Предоставление AI-агентам тех же правил RBAC, что и у пользователей: создание уровня разрешений в Laravel, который соблюдают LLM

Интеграция LLM в существующие приложения создает серьезные риски безопасности, так как AI-агенты часто работают вне стандартного веб-стека, минуя традиционную аутентификацию. В статье утверждается, что разработчики должны рассматривать LLM как прокси для пользователей, а не как независимые сущности. Привязывая личность пользователя к контексту выполнения агента, разработчики могут применять RBAC и ABAC на уровне базы данных. Автор демонстрирует, как использовать шлюзы авторизации Laravel, области видимости Eloquent и динамические реестры инструментов, чтобы гарантировать, что агенты получают доступ только к тем данным, которые разрешены конкретному пользователю. Основные рекомендации включают фильтрацию данных через SQL вместо промптов, аудит действий агентов с привязкой к пользователю и использование продвинутых пакетов разрешений для сложных иерархических правил. Такой архитектурный подход предотвращает утечки данных и гарантирует, что инструменты на базе ИИ соответствуют корпоративным политикам безопасности.