Least Agency — עקרון ההרשאה המינימלית לסוכני AI
מאת צוות מדיה דיל · 12.08.2026 · AI Security · 5 דק׳
הרשאות טכניות זה לא סוכנות. מדריך לעיקרון Least Agency - כמה חופש החלטה עצמאית מגיע לכל יכולת של Agent, וכמה נשאר בידי בן אדם, לפי הפיכות ועלות טעות.
שני Agents יכולים להחזיק בדיוק את אותה רשימת הרשאות טכניות - גישת כתיבה למסד נתונים, יכולת שליחת מייל, קריאה ל-API של ספק תשלומים - ועדיין להיות שונים לחלוטין מבחינת סיכון, כי ההבדל האמיתי הוא לא "מה מותר להם לגעת בו" אלא "כמה החלטות עצמאיות הם מקבלים בלי לעצור ולשאול". Agent ראשון מציע פעולה וממתין לאישור אנושי לפני כל שלב. Agent שני, עם אותן הרשאות בדיוק, מחליט לבד ומבצע ברצף, ומדווח בדיעבד. זה ההבדל בין Agency נמוכה לגבוהה, וזהו ציר סיכון נפרד לגמרי מציר ההרשאות - וזה בדיוק מה ש-Least Agency, כעיקרון, בא לטפל בו.
למה זה לא אותו דבר כמו Least Privilege
Least Privilege עונה על השאלה "מה מותר ל-Agent לגעת בו" - היקף ההרשאות הטכניות שלו. Least Agency עונה על שאלה שונה: "כמה מהחלטות הביצוע מוטלות על ה-Agent עצמו, לעומת כמה נשארות בידי בן אדם או תהליך דטרמיניסטי חיצוני". אפשר לדמיין את זה כשני צירים אורתוגונליים: הרשאות (מה אפשרי) וסוכנות (כמה עצמאות בהחלטה מתי ואיך להשתמש בהן). Agent עם הרשאות רחבות אך Agency נמוכה - לדוגמה, יש לו טכנית גישה למחוק רשומות, אבל כל מחיקה דורשת אישור מפורש - הרבה פחות מסוכן מ-Agent עם אותן הרשאות בדיוק ו-Agency גבוהה שמבצע מחיקות באופן עצמאי לפי שיקול דעתו. רוב הדיון הציבורי על אבטחת Agents מתמקד בציר ההרשאות, ומתעלם כמעט לגמרי מציר הסוכנות - וזו טעות, כי הרבה מהאירועים המזיקים בפועל קרו כשה-Agent היה מורשה טכנית לפעולה, אבל לא היה צריך להחליט עליה לבד.
ספקטרום הסוכנות: ארבע רמות מעשיות
במקום לחשוב על Agency כבינארי (אוטונומי או לא), שימושי יותר להגדיר ספקטרום ברור עם רמות מוגדרות, ולמפות כל יכולת של ה-Agent לרמה המתאימה:
- Advise Only - ה-Agent מציע פעולה בטקסט בלבד, ולא מבצע כלום בעצמו. סיכון מינימלי, שימושי למשימות ניתוח.
- Propose-then-Approve - ה-Agent מכין פעולה קונקרטית (למשל טיוטת מייל מוכנה לשליחה) אך מחכה לאישור אנושי מפורש לפני ביצוע.
- Act-then-Report - ה-Agent מבצע באופן עצמאי, אך כל פעולה נרשמת ומדווחת מיידית לבקרה אנושית שיכולה לבטל בדיעבד בחלון זמן קצוב.
- Full Autonomy - ה-Agent מחליט ומבצע ללא מעורבות אנושית כלל, בדרך כלל בתוך גבולות מדיניות נוקשים מראש.
העיקרון המעשי של Least Agency: כל יכולת מקבלת את רמת הסוכנות הנמוכה ביותר שעדיין מאפשרת למשימה להיות שימושית. פעולה הפיכה וזולה (שליחת הודעת Slack פנימית) יכולה לחיות ב-Act-then-Report. פעולה בלתי הפיכה ויקרה (מחיקת סביבת פרודקשן, העברת כספים, שליחת תקשורת חיצונית ללקוח) צריכה Propose-then-Approve גם אם זה מאט את קצב העבודה.
