Markdown izdanje

AI-translated from English; not yet reviewed by a fluent editor.

# Uporedite kontrole radnji dobavljača AI agenata pre nabavke

> Pre ljudske odluke o kupovini uporedite identitete, odobrenja, dozvole alata, evidenciju, tokove podataka i dokaze o neuspehu jednog dobavljača AI agenata sa pisanim profilom rizika.

By BIG CHANGE Editorial

Published: 2026-10-19T15:30:34.881Z
Updated: 2026-10-19T15:30:34.881Z
Canonical: https://bigchange.ai/blog/ai-agent-vendor-action-controls-evidence

![Conceptual charcoal illustration of a completely blank five-column comparison worksheet clipped to an angled wooden reading stand, beside a closed unmarked folder.](https://bigchange.ai/api/media/file/agent-vendor-blank-comparison-worksheet-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no actual vendor evidence, security finding, audit, test or purchase decision is depicted.

AI agent koji deluje u povezanim nalozima može promeniti podatke ili pokrenuti poslovne procese. Pre izbora dobavljača poslovni vlasnik i stručnjak za bezbednosni pregled mogu uporediti kontrole za **jedan predloženi tok rada** sa pisanim zahtevima organizacije. Rezultat je evidencija dokaza sa datumom. Pitanje bez odgovora ostaje otvoreno; sama tvrdnja o proizvodu ne pokazuje da će radnja biti zaustavljena. Metod se oslanja na [NIST AI Risk Management Framework Playbook](https://airc.nist.gov/airmf-resources/playbook/) i [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html); nijedan od njih nije procenio kandidata za dobavljača.

## Glavna promena

- **Šta se promenilo:** Kupovina agenta može obuhvatiti poverene radnje u poslovnim sistemima. Kupac mora znati ko može navesti agenta da deluje, nad čim i uz čije odobrenje.
- **Zašto je važno:** Kupac može povezati svaku predloženu radnju sa imenovanom kontrolom i dokazima za nju. Poslovni vlasnik i bezbednosni pregled tako dobijaju konkretnu osnovu za ograničavanje pristupa ili odlaganje kupovine.
- **Na šta obratiti pažnju:** Odluka zavisi od dokaza za tačnu verziju proizvoda i tok rada. Kontrola prikazana u dokumentaciji možda zahteva i nadziranu demonstraciju pre nego što je stručnjak prihvati za predviđenu upotrebu.

## Prikupite četiri ulazne osnove

Koristite postojeći pisani profil rizika koji je organizacija odobrila. Treba da navede poslovnog vlasnika, željeni ishod, dozvoljene podatke i odredišta, dozvoljene radnje, ovlašćenje za odobravanje, neprihvatljive posledice i uslove zaustavljanja. Ako ne postoji, tražite da ga odgovorne osobe definišu pre procene dobavljača. Ovaj vodič ne može umesto njih odrediti koliko rizika organizacija prihvata.

[NIST smernica MANAGE 3.1](https://airc.nist.gov/airmf-resources/playbook/manage/) traži primenu organizacione tolerancije rizika na AI sisteme trećih strana i dokumentovanje kontrola. Playbook nudi dobrovoljne predloge, a ne univerzalnu kontrolnu listu nabavke. Pitanja o kontrolama radnji u nastavku oslanjaju se i na OWASP bezbednosne smernice za agente. Ovi okviri izdvajaju korisna pitanja; na njih moraju odgovoriti dokazi samog dobavljača.

Navedite jednog kandidata za dobavljača i tačan proizvod i verziju primene koje razmatrate. Pribavite aktuelnu dokumentaciju i dokaze koje dobavljač sme da podeli. Omogućite stručnjaku za bezbednosni pregled i rukovodiocu nabavke pristup evidenciji poređenja. Osetljive arhitektonske podatke i dokaze čuvajte na odobrenom privatnom mestu; tabela može upućivati na njih umesto da kopira tajne.

