Overdreven handlefrihed (excessive agency)

OWASP flyttede Excessive Agency fra LLM08 i 2023-listen til LLM06 i 2025-udgaven og deler den op i tre grundårsager. Overdreven funktionalitet: agenten har værktøjer, den ikke har brug for, eller et værktøj udstiller flere operationer, end opgaven kræver - et plugin, der skal læse dokumenter, men også kan slette dem, et generisk shell- eller HTTP-værktøj, hvor en snæver funktion ville være nok, eller et værktøj, der er blevet hængende fra udviklingen. Overdrevne rettigheder: værktøjet logger på bagvedliggende systemer med flere rettigheder end nødvendigt, typisk en fælles servicekonto med læse- og skriveadgang til alle postkasser eller tabeller i stedet for den kaldende brugers afgrænsede identitet. Overdreven autonomi: handlinger med stor konsekvens udføres uden uafhængig kontrol eller menneskelig godkendelse.

Skaden udløses af ethvert output fra modellen, som den omgivende kode behandler som en kommando - en hallucination, en misforstået instruktion eller, vigtigst, indirekte prompt injection fra indhold, agenten læser. I klassiske sikkerhedstermer er agenten en confused deputy: den har en myndighed, som ejeren har givet den, og kan styres af en part med færre rettigheder til at bruge den. Den "lethal trifecta", som Simon Willison beskrev i 2025 - adgang til private data, eksponering for upålideligt indhold og en kanal ud af systemet - er en praktisk test: hvis alle tre findes i én agent, må man gå ud fra, at en vellykket injection kan lække data. Værktøjsøkosystemer som MCP tilføjer flere veje, fordi værktøjsbeskrivelser og værktøjsresultater selv er tekst i modellens kontekst.

Modtrækkene er almindelig adgangsstyring anvendt på orkestreringslaget, ikke på modellen. Udstil kun de værktøjer, en use case kræver; foretræk snævre, typede funktioner (send_reply_to_ticket(ticket_id, body)) frem for åbne (run_shell, http_request); brug OAuth med minimale scopes, og udfør handlinger i slutbrugerens sikkerhedskontekst, så agenten ikke kan mere end brugeren; håndhæv autorisation i det bagvedliggende API (complete mediation) i stedet for at stole på, at modellen spørger om lov; kræv menneskelig bekræftelse af uigenkaldelige eller eksterne handlinger som betalinger, sletninger og udgående mail; indfør rate limits og beløbsgrænser; og log hvert værktøjskald med argumenter til audit. Sandkasser til kodeafvikling og begrænsning af udgående trafik med allow-list lukker ned for datalækket.

Overdreven handlefrihed er en designsvaghed, ikke et angreb: den afgør skadens omfang, når noget andet går galt. Den adskiller sig fra rettighedseskalering, hvor en angriber skaffer sig rettigheder, der aldrig er givet, og fra improper output handling (LLM05), hvor modellens output sendes urenset videre til en fortolker som SQL, en shell eller en browser. Governance-rammer forventer i stigende grad, at agenters rettigheder indgår i adgangsgennemgange på linje med andre ikke-menneskelige identiteter.