הקריטריון לקביעת רמת הסוכנות: הפיכות ועלות טעות
שתי שאלות קובעות את רמת הסוכנות המתאימה לכל יכולת: האם ניתן לבטל את הפעולה אחרי ביצועה (Reversibility), ומה עלות הטעות אם היא כן קורתה. פעולה הפיכה בעלות נמוכה (כתיבה לטבלה זמנית, יצירת טיוטה) יכולה לקבל Agency גבוהה כמעט תמיד. פעולה בלתי הפיכה בעלות גבוהה (מחיקה סופית, תשלום, שליחת תקשורת מחייבת החוצה) צריכה Agency נמוכה תמיד, ללא יוצא מן הכלל, גם אם זה נראה "מבזבז" את היעילות שה-Agent אמור לספק. הטעות הנפוצה ביותר בפועל היא לקבוע רמת Agency אחידה לכל ה-Agent בכללותו, במקום לרדת לרמת כל יכולת בנפרד - Agent שירות לקוחות יכול לפעול באופן אוטונומי מלא כשהוא עונה על שאלות, אבל צריך Propose-then-Approve ברגע שהוא נוגע בזיכוי כספי או בביטול מנוי.
Agency זוחלת: איך היא עולה בלי שאף אחד מחליט על כך
בפרויקטים אמיתיים, רמת הסוכנות כמעט אף פעם לא נקבעת פעם אחת ונשארת יציבה - היא זוחלת כלפי מעלה בהדרגה. השלב הראשון של פרויקט Agent כמעט תמיד כולל אישור אנושי לכל פעולה, כי אף אחד לא סומך על המערכת החדשה. עם הזמן, ככל שה-Agent "מוכיח את עצמו", האישורים הופכים למכשול מעצבן, ומישהו מחליט "בוא נדלג על האישור לפעולות מהסוג הזה, זה ממילא תמיד תקין" - וכך, יכולת אחר יכולת, המערכת נעה מ-Propose-then-Approve ל-Act-then-Report ואז ל-Full Autonomy, בלי שאף אחד קיבל החלטה מודעת ומתועדת על השינוי. הפתרון המעשי הוא לתעד את רמת ה-Agency שהוקצתה לכל יכולת כחלק מהתצורה עצמה (לא כהסכמה בעל-פה בין הצוות), כדי שכל שינוי ברמה יעבור בדיקה מפורשת ולא יזחל מתוך נוחות. הנושא הזה מתקשר גם לסחיפת תצורה בין סביבות, שבה בדיוק אותו סוג של שינוי לא-מתועד קורה ברמת קונפיגורציה כללית, לא רק ברמת סוכנות.
נקודת עיגון: Human Override כרשת ביטחון לציר הסוכנות
גם אחרי שרמת הסוכנות נקבעה בקפידה לכל יכולת, נדרש מנגנון עצירה שלא תלוי בשיקול הדעת של ה-Agent עצמו - כי ברגע שה-Agent פועל ב-Full Autonomy או Act-then-Report, אין נקודת בדיקה טבעית שבה בן אדם רואה את הפעולה לפני שהיא קורית. הפתרון הוא ערוץ עצירה חיצוני שיכול לעצור או להפוך פעולה גם באמצע ביצוע, בלי תלות בכך שה-Agent "יבחר" לעצור בעצמו - מנגנון שמפורט במדריך על Human Override Protocols. זהו הגיבוי ההכרחי לכל מדיניות Agency, כי מדיניות שנקבעה מראש טובה רק כמו ההנחות שעליהן היא מבוססת, ומצבים בלתי צפויים תמיד יתגלו במוקדם או במאוחר.
מדידה: איך יודעים שרמת ה-Agency נכונה
בניגוד להרשאות, שקל יחסית לבדוק אוטומטית (בדיקת token scope מול פעולה שבוצעה), רמת סוכנות נכונה נמדדת בעיקר דרך תוצאות לאורך זמן, לא דרך בדיקה סטטית בודדת. שני מדדים מעשיים שכדאי לעקוב אחריהם: שיעור הביטולים בדיעבד (כמה פעולות שבוצעו ב-Act-then-Report נדרשו לביטול על ידי בקרה אנושית - שיעור גבוה מעיד שהרמה נקבעה גבוה מדי), ושיעור האישורים האוטומטיים כמעט-תמיד (כשמעל תשעים וחמישה אחוז מהבקשות ב-Propose-then-Approve מאושרות בלי שינוי - זה סימן שהאישור הפך לחותמת גומי, וכדאי לשקול אם המשימה בשלה למעבר לרמת Act-then-Report עם ביקורת מדגמית במקום אישור מלא לכל מקרה). שני המדדים האלה, יחד, מצביעים על כך שרמת הסוכנות היא פרמטר שצריך כיוונון מתמשך, לא החלטה חד-פעמית שנשארת נכונה לנצח.
תגיות: Least Agency · agent autonomy · human in the loop · reversibility · AI decision authority · agent governance