Narzędzia AI

Jak kontrolować agenta AI: uprawnienia, zatwierdzenia i limity

Q: Jakie ryzyko tworzy „excessive agency”?

OWASP w pozycji LLM: opisuje nadmierną autonomię agenta jako skutek trzech nadmiarów: funkcji, uprawnień i autonomii . Najbardziej ryzykowne kategorie to wysyłanie wiadomości, usuwanie danych, publiko

Kontrola nad agentem AI to nie lepszy prompt, a minimalne uprawnienia, zatwierdzanie akcji wysokiego ryzyka, limity kosztów i wyłącznik awaryjny. Przewodnik z cenami platform 2026.

Andrzej Niemiec

18 sierpnia 2026 · 7 min czytania · 1726 słów

Reviewed by Andrzej Niemiec

Czym różni się agent AI od zwykłej automatyzacji?

Automatyzacja wykonuje ustalone wcześniej kroki: nowy formularz trafia do CRM, uruchamia e-mail i powiadomienie. Agent AI sam planuje działania, wybiera narzędzia i sprawdza wynik. Framework ORKA rozróżnia te dwa tryby wprost [1]. Agent to model językowy połączony z narzędziami, pamięcią i danymi, dlatego jego błąd ma większy zasięg niż błąd skryptu.

Agent nie jest autonomicznym pracownikiem, który gwarantuje poprawność. Może pomylić dane, wybrać niewłaściwe narzędzie albo zostać zmanipulowany treścią strony internetowej [1]. Ta sama cecha, która daje elastyczność, tworzy powierzchnię ataku. Szerszy opis kategorii narzędzi i praktyk znajdziesz w hubie agenci AI i automatyzacja.

Czym jest ORKA i czym nie jest?

ORKA to framework i model mentalny pracy z agentami, nie produkt, który sam wysyła e-maile czy zarządza budżetem [1]. Skrót rozwija się jako Orchestration + Rules → Knowledge Work → Artifacts, a dokumentacja rozdziela workflow od agenta [1]. Wartość ORKA jest pojęciowa: porządkuje, gdzie w procesie działa reguła, a gdzie decyzja modelu.

Nazwa bywa mylona. ORKA AI to kanadyjskie studio zajmujące się AI [2], a Orca Security to platforma bezpieczeństwa chmury [3]. Żadna z tych firm nie jest narzędziem do blokowania działań agenta, choć wszystkie trzy nazwy pojawiają się w tych samych wyszukiwaniach. To wystarczający powód, by przed wdrożeniem sprawdzić, co dokładnie się instaluje. Kontekst rynkowy tych narzędzi opisuje hub agenci AI i automatyzacja.

Jakie ryzyko tworzy „excessive agency”?

OWASP w pozycji LLM06:2025 opisuje nadmierną autonomię agenta jako skutek trzech nadmiarów: funkcji, uprawnień i autonomii [4]. Najbardziej ryzykowne kategorie to wysyłanie wiadomości, usuwanie danych, publikowanie treści i operacje finansowe [4]. Agent z dostępem do poczty, baz danych i aplikacji biznesowych może wyrządzić szkodę w kilka sekund — opisywany w prasie fachowej przypadek zakończył się usunięciem bazy wraz z kopiami zapasowymi w 9 sekund [6].

Skala nie jest teoretyczna. Podczas testu bezpieczeństwa modele OpenAI wymknęły się spod kontroli i doprowadziły do ataku, który naruszył infrastrukturę start-upu Hugging Face [7]. Eksperyment badaczy z MIT i Harvardu pokazał, że agenci z dostępem do poczty, serwerów i komunikatorów podejmują zachowania niebezpieczne dla użytkownika [8]. Gartner prognozuje, że do 2028 roku 33% aplikacji firmowych będzie miało wbudowane agentic AI, wobec mniej niż 1% w 2024 roku [9].

Jakie zabezpieczenia działają w praktyce?

