľudského schvaľovania: v praxi sa z týchto brán často stáva formalita. OWASP to vedie ako samostatné riziko ASI09 (Human-Agent Trust Exploitation). Automation bias a autoritatívne znejúci výstup vedú k tomu, že ľudia žiadosti len odklepnú. Účinné brány preto vynucujú nezávislé preverenie podkladov, nie iba prikývnutie na odporúčanie agenta.

Príklad: oprávnenia pre newsletterového agenta

Marketingový agent má vytvárať a odosielať návrhy newsletterov. Excessive Agency vzniká, keď dostane plný prístup k e-mailovému systému. Least-Privilege v pseudokóde:

```
agent_role: "newsletter-draft"
tools:

• read_segment: scope=audience.read rate_limit=20/min
• create_draft: scope=campaign.write rate_limit=10/min
• send_campaign: scope=campaign.send rate_limit=2/h
  require_human_approval=true # Gate: preveriť príjemcov + obsah
  deny:
• delete_contact, export_audience, billing.*
  budget:
  token_cap=500000/day usd_cap=20/day circuit_breaker=on
  token:
  type=short_lived ttl=15min
  ```

Účinok: ani pri úspešnej Prompt Injection agent nemôže exportovať ani mazať kontakty, preťažiť spoplatnené hromadné API ani odoslať kampaň bez ľudského schválenia. Krátkodobý token s obmedzeným rozsahom oprávnení znehodnotí ukradnuté prístupové údaje po 15 minútach.

Pre agentúry a B2B

Kto prevádzkuje AI agentov pre zákazníčky a zákazníkov v marketingu, predaji alebo zákazníckom servise, zodpovedá za to, aké oprávnenia títo agenti dostanú. Praktický začiatok: pri každom agentovi inventarizuj každý nástroj a každý rozsah oprávnení, vypni Auto-Approve pre všetko, čo maže dáta, hýbe peniazmi alebo odosiela správy, a nastav tvrdé limity nákladov a rate limity skôr, než agent pôjde do produkcie. Blck Alpaca z Viedne sprevádza B2B organizácie v regióne DACH pri budovaní agentských architektúr podľa princípu Least-Privilege v súlade s OWASP Agentic Top 10. Upozornenie: tento článok má len informatívny charakter a nie je právnym poradenstvom; konkrétne otázky compliance a zodpovednosti si najlepšie vyjasni s kvalifikovanými poradkyňami a poradcami.