excessive agency

Excessive agency to ryzyko, że model językowy albo agent AI ma więcej narzędzi, uprawnień lub swobody działania, niż wymaga jego zadanie, i po pomyłce lub manipulacji wykona szkodliwą akcję. OWASP definiuje je jako podatność, która pozwala wykonać szkodliwe działania w odpowiedzi na nieoczekiwane, niejednoznaczne albo zmanipulowane wyniki modelu ^[1]. Źródłem takich wyników mogą być halucynacje oraz prompt injection ^[1]. Na liście OWASP Top 10 dla aplikacji LLM kategoria awansowała z szóstego miejsca w 2025 roku na trzecie w 2026 roku ^[2].

Jak działa

Aplikacje z modelami językowymi coraz częściej dostają sprawczość: możliwość wywoływania funkcji i łączenia się z innymi systemami przez rozszerzenia, nazywane u różnych dostawców narzędziami, umiejętnościami albo wtyczkami ^[1]. Model decyduje, które narzędzie wywołać i z jakimi parametrami. Jeśli ktoś zmanipuluje jego decyzję, narzędzie wykona się z uprawnieniami aplikacji, a nie napastnika.

OWASP opisuje przykład asystenta, który streszcza pocztę użytkownika i ma też możliwość wysyłania wiadomości ^[1]. Złośliwa wiadomość z ukrytymi poleceniami, czyli pośrednie prompt injection, skłania model do przesłania wrażliwych danych ze skrzynki na adres atakującego ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Asystent poczty z nadmiarem funkcji

Sam atak jest tu prompt injection; excessive agency to warunek, który zamienia go w szkodę. Asystent bez funkcji wysyłania nie mógłby przekazać danych dalej ^[1].

Przyczyny

OWASP wskazuje trzy źródła problemu ^[1]. Sekurak streszcza je jako zbyt szerokie funkcje, uprawnienia albo autonomię agenta ^[2].

Do nadmiaru funkcji OWASP zalicza też porzucone rozszerzenia testowe, które wciąż są dostępne dla agenta, oraz rozszerzenia otwarte, na przykład wykonujące dowolne polecenia powłoki bez filtrowania ^[1]. Nadmiar uprawnień obejmuje sytuację, w której rozszerzenie działa na jednym, ogólnym koncie o wysokich uprawnieniach zamiast w kontekście konkretnego użytkownika ^[1].

W WordPressie

WordPress ma dziś oficjalne mechanizmy dla agentów AI, więc pytanie o zakres ich możliwości przestało być teoretyczne. Abilities API, wprowadzone w WordPressie 6.9, pozwala wtyczkom, motywom i rdzeniowi rejestrować swoje funkcje w formie czytelnej maszynowo, między innymi dla agentów AI ^[4]. Każda zdolność ma permission_callback, który sprawdza uprawnienia użytkownika przed wykonaniem ^[4]. Zdolności nie pojawiają się domyślnie w REST API; trzeba to włączyć przez meta.show_in_rest ^[4].

Oficjalny pakiet MCP Adapter udostępnia zdolności jako narzędzia, zasoby i prompty protokołu MCP ^[5]. Zdolności są domyślnie prywatne, a udostępnienie ich przez MCP wymaga jawnego ustawienia meta.public ^[5]. Każda udostępniona zdolność powiększa jednak zestaw narzędzi agenta. Zasada jest prosta: nie publikować zdolności, których agent nie potrzebuje, i nie zastępować permission_callback warunkiem, który zawsze zwraca true.

Drugim ryzykiem jest konto, na którym agent działa. Hasła aplikacji (application passwords) służą do uwierzytelnionych żądań do API WordPressa ^[6]. Przewodnik integracji z 2020 roku podaje, że dziedziczą pełne uprawnienia użytkownika, a możliwość zawężenia zakresu zapowiadano dopiero na przyszłość ^[6]. Agent podłączony hasłem aplikacji administratora ma więc uprawnienia administratora. Bezpieczniej jest założyć osobne konto o najwęższej wystarczającej roli, bo role i uprawnienia użytkowników zadziałają wtedy także wobec agenta. Hasło aplikacji można też unieważnić pojedynczo ^[6].

Zagrożenia i skutki

Skutki zależą od tego, jakie narzędzia ma agent. Na stronie WordPress mogą to być publikacja lub usunięcie treści, zmiana ustawień, utworzenie konta albo wysyłka poczty w imieniu witryny.

• Eksfiltracja danych przez narzędzie do wysyłania wiadomości ^[1].
• Eskalacja uprawnień, gdy agent działa na koncie o wyższych uprawnieniach niż osoba, która go uruchomiła ^[1].
• Ujawnienie informacji wrażliwych (sensitive information disclosure) z zasobów, do których agent ma dostęp, a pytający nie.

Jak się bronić

Podstawą jest zasada najmniejszych uprawnień. NIST definiuje ją jako zasadę, według której system ogranicza uprawnienia użytkowników, także procesów działających w ich imieniu, do minimum koniecznego do wykonania zadania ^[7]. Agent AI jest właśnie takim procesem.

OWASP zaleca ^[1]:

• ograniczyć rozszerzenia i ich funkcje do niezbędnych, a otwarte narzędzia zastąpić wąskimi;
• nadawać minimalne uprawnienia w systemach docelowych i wykonywać akcje w kontekście konkretnego użytkownika;
• wymagać zatwierdzenia przez człowieka akcji o dużym wpływie;
• prowadzić autoryzację w systemach docelowych, a nie polegać na decyzji modelu;
• monitorować aktywność rozszerzeń i stosować rate limiting, by ograniczyć skalę szkód.

Guardrails filtrujące treść pomagają, ale nie zastępują tych środków. Kontrola uprawnień musi działać w kodzie, niezależnie od tego, co model „zdecyduje”.

Historia i przykłady

GitHub MCP. 29 maja 2025 roku Sekurak opisał odkrycie Invariant Labs: zgłoszenie w publicznym repozytorium z ukrytymi poleceniami mogło nakłonić agenta pracującego w kontekście użytkownika do ujawnienia danych z jego prywatnych repozytoriów ^[3]. Artykuł zaleca ograniczenie zakresu danych dostępnych dla modelu, monitorowanie wywołań funkcji MCP i zabezpieczenia na poziomie systemu, a nie tylko dopasowania modelu ^[3]. Zwraca też uwagę, że użytkownicy często wybierają opcję „zawsze zezwalaj”, co osłabia zatwierdzanie przez człowieka ^[3].

OWASP 2026. Według Sekuraka excessive agency jest najważniejszą zmianą w rankingu na 2026 rok ^[2].