Identitet er ikke autorisasjon: fire kontrollag for KI-agenter
SPIFFE gir KI-agenter kryptografisk verifiserbar identitet, men identiteten sier ingenting om hva agenten får lov til å gjøre. Etter hvert som agenter går fra tekstgenerering til å endre databaser og initiere transaksjoner, bygger entreprise-team hele kontrollstakker på toppen av identitetslaget – Microsofts Azure Networking-team har publisert ett konkret eksempel.
En AI-agent som kan bevise hvem den er, er ikke dermed en agent man kan stole på. Det er kjernebudskapet i en artikkel InformationWeek publiserte 15. oktober 2026, som setter fingeren på et sikkerhets- og styringsspørsmål flere entreprise-team nå konfronteres med i produksjon: Hvis SPIFFE identifiserer agenten – hva kontrollerer agentens handlinger?
Spørsmålet er ikke teoretisk lenger. Ifølge TechRepublic (14. oktober 2026) utvikler enterprise-KI seg fra tekstgenerering til autonome agenter som kan endre kundedatabaser, kalle verktøy og initiere transaksjoner. Og Microsofts Azure Networking-team har publisert et produksjonsrammeverk for nettopp dette problemet, der identitet bare er én av fire kontrollag.
Hva SPIFFE og SPIRE faktisk gjør
SPIFFE – Secure Production Identity Framework for Everyone – er en åpen standard som tildeler verifiserbare kryptografiske identiteter til programvare-arbeidsbelastninger, inkludert KI-agenter. Det melder InformationWeek (Pam Baker), som er den tilgjengelige kilden for den tekniske beskrivelsen her.
Slik henger det sammen, ifølge samme beskrivelse:
- SPIFFE definerer åpne standarder for arbeidsbelastningsidentitet.
- SPIRE er en produksjonsklar implementering av SPIFFE-API-ene. SPIRE utfører attesteringskontroll av både noder og arbeidsbelastninger for å utstede såkalte SVID-er – SPIFFE Verifiable Identity Documents.
- SVID-er er kryptografisk verifiserbare legitimasjonsbevis som arbeidsbelastninger bruker for å bevise identiteten sin. De bærer arbeidsbelastningens SPIFFE-ID og kommer i to formater: X.509-sertifikater og JWT-er.
Med andre ord: En agent utstyrt med SPIFFE-identitet kan bevise overfor andre systemer at den faktisk er den den utgir seg for å være. Det forhindrer at en angriper lager en falsk agent som utgir seg for å være en legitim en.
Hvor identiteten stopper
Men å bevise identitet er ikke det samme som å bestemme hva agenten skal få tilgang til, bestemme eller endre. «SPIFFE bekrefter tilstedeværelsen av agenter og forhindrer spoofing. Det er alt», sa Karthik Karunanithi, løsningsarkitekt hos IBM, til InformationWeek. «Derfor må et autorisasjonslag legges oppå SPIFFE for å hindre at en agent gjør skade når de misforstår en forespørsel.»
InformationWeek oppsummerer det slik: Mens SPIFFE og SPIRE etablerer og verifiserer arbeidsbelastningsidentitet, kreves et eget autorisasjons- og policyhåndhevingslag for å bestemme hva en autentisert arbeidsbelastning har lov til å få tilgang til eller gjøre.
Forskjellen er lettest å se i et konkret scenario. En hendelsesresponsagent med gyldig SPIFFE-identitet som misforstår en forespørsel, kan fortsatt utføre en feil handling – identiteten bekrefter bare at det er agenten som gjør det, ikke at handlingen er riktig eller tillatt. Autorisasjonen må komme fra et annet lag.
Hvorfor dette blir presserende nå
TechRepublics gjennomgang av KI-sikringsrailer (14. oktober 2026) peker på hvorfor skillet mellom identitet og kontroll får ny vekt: Sikringsrailene begrenser hva KI-systemer kan få tilgang til, generere og endre, og blir særlig viktige etter hvert som enterprise-KI beveger seg fra tekstgenerering til autonome agenter.
Det samme innlegget har en skarp formulering om hva som ikke er sikkerhetskontroller: Å si til en modell på vanlig norsk – eller engelsk – at den skal «være hjelpsom og aldri utlevere firmahemmeligheter», er en myk atferdsanbefaling, ikke en sikkerhetsperimeter. Under målrettet, fiendtlig press omgår språkmodeller regelmessig sine egne systeminstruksjoner, ifølge TechRepublic. Med andre ord kan verken systemprompter eller treningsbasert justering erstatte separate autorisasjonskontroller som avgjør om en agent får tilgang til ressurser eller kan utføre handlinger.
Det er verdt å være presis med hva kildene faktisk dokumenterer. TechRepublic- og Microsoft-artiklene er nabokommentar om agentkontroll generelt – de bekrefter ikke SPIFFEs begrensninger spesifikt. Men de peker i samme retning: Identitet alene er ingen handlingskontroll, og myke instruksjoner er ingen hard perimeter.
Ett produksjonseksempel: «deterministisk skjelett, probabilistisk fyll»
Det mest konkrete arbeidseksemplet på hvordan en full kontrollstakke ser ut i praksis, kommer fra Microsofts Azure Networking-team. Ifølge en MSN-rapportering av Arun Maliks innlegg på Microsofts Command Line-blogg flyttet teamet en KI-agent for hendelsesrespons fra skrivebeskyttet assistent til produksjonsaktør ved hjelp av et rammeverk Malik kaller «deterministic skeleton, probabilistic filling» – deterministisk skjelett, probabilistisk fyll.
Mønsteret bruker språkmodellen utelukkende som semantisk parser inne i en deterministisk arbeidsflyt:
- Modellen trekker ut strukturert mening fra ustrukturert telemetri.
- Deterministisk kode bestemmer hva som skal gjøres med den meningen.
- Et menneske må godkjenne enhver endring (mutasjon) i et produksjonssystem.
Modellen bestemmer aldri og utfører aldri, ifølge rapporteringen. Identitet inngår som ett av fire uavhengige, gjensidig forsterkende kontrollag.
Maliks motfaktiske gjennomgang viser hvorfor hvert lag trengs. Uten identitetskontroller ville agenten anvendt en hallusinert konfigurasjon med en myndighet ingen mennesker i samtalen faktisk hadde. Uten verktøygrensesnittet finnes det ingen måte å navngi «å pushe en BGP-konfigurasjon» som en separat, autoriserbar og revisjonsbar handling. Og uten mutasjonsporten ville et oppdiktet autonomt systemnummer nådd frem til enheten, fordi ingenting satte seg opp og spurte.
Det åpne bildet
To forbehold bør følge med leseren videre. For det første bygger den tekniske beskrivelsen av SPIFFE og SPIRE her på InformationWeks sekundære rapportering; det foreligger ingen primær dokumentasjon fra SPIFFE-miljøet om KI-agenter i det tilgjengelige kildematerialet. For det andre er spørsmålet om hvordan identitet, autorisasjon og sikringsrailene komponeres sammen i praksis fortsatt åpent – det er nettopp dette InformationWeek-artikkelen reiser, og rammeverk som Microsofts viser én måte å svare på, men ikke den eneste.
Det dokumenterte skillet står uansett uendret: SPIFFE kan bevise at agenten er den den utgir seg for å være. Om agenten får lov til å endre en produksjonsdatabase, pushe en nettverkskonfigurasjon eller initiere en transaksjon – det avgjør lagene oppå identiteten.