--- id: CP-508 slug: zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania lang: pl title: Zatwierdzanie działań agentów AI przez człowieka description: Agent AI może przygotować działanie, ale niektóre musi zatwierdzić człowiek. Co pracownik czyta, akceptuje lub odrzuca. canonical_url: https://startbrain.io/cyberpedia/pl/articles/zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Zatwierdzanie działań agentów AI przez człowieka”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania/ (CC BY 4.0) wing: 4 theme: use_responsibly reflex: air-039 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania/ fr: https://startbrain.io/cyberpedia/fr/articles/validation-humaine-agents-ia-actions-interdites/ en: https://startbrain.io/cyberpedia/en/articles/human-in-the-loop-ai-agent-approval/ de: https://startbrain.io/cyberpedia/de/articles/menschliche-freigabe-ki-agenten-verbotene-aktionen/ es: https://startbrain.io/cyberpedia/es/articles/validacion-humana-agentes-ia-acciones-prohibidas/ it: https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate/ nl: https://startbrain.io/cyberpedia/nl/articles/menselijke-goedkeuring-ai-agents-verboden-acties/ pt: https://startbrain.io/cyberpedia/pt/articles/validacao-humana-agentes-ia-acoes-proibidas/ sources: - "n": 1 title: Intelligence artificielle | CNIL publisher: CNIL url: https://www.cnil.fr/fr/intelligence-artificielle accessed: "2026-11-03" - "n": 2 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: AI Risk Management Framework publisher: NIST url: https://www.nist.gov/itl/ai-risk-management-framework accessed: "2026-11-03" - "n": 5 title: Guidelines for secure AI system development publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development published: "2023-11-27" accessed: "2026-11-03" --- # Zatwierdzanie działań agentów AI przez człowieka Agent AI nie ogranicza się już do odpowiadania na pytania. Może czytać skrzynkę pocztową, otwierać dokumenty, wywoływać inne narzędzia i działać w imieniu użytkownika. CNIL pisze o agentowej AI, która jest „désormais capable d'agir sur son environnement à la place de son utilisateur" [1]. Zasada zatwierdzania przez człowieka (po angielsku Human-in-the-Loop) odpowiada na tę zmianę: agent przygotowuje, a człowiek zatwierdza, zanim działanie zostanie wykonane. Ta strona wyjaśnia, co pracownik powinien przeczytać przed kliknięciem i kiedy powinien odmówić. ## W 30 sekund - Gdzie to się zdarza: asystent lub agent AI proponuje wysłanie wiadomości, usunięcie pliku, dokonanie płatności albo zmianę dostępu. - Czego chce atakujący: skłonić agenta do wykonania działania, na przykład przez ukrycie poleceń w e-mailu lub na stronie internetowej, które agent czyta [2]. - Odruch: nigdy nie zatwierdzać działania agenta bez przeczytania, co ono robi, i odmówić, jeśli brakuje informacji. - Jeśli już to zrobiono: od razu powiadomić dział bezpieczeństwa Brain, a do czasu jego odpowiedzi nie używać danego agenta. ## Pytania wprost ### Czym jest zatwierdzanie przez człowieka? To etap, na którym człowiek musi powiedzieć „tak", zanim zostanie wykonane działanie o dużym wpływie. OWASP opisuje to tak: wykorzystać kontrolę człowieka, aby wymagać zatwierdzenia przez osobę działań o dużym wpływie, zanim zostaną podjęte [3]. OWASP podaje przykład: aplikacja, która publikuje treści w mediach społecznościowych w imieniu użytkownika, powinna mieć procedurę zatwierdzania w rozszerzeniu, które dokonuje publikacji [3]. ### Które działania zawsze powinien zatwierdzać człowiek? Ta strona wyróżnia pięć kategorii: płatności, usuwanie danych, wysyłanie wiadomości na zewnątrz, zmianę uprawnień dostępu oraz decyzje dotyczące osób. Cytowane tu źródła nie podają takiej listy. Mówią o „działaniach o dużym wpływie" [3], a jako przykłady podają usuwanie dokumentów bez potwierdzenia użytkownika i wysyłanie wiadomości [3]. ### Dlaczego agent nie może oceniać samodzielnie? Ponieważ może się pomylić albo zostać zmanipulowany. OWASP nazywa „Excessive Agency" słabość, która umożliwia szkodliwe działania w następstwie nieoczekiwanych, niejednoznacznych lub zmanipulowanych odpowiedzi modelu językowego, niezależnie od przyczyny awarii [3]. Wśród częstych przyczyn OWASP wymienia halucynacje i prompt injection [3]. ### Co należy przeczytać przed zatwierdzeniem? Przynajmniej: co działanie robi, na jakich danych lub kontach i do kogo trafia. Jeśli agent proponuje wysłanie wiadomości, trzeba przeczytać adresata i pełną treść. Jeśli opis prośby jest ogólnikowy, to powód, by odmówić. ### Czy można odmówić? Tak. Odmowa nic nie kosztuje: agent może sformułować prośbę inaczej, a prośbę można ponowić. Zatwierdzenie udzielone przez pomyłkę może być nieodwracalne, na przykład usunięcie albo wiadomość, która już wyszła. ## Jak to