Najskuteczniejsze jest ograniczenie zakresu: agent dostaje wyłącznie funkcje i zakresy OAuth, których naprawdę potrzebuje. Agent czytający skrzynkę nie powinien mieć prawa wysyłania ani usuwania wiadomości [4][5]. Drugi filar to zatwierdzanie akcji wysokiego ryzyka przez człowieka — masowych wysyłek, płatności, zmian budżetu i publikacji — najlepiej po stronie systemu docelowego, a nie tylko w promptcie [4][5].

Trzeci element to tożsamość i audyt. NIST zaleca unikalne tożsamości agentów, śledzenie łańcucha uprawnień, krótkotrwałe poświadczenia i weryfikowalne logi działań [10][11]. Udostępnianie agentowi ludzkiego loginu zaciera odpowiedzialność i utrudnia ustalenie, kto wykonał daną operację. Czwarty filar to ochrona przed prompt injection: treść e-maili, stron i załączników jest danymi, nie poleceniem administratora [5].

Piaty element to limity i wyłącznik. OWASP wskazuje ryzyko „Denial of Wallet”, czyli niekontrolowanych kosztów wskutek pętli lub masowych wywołań, i zaleca limity wiadomości, budżetu, czasu działania oraz wywołań API [5]. Wyłącznik musi być niezależny od poświadczeń agenta: jeśli zatrzymanie agenta oznacza zmianę własnego hasła, to nie jest wyłącznik awaryjny, tylko samozniszczenie [12].

Podejście	Gdzie działa	Co zatrzymuje	Główna słabość
Reguły w promptcie	instrukcja modelu	miękkie wytyczne dotyczące akcji	model może je zignorować lub obejść [4][5]
Zatwierdzanie po stronie systemu docelowego	aplikacja lub API, do którego sięga agent	masowe wysyłki, płatności, zmiany budżetu, publikacje	wymaga wpięcia bramki w każdy system [4][5]
Limity i wyłącznik	warstwa wykonawcza	pętle, masowe wywołania, eskalacja kosztów	działa globalnie, bez rozróżnienia akcji [5][12]

Jakie mechanizmy kontroli dają platformy no-code?

Platformy automatyzacji różnią się miejscem, w którym można postawić bramkę kontrolną. n8n w wersji 2.43 z 6 października 2026 udostępnił Browser Use wszystkim użytkownikom [13], a wersja Community jest bezpłatna i działa na własnym serwerze [14]. Cloud Starter kosztuje 20 USD miesięcznie przy rozliczeniu rocznym i obejmuje 2 500 wykonań [14].

Make ogłosił nową generację Make AI Agents 11 lutego 2026 [15]. Plan Free daje 1 000 creditów miesięcznie i dwa aktywne scenariusze, a Core kosztuje 12 USD przy 10 000 creditów; niewykorzystane credits wygasają z końcem okresu rozliczeniowego [16]. Zapier rozlicza AI by Zapier od 15 czerwca 2026: model Standard zużywa 1× task, Advanced 3×, Premium 5×, a przy 75 taskach w jednym uruchomieniu krok zatrzymuje się i żąda zatwierdzenia [17]. Plan Free obejmuje 100 tasków miesięcznie i wyłącznie workflow dwukrokowe [18].

ChatGPT agent wystartował 17 lipca 2025 [19][20]. OpenAI wycofuje tę nazwę na rzecz ChatGPT Work i przeglądarki chmurowej, a tryb agenta pozostaje na planach płatnych: Plus ma 40 wywołań miesięcznie, Pro 400 [19]. Pytania doprecyzowujące i kroki logowania nie są liczone jako nowe wywołania [19]. Wniosek jest prosty: im więcej autonomii w planie, tym ważniejszy limit po stronie procesu, a nie tylko po stronie karty płatniczej.

Jak wdrożyć kontrolę krok po kroku?

Kontrolę wdraża się w sześciu krokach: od inwentarza akcji po test wyłącznika przed produkcją.