## 1. Pretvorite tok rada u zahteve

Navedite svaku predloženu radnju agenta, ciljni sistem i podatke koje mora pročitati ili promeniti. Odvojite čitanje od pisanja i od spolja vidljivih ili nepovratnih radnji. Za svaku prepišite relevantan zahtev iz pisanog profila rizika: dozvoljeni identitet, opseg alata i ciljeva, odobrenje, evidenciju, rukovanje podacima, prekid i oporavak. Zabeležite vlasnika i datum profila.

Napravite jedan red tabele po zahtevu. Nepoznato tako postaje vidljivo umesto da se sakrije u ukupnoj oceni dobavljača. Zahtev da agent nikada ne pristupi određenom nalogu zaslužuje red isto koliko i dozvoljena radnja.

## 2. Pratite ko deluje i šta može da se izvrši

Pitajte koja osoba, servisni nalog ili identitet agenta pokreće svaku radnju, gde su pristupni podaci i može li agent proslediti zahtev drugom agentu. Utvrdite koja komponenta proverava dozvolu pri izvršavanju. Uporedite stvarne dozvole alata dobavljača sa dozvoljenim alatima, operacijama, nalozima i ciljevima iz profila. Tražite dokaze konfiguracije ili arhitekture za ovu verziju proizvoda; tvrdnja u upitu slab je dokaz da se granica stvarno sprovodi.

Za radnje koje zahtevaju odobrenje pitajte šta osoba koja odobrava vidi pre izvršavanja i kako je odobrenje vezano za aktera, tačan poziv alata, cilj i parametre. Saznajte šta se događa kada odobrenje istekne, bude odbijeno, upotrebljeno dvaput ili se zahtevana radnja promeni. Zabeležite kako se pristup opoziva i ko može zaustaviti aktivno izvršavanje. Ekran odobrenja i provera pri izvršavanju odgovaraju na različita pitanja; tražite oba dokaza kada profil zahteva oba.

## 3. Pratite podatke i zapis radnje

Nacrtajte predloženi put od ulaza do modela, alata, spoljnih primalaca, sačuvanih kopija i evidencije. Pitajte koje podatke svaka komponenta prima, ko ih može preuzeti i kako rade čuvanje i brisanje. Uključite dodatne obrađivače ili prenose između sistema važne za profil. Neodgovoreno pitanje o odredištu ili čuvanju označite kao **nepoznato**; ne zaključujte da postoji zaštita privatnosti na osnovu opšte izjave o politici.

Tražite zapis izvršavanja za odgovarajuću verziju. Može li stručnjak povezati aktera i verziju politike sa predloženim pozivom alata, odobrenjem ili odbijanjem, tačnim ciljem i ishodom? Proverite pokazuje li zapis samo odluku, stvarno izvršavanje ili oba. Snimak ekrana, izvoz konfiguracije i potpun sled događaja dokazuju različite stvari. Zabeležite zacrnjene ili izostavljene delove koji sprečavaju poređenje, a pristupne i lične podatke nemojte unositi u tabelu.

## 4. Tražite dokaze neuspeha

Tražite dokaze vezane za verziju za dozvoljenu radnju i puteve neuspeha koje profil zahteva: odbijeno ili isteklo odobrenje, alat ili cilj van opsega, prekinuto izvršavanje i, gde je relevantno, neuspeh evidencije ili provere politike. Zabeležite šta je testirano, kada, pod kojim politikama i podešavanjima alata, očekivani i opaženi rezultat. Plan testa je zahtev za dokaz, a ne opaženi rezultat.

Odgovorni stručnjak za bezbednosni pregled odlučuje da li je potrebna nadzirana demonstracija i odobrava njen obim. Koristite dozvoljene ulaze i naloge van produkcije. Ne povezujte žive sisteme samo da popunite tabelu nabavke. Ako dobavljač ne može dati dokaz, zabeležite nedostatak i sledeći zahtev umesto da zamišljate ishod testa.

