Wprowadzenie do problemu / definicja
Rosnąca popularność lokalnych agentów AI zmienia sposób myślenia o bezpieczeństwie środowisk deweloperskich. Narzędzia takie jak Claude Code nie są jedynie interfejsem do modelu językowego, lecz lokalną warstwą wykonawczą, która może czytać pliki, uruchamiać polecenia powłoki, korzystać z narzędzi MCP i działać z uprawnieniami użytkownika na stacji roboczej.
To oznacza, że ryzyko nie kończy się na samym modelu AI. Obejmuje również endpoint, tożsamość użytkownika, poświadczenia, dane dostępne lokalnie oraz cały kontekst operacyjny urządzenia. Z perspektywy bezpieczeństwa organizacje muszą więc monitorować nie tylko interakcję z modelem, ale także to, co agent faktycznie wykonuje na hoście.
W skrócie
- Nowe endpointy Compliance API zwiększają widoczność lokalnych sesji Claude Code.
- Organizacje mogą analizować metadane sesji oraz transkrypty obejmujące prompty, użycie narzędzi, komendy Bash i wywołania MCP.
- Sama telemetria nie wystarcza jednak do oceny, czy działania agenta były uzasadnione i zgodne z polityką bezpieczeństwa.
- Pełna kontrola wymaga połączenia konfiguracji, monitoringu, telemetryki endpointowej oraz nadzoru nad tożsamością i uprawnieniami.
Kontekst / historia
Lokalne agenty AI zyskują na znaczeniu, ponieważ automatyzują zadania bezpośrednio na komputerze dewelopera. W odróżnieniu od klasycznych usług SaaS znacząca część logiki wykonawczej działa poza centralną infrastrukturą dostawcy. To utrudnia egzekwowanie polityk, budowanie pełnego obrazu działań oraz kontrolę nad uprawnieniami używanymi przez agenta.
Przed rozszerzeniem Compliance API organizacje miały ograniczony natywny wgląd w to, co Claude Code robi lokalnie na endpointach. Powstawała w ten sposób luka pomiędzy tym, co było widoczne w chmurze, a tym, co faktycznie działo się na urządzeniu użytkownika. Nowe mechanizmy API częściowo tę lukę zmniejszają, ale jednocześnie pokazują, że problem bezpieczeństwa agentów AI jest szerszy niż samo logowanie aktywności.
Analiza techniczna
Architektura Claude Code ma kluczowe znaczenie dla oceny ryzyka. Narzędzie działa jako warstwa orkiestrująca: przekazuje modelowi kontekst sesji, a następnie realizuje działania lokalnie. Sam model może podejmować decyzje, ale wykonanie poleceń odbywa się na urządzeniu użytkownika z użyciem lokalnych plików, procesów, konfiguracji i dostępnych poświadczeń.
Nowe endpointy Compliance API dla sesji lokalnych pozwalają pobierać informacje o metadanych sesji, szczegółach konkretnej sesji oraz transkryptach wiadomości. W praktyce daje to możliwość odtworzenia przebiegu interakcji i identyfikacji działań podejmowanych przez agenta.
Transkrypty obejmują między innymi bloki tekstowe, użycie narzędzi oraz wyniki ich działania. Dzięki temu zespoły bezpieczeństwa mogą rozpoznawać:
- prompty użytkownika,
- komendy Bash,
- operacje odczytu i zapisu plików,
- użycie serwerów MCP,
- wyniki działań wykonywanych przez narzędzia.
Z punktu widzenia SOC i zespołów IR to cenna zmiana, ponieważ umożliwia analizę aktywności agentów AI podobnie jak innych uprzywilejowanych narzędzi automatyzacji. Możliwe staje się budowanie inwentarza agentów, integracji, skilli i pluginów używanych w organizacji.
Istnieją jednak istotne ograniczenia. Nie każda lokalna aktywność musi być przekazana do modelu, a więc nie wszystko będzie widoczne w Compliance API. Dotyczy to zwłaszcza mechanizmów uruchamianych lokalnie pomiędzy decyzją modelu a wykonaniem operacji. W takich przypadkach lepsze efekty może dać telemetryka zdarzeń oparta na OpenTelemetry lub rozwiązaniach endpoint monitoring.
Dodatkowym problemem jest ograniczona widoczność artefaktów rezydujących na dysku. Same transkrypty nie dają pełnego obrazu lokalnych plików konfiguracyjnych, zainstalowanych komponentów, procesów działających poza aktywną sesją czy nieużytych jeszcze rozszerzeń. Tę lukę muszą wypełniać rozwiązania EDR oraz własne mechanizmy zbierania artefaktów z hosta.
