--- title: "ABAC: dostęp agentów AI" url: "https://majchrzycki.com/blog/abac-agent-ai-os" description: "Kontrola dostępu oparta na atrybutach podmiotu, zasobu i kontekstu. Zastosowanie, alternatywy, ograniczenia i próba dla AI OS oraz AI SDLC." --- # ABAC: dostęp agentów AI 19 czerwca 2026· Aktualizacja: 28 września 2026·2 min czytania·Krzysztof Majchrzycki Temat: [Bezpieczeństwo i utrzymanie AI](https://majchrzycki.com/blog/filar/bezpieczenstwo-i-utrzymanie-ai) **Kontrola dostępu oparta na atrybutach podmiotu, zasobu i kontekstu.** Ogranicza zapis w zależności od działu, klasyfikacji danych i godziny. Ten tekst ocenia konkretną rolę komponentu w systemie AI-native. „Najlepszy” oznacza tu dobry wybór przy określonych wymaganiach, nie zwycięzcę w każdej firmie. Szeroką architekturę opisuje [filar bezpieczeństwa AI](https://majchrzycki.com/blog/filar/bezpieczenstwo-i-utrzymanie-ai). Źródłem opisu projektu jest [dokumentacja lub repozytorium twórców](https://csrc.nist.gov/pubs/sp/800/162/upd2/final). Stan funkcji i licencji należy potwierdzić dla wybranej wersji. ## Czym jest i do czego służy? Kontrola dostępu oparta na atrybutach podmiotu, zasobu i kontekstu. Ogranicza zapis w zależności od działu, klasyfikacji danych i godziny. W praktyce trzeba oddzielić rolę tej technologii od całej platformy: komponent rozwiązuje określony problem, a tożsamość, polityka danych i obserwowalność nadal wymagają własnego projektu. **Przykład polityki:** akcja „pobierz umowę” jest dozwolona tylko, gdy dział użytkownika odpowiada właścicielowi sprawy, dokument ma odpowiednią klasyfikację, a żądanie pochodzi z zatwierdzonego środowiska. Atrybuty muszą pochodzić z zaufanego źródła; tekst promptu nie może sam ustalać klasyfikacji. Testuj przypadki brakującego atrybutu i odmowę domyślną. ## Dlaczego warto rozważyć ją w suwerennym AI OS? Pozwala wyrazić warunki, których nie da się sensownie upakować w role. Suwerenność oceniamy przez możliwość uruchomienia, kontrolę danych i uprawnień, przenośność formatu oraz plan zmiany dostawcy. Jeśli rozwiązanie jest usługą zarządzaną, należy jawnie wskazać granicę kontroli; otwarty klient czy API nie czynią całej usługi open source. ## Jak wykorzystać ją przy kodowaniu z AI? W AI SDLC agent kodujący może przygotować konfigurację, adapter i test integracyjny, lecz człowiek powinien sprawdzić uprawnienia, koszty oraz skutki błędu. Punktem odbioru jest działający scenariusz: ogranicza zapis w zależności od działu, klasyfikacji danych i godziny. Agent nie powinien sam zatwierdzać swojej zmiany ani otrzymywać szerszych uprawnień niż wymaga zadanie. Przed wdrożeniem warto zachować ślad: wymaganie, wersję zależności, wynik testu i osobę akceptującą. ## Alternatywy i ograniczenia Możliwe alternatywy: RBAC, ReBAC i polityki aplikacyjne. Niespójne atrybuty i brak audytu decyzji czynią politykę nieprzewidywalną. Wybór powinien wynikać z pomiaru na własnych danych, zgodności z obecnym zespołem i możliwości wycofania rozwiązania. Sama liczba gwiazdek repozytorium lub obietnica marketingowa nie zastępuje próby. Zobacz też [porównanie RBAC, ABAC i ReBAC](https://majchrzycki.com/blog/rbac-abac-rebac-uprawnienia-agentow-ai), jeśli projekt wymaga połączenia tych modeli. ## Co sprawdzić przed decyzją? Zbuduj małą próbę realizującą ten przypadek: ogranicza zapis w zależności od działu, klasyfikacji danych i godziny. Zmierz opóźnienie, koszt, jakość wyniku i zachowanie po błędzie. Sprawdź też, czy inny członek zespołu potrafi odtworzyć wynik na podstawie zapisanej konfiguracji. Powiązane składniki architektury to [RBAC](https://majchrzycki.com/blog/rbac-agent-ai-os) oraz [SpiceDB](https://majchrzycki.com/blog/spicedb-agent-rebac). Zapisz kryterium, po którym rozwiązanie będzie można wymienić. - Agenci AI ## Przełóż temat na projekt w Twojej firmie Zobacz zakres współpracy: od rozpoznania procesu i danych po projekt rozwiązania AI. [Zobacz współpracę](https://majchrzycki.com/wspolpraca) ## Czytaj dalej - [RBAC: dostęp agentów AI](https://majchrzycki.com/blog/rbac-agent-ai-os) - [ReBAC: dostęp agentów AI](https://majchrzycki.com/blog/rebac-agent-ai-os) - [SpiceDB: dostęp agentów AI](https://majchrzycki.com/blog/spicedb-agent-rebac) - [RBAC, ABAC i ReBAC: uprawnienia agentów AI](https://majchrzycki.com/blog/rbac-abac-rebac-uprawnienia-agentow-ai)