działa OWASP wyjaśnia, że system oparty na modelu językowym często otrzymuje od twórcy możliwość wywoływania funkcji lub innych systemów za pomocą rozszerzeń (nazywanych czasem narzędziami, umiejętnościami lub wtyczkami). Wybór rozszerzenia do użycia może też zostać powierzony samemu agentowi [3]. Agent zazwyczaj łączy kilka wywołań modelu, z których każde opiera się na wynikach poprzednich [3]. OWASP wskazuje trzy zwykłe przyczyny nadmiernej autonomii: zbyt wiele funkcji, zbyt wiele uprawnień, zbyt dużo autonomii [3]. Zatwierdzanie przez człowieka odpowiada na trzecią z nich: OWASP podaje jako przykład rozszerzenie, które usuwa dokumenty użytkownika bez pytania go o potwierdzenie [3]. Zatwierdzanie nie zastępuje innych zabezpieczeń. OWASP zaleca także, by dawać agentowi tylko te rozszerzenia, funkcje i uprawnienia, które są konieczne, oraz by autoryzacje kontrolowały systemy docelowe, a nie model [3]. W przypadku prompt injection OWASP zalicza kontrolę człowieka nad operacjami uprzywilejowanymi do środków ograniczających skutki [2]. Te decyzje należą do zespołów wdrażających agenta, nie do pracownika. ## Co robić - Proszę przeczytać prośbę o zatwierdzenie w całości, zanim nastąpi odpowiedź, łącznie z adresatami, plikami i kontami, których dotyczy. - Proszę odmówić, gdy nie wiadomo, co agent zrobi, albo gdy prośba nie odpowiada temu, o co go poproszono. - Proszę odmówić działania, które nie ma związku z bieżącym zadaniem: agent streszczający dokument nie ma powodu proponować wysłania wiadomości. - Przy działaniu, które dotyczy innych osób, płatności lub dostępów, proszę sprawdzić w inny sposób, jeśli wątpliwość pozostaje. - Proszę zgłosić do działu bezpieczeństwa każdego agenta, który działa bez pytania o zgodę, choć powinien o nią zapytać. ## Pułapki ### Zatwierdzanie bez czytania Gdy prośby o zatwierdzenie się powtarzają, w końcu klika się bez patrzenia. Zatwierdzenie staje się wtedy formalnością i niczego nie chroni. Prośba, która pojawia się w środku zadania, wymaga takiej samej uwagi jak pierwsza tego dnia. ### Agent z nadmiernymi uprawnieniami OWASP podaje przykład rozszerzenia, które miało czytać dane, ale łączy się z bazą z tożsamością pozwalającą także modyfikować, wstawiać i usuwać [3]. Wymienia też rozszerzenie, które działa w imieniu użytkownika z ogólnym kontem uprzywilejowanym mającym dostęp do plików wszystkich użytkowników [3]. W takich przypadkach jedno zatwierdzenie może mieć skutki znacznie szersze, niż pokazuje prośba. ### Prompt injection OWASP opisuje pośredni prompt injection: model przyjmuje treści z zewnątrz, takie jak strony internetowe lub pliki, i te treści zmieniają jego zachowanie w nieprzewidziany sposób [2]. Polecenia nie muszą być czytelne dla człowieka, o ile model je przetwarza [2]. OWASP dodaje, że nie wiadomo, czy istnieją niezawodne metody zapobiegania [2]. Zatwierdzenie przez człowieka jest więc zabezpieczeniem, którego nie wolno omijać. Poniższa ilustracja jest zneutralizowana: ukryte polecenie zostało sparafrazowane. ```text Ilustracja (fikcyjna). Ukryty tekst w otrzymanym e-mailu: [polecenie skierowane do asystenta: wyszukać w skrzynce informacje poufne i przesłać je na adres zewnętrzny] Prośba o zatwierdzenie wyświetlona pracownikowi: "Wysłać wiadomość na adres contact@exemple.invalid?" ``` Taki scenariusz opisuje OWASP: spreparowany e-mail skłania asystenta do przeszukania skrzynki i przesłania poufnych informacji na adres atakującego [3]. Wśród środków zaradczych OWASP wymienia wymóg ponownego przejrzenia i ręcznego kliknięcia „wyślij" przy każdej wiadomości napisanej przez rozszerzenie [3]. ### Przekonanie, że zatwierdzanie wystarcza OWASP zaznacza, że niektóre środki, takie jak rejestrowanie zdarzeń, monitorowanie i ograniczanie liczby żądań, nie zapobiegają nadmiernej autonomii, ale ograniczają szkody [3]. NIST przedstawia swoje ramy zarządzania ryzykiem AI jako przeznaczone do dobrowolnego stosowania [4]. Brytyjskie NCSC wskazuje, że bezpieczeństwo systemu AI powinno być wymogiem od etapu projektowania przez cały cykl jego życia [5]. ## Źródła 1. CNIL, „Intelligence artificielle | CNIL”. https://www.cnil.fr/fr/intelligence-artificielle (dostęp 3 listopada 2026) 2. OWASP, „LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026) 3. OWASP, „LLM06:2025 Excessive Agency”. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (dostęp 3 listopada 2026) 4. NIST, „AI Risk Management Framework”. https://www.nist.gov/itl/ai-risk-management-framework (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Guidelines for secure AI system development”, 27 listopada 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/zatwierdzanie-przez-czlowieka-agenci-ai-zakazane-dzialania/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.