Techniczna analiza transkryptów pozwala jednak wyodrębniać konkretne klasy aktywności. Komendy Bash mogą być identyfikowane jako wywołania odpowiedniego narzędzia, integracje MCP po charakterystycznych wzorcach nazw, a użycie skilli lub pluginów po śladach odczytu plików i uruchamianych komponentach. Dzięki temu organizacja może budować bardziej granularny obraz zachowania agentów AI.
Warto też podkreślić, że same transkrypty stanowią nowy zasób wysokiego ryzyka. Mogą zawierać dane wrażliwe, sekrety, informacje o klientach, dane osobowe, fragmenty kodu i szczegóły środowiska. Repozytorium takich zapisów powinno być traktowane jak system przechowujący dane krytyczne.
Konsekwencje / ryzyko
Najważniejszą konsekwencją jest przesunięcie granicy zaufania z chmury na endpoint użytkownika. Jeżeli agent AI działa z uprawnieniami dewelopera, może uzyskać dostęp do repozytoriów, kluczy, tokenów, zasobów sieciowych i usług zewnętrznych. To znacząco zwiększa powierzchnię ataku i komplikuję ocenę ryzyka operacyjnego.
- wykonywanie niebezpiecznych poleceń lokalnych,
- nieautoryzowane użycie poświadczeń użytkownika,
- ekspozycja danych wrażliwych w transkryptach sesji,
- użycie niezweryfikowanych pluginów lub skilli,
- trudność w odróżnieniu działań legalnych od nadużyć,
- ograniczona widoczność aktywności poza natywnym monitoringiem.
Kluczowy problem polega na tym, że logi nie pokazują intencji. Administrator może zobaczyć, że agent wykonał komendę lub użył określonej integracji, ale bez powiązania z właścicielem, celem biznesowym, zakresem autoryzacji i źródłem komponentu trudno ocenić, czy działanie było prawidłowe. W praktyce bezpieczeństwo agentów AI staje się więc zagadnieniem tożsamości, kontroli dostępu i governance, a nie tylko telemetryki.
Rekomendacje
Organizacje wdrażające Claude Code lub podobne lokalne agenty AI powinny przyjąć wielowarstwowy model ochrony. Tylko połączenie polityk, monitoringu i nadzoru nad tożsamością daje szansę na ograniczenie ryzyka.
- Wprowadzić bazowe polityki konfiguracyjne, obejmujące listy dozwolonych i blokowanych serwerów MCP, ograniczenia dla komend Bash oraz zasady używania skilli i pluginów.
- Aktywnie wykorzystywać Compliance API do centralnego pobierania metadanych sesji i analizy transkryptów pod kątem komend, integracji oraz dostępu do danych.
- Uzupełnić ten obraz o telemetrykę endpointową i EDR, aby zbierać informacje niedostępne w samym API.
- Stosować OpenTelemetry tam, gdzie potrzebna jest granularna rejestracja zdarzeń, decyzji o uprawnieniach i działań wykonywanych poza zakresem transkryptów.
- Traktować transkrypty sesji jako dane wrażliwe i objąć je szyfrowaniem, kontrolą dostępu, retencją, automatycznym usuwaniem oraz skanowaniem pod kątem sekretów i danych osobowych.
- Powiązać aktywność agentów z tożsamością, właścicielem, celem operacyjnym, używanymi poświadczeniami oraz zasadą najmniejszych uprawnień.
Bez tej warstwy kontekstowej nawet rozbudowane logowanie pozostanie wyłącznie zapisem zdarzeń, a nie skutecznym mechanizmem nadzoru i kontroli.
Podsumowanie
Nowe endpointy Compliance API dla Claude Code to ważny krok w stronę lepszej widoczności działań lokalnych agentów AI. Ułatwiają analizę sesji, poleceń i używanych narzędzi, a tym samym wspierają monitoring, compliance i działania dochodzeniowe.
Nie rozwiązują jednak podstawowego problemu: sam zapis aktywności nie odpowiada na pytanie, czy agent miał prawo wykonać dane działanie. Skuteczne zabezpieczenie tej klasy narzędzi wymaga połączenia polityk zarządzanych, transkryptów sesji, telemetryki endpointowej oraz dojrzałego nadzoru nad tożsamością i uprawnieniami.