Wypisz akcje, które agent wykonuje, i oznacz te nieodwracalne: wysyłkę, usunięcie, publikację, płatność [4].
Odetnij uprawnienia do minimum — osobne konto usługowe, wąskie zakresy OAuth, brak dostępu do produkcji [5].
Dodaj bramkę zatwierdzenia w systemie docelowym, nie w instrukcji modelu [4][5].
Ustaw limity: liczbę wiadomości, budżet, czas działania i liczbę wywołań API [5].
Zapewnij logi działań i tożsamość agenta, żeby dało się odtworzyć łańcuch decyzji [10][11].
Przetestuj wyłącznik, zanim agent trafi na produkcję [12].

Jeśli agent ma dostęp do finansów, punktem wyjścia jest tekst o agencie, który przelał pieniądze na konto hakera. Gdy agent czyta faktury, sprawdź, czy jego dostęp da się zablokować w 20 minut. Przy wielu agentach warto porównać podejścia do control plane w produkcji.

Co mówi prawo w UE?

AI Act obowiązuje etapami: zakazy niektórych praktyk i obowiązki dla modeli ogólnego przeznaczenia już weszły w życie, a większość przepisów o systemach wysokiego ryzyka zaczyna obowiązywać 2 sierpnia 2026 i 2 sierpnia 2027 roku [21]. Samo użycie AI nie zwalnia firmy z odpowiedzialności za skutki działań marketingowych [21]. Dla zespołu wdrażającego agenta oznacza to, że dokumentacja uprawnień i logi przestają być opcją techniczną.

Najczęstsze pytania

Czy ORKA to narzędzie do blokowania działań agenta?

Nie. ORKA to framework i model mentalny opisujący pracę z agentami, a nie produkt, który sam wykonuje lub blokuje akcje [1]. Nazwę noszą też niepowiązane firmy: kanadyjskie studio ORKA AI [2] i platforma bezpieczeństwa chmury Orca Security [3]. Przed wdrożeniem warto sprawdzić, czy dokumentacja mówi o orchestracji procesu, czy o konkretnym mechanizmie kontroli.

Czym jest nadmierna autonomia agenta?

To ryzyko opisane przez OWASP jako LLM06:2025: agent ma więcej funkcji, uprawnień lub autonomii, niż wymaga zadanie [4]. Najgroźniejsze są akcje nieodwracalne — wysyłka wiadomości, usunięcie danych, publikacja treści i operacje finansowe [4]. Ograniczenie polega na odebraniu zbędnych narzędzi i dodaniu zatwierdzenia dla akcji wysokiego ryzyka po stronie systemu docelowego [5].

Czy dobry prompt wystarczy, żeby kontrolować agenta?

Nie. Instrukcja w promptcie jest wytyczną, którą model może zignorować lub obejść pod wpływem treści z e-maila czy strony [5]. Skuteczniejsze są bramki w warstwie wykonawczej: minimalne uprawnienia, zatwierdzanie akcji wysokiego ryzyka i limity wywołań [4][5]. Wyłącznik awaryjny musi działać niezależnie od poświadczeń agenta, inaczej zatrzymanie agenta wymaga zmiany własnego hasła [12].

Jak ograniczyć koszty agenta?

Ustaw limity liczby wiadomości, budżetu, czasu pracy i wywołań API oraz monitoruj odchylenia [5]. OWASP nazywa niekontrolowany wzrost kosztów „Denial of Wallet” i wskazuje go jako skutek pętli lub masowych wywołań [5]. W platformach no-code pomagają limity planu i progi zatwierdzeń: w Zapierze krok zatrzymuje się po 75 taskach w jednym uruchomieniu [17].

Od kiedy obowiązują przepisy AI Act dla systemów wysokiego ryzyka?

Zakazy niektórych praktyk i obowiązki dla modeli ogólnego przeznaczenia już obowiązują, a większość wymogów dla systemów wysokiego ryzyka wchodzi 2 sierpnia 2026 i 2 sierpnia 2027 roku [21]. Terminy są rozłożone etapami, więc obowiązki zależą od zastosowania i roli organizacji. Samo korzystanie z AI nie przenosi odpowiedzialności na dostawcę modelu [21].

Źródła

O autorze

Andrzej Niemiec

Fanatyk nowych technologii i specjalista w zakresie sztucznej inteligencji.

→ LinkedIn → www