## 5. Zabeležite odluku i otvorene zadatke

Svaki red označite kao **usklađen** samo kada dati dokazi odgovaraju pisanom zahtevu za ovu verziju i tok rada. Označite **nedostatak** kada su u sukobu, ili **nepoznato** kada dokaza nema ili su preslabi. Zabeležite suprotstavljene zapise i ko ih mora razrešiti. Poslovni vlasnik i odgovorni stručnjak za bezbednost zatim beleže stvarnu odluku: tražiti još dokaza, zatražiti odobrenje za ograničeni pilot, odložiti ili odbiti. Usklađen red je procena dokaza, a ne garancija bezbednosti sistema niti zamena za postupak kupovine u organizaciji.

Vodite evidenciju sa datumom i ponovo pregledajte pogođene redove kada se promene tok rada, verzija proizvoda, politika, povezani nalozi ili odredišta podataka. Kasniji pilot zahteva sopstveno ovlašćenje, ograničenja i pregled.

| Zahtev iz pisanog profila | Dokaz dobavljača, verzija i datum | Vrsta dokaza i šta pokazuje | Usklađeno, nedostatak ili nepoznato | Osoba koja pregleda i sledeća radnja |
| --- | --- | --- | --- | --- |
| [Jedan zahtev za radnju ili kontrolu] | [Privatni link ili referenca dokumenta; verzija; datum] | [Tvrdnja, konfiguracija, zapis događaja ili opažena demonstracija; ograničenje] | [Izaberite jedno i objasnite] | [Ime, zahtev za dokaz ili odluka] |

**Zaglavlje evidencije:** tok rada i vlasnik; verzija profila rizika i datum odobrenja; kandidat proizvoda i verzija primene; datum pregleda; stručnjak za bezbednosni pregled; rukovodilac nabavke; mesto ograničeno dostupnih dokaza. **Zapis odluke:** odluka, nerazrešeni redovi, prihvaćena ograničenja ili nadoknađujuće kontrole, odgovorni odobravalac i povod za sledeći pregled. Polja ostavite prazna dok ih odgovorne osobe zaista ne pregledaju.

Javne smernice korišćene za ova pitanja besplatno su dostupne. Priprema poređenja zahteva vreme zaposlenih i stručnjaka koji pregledaju. Dokazi dobavljača, poverljiv pristup i odobrena demonstracija mogu povećati troškove ili ograničiti šta se može proveriti; od kandidata pribavite stvarne uslove. Ovaj dokumentacioni postupak ne testira dobavljača i ne utvrđuje pravnu usklađenost ili univerzalni prag za kupovinu.

## Izvori i dodatno čitanje

1. [NIST AI RMF Playbook, Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) podržava primenu sopstvene tolerancije rizika organizacije na AI resurse trećih strana, dokumentovanje i procenu kontrola. Stranica navodi da se AI RMF 1.0 ažurira i da će Playbook uslediti; nema datuma revizije stranice. Ne ocenjuje ovog dobavljača.
2. [Uvod u NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) opisuje predloge kao dobrovoljne i kaže da Playbook nije lista koju treba pratiti u celosti. Ovde je tabela sinteza BIG CHANGE za navedeni zadatak čitaoca.
3. [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) obrađuje ograničene alate, autorizaciju pri izvršavanju, odobrenja vezana za radnje, evidenciju, zaštitu podataka i dokaze validacije vezane za verziju. Aktuelna veb-stranica nema verziju ili datum objave. Preporuke su kategorije dokaza, a ne dokaz da ih dobavljač sprovodi.

## Sources

- [NIST AI RMF Playbook, Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) — MANAGE 3.1 podržava primenu organizacione tolerancije rizika na AI resurse trećih strana i dokumentovanje kontrola. Aktuelna AI RMF 1.0 Playbook stranica kaže da revizija predstoji; datum revizije nije naveden. Ne potvrđuje dobavljača.
- [NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) — Uvod navodi da su predlozi dobrovoljni i da Playbook nije potpuna kontrolna lista ili propisan redosled. Tabela poređenja u članku jeste urednička sinteza.
- [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) — Odeljci 1, 4, 6, 8 i 9 osnova su pitanja o ograničenim alatima, odobrenju vezanom za radnju, evidenciji, podacima i testiranju vezanom za verziju. Aktuelna stranica bez verzije ili datuma objave; preporuke ne potvrđuju delotvornost dobavljača.