Begränsade behörigheter för AI-agenter

Sammanhang

En agent som sorterar din mejl behöver läsa meddelanden. Om den också kan skicka svar kan den skicka ett av misstag. Någon kan till och med gömma instruktioner i ett mejl för att få den att skicka en fil. Kontrollera vad den kan göra med åtkomsten du ger.

Ge agenten bara den åtkomst den behöver för uppgiften. Säkerhetsteam kallar det minsta behörighet. Det är samma regel som du skulle tillämpa för en ny kollega första dagen.

Behörigheter och promptar

Be agenten skriva svarsutkast och ställ in behörigheterna enbart för utkast. Inställningen hindrar den från att skicka ett meddelande även om den misstolkar instruktionerna. Singapores ramverk för agentbaserad AI rekommenderar systemkontroller för att upprätthålla godkännanden där det är möjligt.

OWASP kallar risken för stor handlingsfrihet: ett AI-system med fler funktioner, större behörigheter eller mer självständighet än uppgiften kräver. OWASP:s utgåva från 2026 rekommenderar att en person bekräftar åtgärder som kräver särskild behörighet, är oåterkalleliga eller syns externt.

Promptinjektion

Mejl, webbsidor och delade dokument kan innehålla text som skrivits för att styra en AI som läser dem. Det är promptinjektion. Storbritanniens National Cyber Security Centre varnar för att problemet kanske aldrig kan lösas helt. Försvaret är därför att begränsa vad ett lurat system kan göra.

Säkerhetsforskaren Simon Willison beskriver en ”farlig trio”: en agent kan läsa dina privata uppgifter, läsa innehåll från okända och skicka saker utåt. En okänd kan gömma en begäran i innehållet för att få agenten att skicka dina uppgifter. Ge samma agent alla tre typer av åtkomst bara om IT-teamet har utformat den så.

Du behöver inte upptäcka varje angrepp. Var uppmärksam när en agent plötsligt vill göra något du inte har bett om, stoppa den och rapportera det.

Arbetssätt

01Börja med enbart läsbehörighet eller utkast och lägg till en behörighet i taget.
02Bekräfta allt oåterkalleligt: utskick, betalningar, radering och delning utanför organisationen.
03Undvik att samtidigt ge en agent dina privata uppgifter, innehåll från okända och ett sätt att skicka saker utåt.
04Stoppa en agent som vill göra något du inte har bett om och rapportera det.
05Sätt gränser för pengar, mottagare och tid och ta reda på hur du stänger av agenten.

Promptexempel

Jämför de två promptarna och se vilket steg du behöver ta själv.

Mejl och agenter

Sortering av inkorgen

Före

Gå igenom min inkorg och ta hand om allt som är brådskande.

Efter

Gå igenom dagens inkorg. Skriv utkast till svar på brådskande meddelanden och spara dem i Utkast. Lista separat alla mejl som ber om en betalning, ändrade bankuppgifter, ett lösenord eller en fil.

Din del

Ge agenten behörighet enbart för utkast om verktyget tillåter det, så att gränsen inte beror på prompten. Ring tillbaka på ett nummer du redan har innan du agerar på en betalningsbegäran.

Därför fungerar det: Behörighet enbart för utkast ger dig kontroll över utskicken. Du kan granska de markerade förfrågningarna separat och kontrollera ovanliga önskemål per telefon.

Research

Undersökning av leverantörer på webben

Före

Undersök de här fem leverantörerna på nätet och mejla sedan var och en för att be om en offert.

Efter

Undersök de här fem leverantörerna på webben och sammanfatta vad varje leverantör erbjuder, med länkar. Skriv en offertförfrågan till var och en, men skicka dem inte.

Din del

Ge inte agenten behörighet att skicka mejl för den här uppgiften och läs utkasten innan du skickar dem. Webbsidor kan innehålla dolda instruktioner.

Därför fungerar det: Utan behörighet att skicka mejl saknar en agent som läser den öppna webben en del av den farliga trion.

Drift och projekt

Automatisering av en rutinbeställning

Före

Kontrollera lagersaldon varje måndag och beställ allt som börjar ta slut.

Efter

Kontrollera lagersaldon varje måndag och förbered en beställningslista för varor under miniminivån. Beställningar över 500 euro eller från nya leverantörer ska till mig för godkännande.

Din del

Ställ in beloppsgränsen i själva inköpssystemet, inte bara i prompten, och granska beställningarna de första veckorna.

