【Agent 身份与安全】Function Calling 的授权模型
内容提要
本文讨论了LLM功能调用的安全性，强调工具架构中的风险管理。通过分层授权模型和策略引擎，确保API调用的安全性。分析了静态允许列表与动态策略的优缺点，以及SQL代理的权限控制和行级安全性。最后，强调审计和监控在防止越权行为中的重要性。
关键要点
-
LLM功能调用通过身份层Token Exchange和Function Calling授权确保API调用的安全性。
-
工具架构中的Tool Schema存在风险，需将其视为不可信输入，直到平台管理员签名。
-
分层授权模型包括OAuth范围、工具允许列表、参数策略和行级过滤，缺少任一层可能导致越权。
-
静态允许列表简单易审计，但无法表达复杂策略，适合工具数量少且策略稳定的场景。
-
动态策略引擎如OPA和Cedar提供更灵活的权限控制，适合多租户和边缘计算场景。
-
SQL代理通过限制语句类别和数据库角色来控制权限，确保行级安全性。
-
审计和监控在防止越权行为中至关重要，需记录每次工具决策的详细信息。
-
反模式包括信任LLM输出参数和仅依赖OAuth范围，需结合策略校验和数据库角色限制。
延伸解读
分层授权模型的重要性
分层授权模型通过多层次的权限控制，确保API调用的安全性。每一层的缺失都可能导致越权行为，因此在设计系统时，必须确保每一层的完整性和有效性。特别是在多租户环境中，动态策略引擎的灵活性显得尤为重要。
静态与动态策略的比较
静态允许列表虽然简单易审计，但在面对复杂的权限需求时显得力不从心。相比之下，动态策略引擎如OPA和Cedar提供了更高的灵活性，适合需要频繁变更策略的场景。选择合适的策略引擎应根据具体的应用场景和需求来决定。
审计与监控的必要性
在功能调用中，审计和监控是防止越权行为的关键。每次工具决策的详细记录不仅有助于事后追溯，也能在实时监控中及时发现潜在的安全风险。因此，企业在实施API调用时，必须重视审计机制的设计与执行。
延伸问答
什么是LLM功能调用的授权模型？
LLM功能调用的授权模型通过身份层Token Exchange和Function Calling授权来确保API调用的安全性。
分层授权模型的各个层次是什么？
分层授权模型包括OAuth范围、工具允许列表、参数策略和行级过滤，缺少任一层可能导致越权。
静态允许列表和动态策略引擎的优缺点是什么？
静态允许列表简单易审计，但无法表达复杂策略；动态策略引擎如OPA和Cedar提供更灵活的权限控制，适合多租户和边缘计算场景。
SQL代理如何控制权限以确保行级安全性？
SQL代理通过限制语句类别和数据库角色来控制权限，确保行级安全性。
审计和监控在防止越权行为中有何重要性？
审计和监控在防止越权行为中至关重要，需记录每次工具决策的详细信息。
有哪些反模式需要避免以确保安全性？
反模式包括信任LLM输出参数和仅依赖OAuth范围，需结合策略校验和数据库角色限制。