Därför fungerar det: Rutinbeställningar med låga belopp kan skötas inom gränser. Gränsen skyddar dig bara om systemet upprätthåller den.

Underlag

OWASP:s Top 10 för LLM-applikationer 2026 listar promptinjektion och för stor handlingsfrihet bland de främsta riskerna och rekommenderar minsta behörighet och mänsklig bekräftelse av åtgärder som kräver särskild behörighet, är oåterkalleliga eller syns externt. [OWASP]
Storbritanniens National Cyber Security Centre rekommenderar fasta gränser som inte bygger på AI för vad AI-system får göra, eftersom promptinjektion kanske aldrig kan lösas helt. [UK NCSC]
Privata uppgifter, obetrott innehåll och extern kommunikation i samma agent gör datastöld genom promptinjektion möjlig. [Willison]
I NIST:s definition av minsta behörighet får varje användare eller system bara de resurser och den åtkomst som behövs för uppgiften. [NIST]
Singapores ramverk för agentbaserad AI föredrar godkännanden som upprätthålls av systemkontroller framför godkännanden som efterfrågas i promptar. [IMDA]

Fallstudier och scenarier

Gemensamt arbetssätt

Ge varje gemensam agent ett behörighetskort: dess syfte, vad den kan nå och göra, vad som kräver godkännande, dess gränser och vem som kan stoppa den.

TeamverktygBehörighetskort för agent

Källor

Här ser du vilka sakuppgifter varje källa stöder och vilka slutsatser du kan dra av den. Rekommendationerna är våra. Se alla källor vi använder.

OWASP Top 10 for LLM Applications, 2026 edition OWASP Gen AI Security Project · 3 augusti 2026 · Säkerhetsvägledning Listar de främsta säkerhetsriskerna i AI-applikationer, däribland promptinjektion (LLM01), som enligt vägledningen ännu inte kan förebyggas tillförlitligt, och för stor handlingsfrihet (LLM03): fler funktioner, större behörigheter eller mer självständighet än uppgiften kräver. Rekommenderar minsta behörighet och mänsklig bekräftelse av åtgärder som kräver särskild behörighet, är oåterkalleliga eller syns externt. Begränsningar: Vägledning från en yrkesgemenskap, ingen formell standard.
Prompt injection is not SQL injection (it may be worse) UK National Cyber Security Centre · 8 december 2025 · Officiell vägledning Förklarar att AI-modeller saknar en tillförlitlig gräns mellan data och instruktioner, så promptinjektion kanske aldrig kan lösas helt, och rekommenderar fasta gränser som inte bygger på AI för vad system får göra, minsta behörighet och loggning. Begränsningar: Skriven för säkerhetsexperter.
The lethal trifecta for AI agents Simon Willison · 16 juni 2025 · Analys av yrkesverksam expert Anger kombinationen av åtkomst till privata uppgifter, exponering för obetrott innehåll och möjlighet till extern kommunikation som förutsättningen för datastöld genom AI-agenter och konstaterar att ingen känd teknik tillförlitligt förebygger den. Begränsningar: Ett ramverk från en yrkesverksam expert, inte sakkunniggranskat.
Least privilege (glossary entry) NIST Computer Security Resource Center · Definition från NIST SP 800-53 Rev. 5 · Standarddefinition Definierar minsta behörighet som att ge varje aktör endast de systemresurser och behörigheter som behövs för uppgiften. Begränsningar: En ordlista som sammanställer definitioner från NIST:s publikationer.
Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Version 1.5, 20 maj 2026 (först publicerad 22 januari 2026) · Frivilligt ramverk Håller organisationer och personer som övervakar agenter ansvariga för agenternas åtgärder. Efterlyser mänskligt godkännande vid viktiga kontrollpunkter, som radering av data, utskick av meddelanden och betalningar. Där det går bör systemet upprätthålla godkännandet. Mycket snabba granskningar eller mycket få ingripanden kan vara tecken på att granskarna godkänner av vana. Begränsningar: Frivillig vägledning, inte lag. Fallstudierna tillhandahölls av företagen själva.

Hänvisa till den här sidan

Founderz (2026). Princip 4: Begränsade behörigheter för AI-agenter. RUAI-standarden, 2026 års utgåva. Utvecklad av Founderz i samarbete med Microsoft. https://responsibleai.founderz.com/sv/toolkit/principles/agent-permissions

Licensierad under CC BY 4.0: du får dela och bearbeta texten om du anger upphovspersonen.