Kringgår Agentforce-agenter Salesforce-delning?

Varje säkerhetssamtal om Agentforce börjar med samma fråga: kringgår agenterna våra delningsregler? Det korta svaret är nej — och att förstå varför förklarar både varför Agentforce är säkert i grunden och var den verkliga risken finns.

Agenter körs som en användare — och ärver den användarens åtkomst

En Agentforce-agent har ingen egen magisk vy över dina data. Den körs som en Salesforce-användare, och varje datahämtning den utför kontrolleras mot den användarens:

• Objektbehörigheter (profil + behörighetsuppsättningar)
• Fältnivåsäkerhet
• Postdelning på postnivå — org-wide defaults, rollhierarki, delningsregler, manuella och implicita delningar

Om den körande användaren inte kan se en post, kan agenten inte heller göra det. Agentforce arbetar inuti samma företagssäkerhetsmodell — profiler, behörighetsuppsättningar, delning, rollbaserad åtkomst — som styr resten av din organisation. Den stöder dessutom attributbaserade policyer ovanpå, för regler som “bara EU-säljagenter kan utlösa detta arbetsflöde”.

Agentforce-agenter kringgår inte Salesforce-behörigheter. De använder aggressivt all åtkomst som redan finns.

Den andra meningen är hela sanningen.

Den verkliga risken: förstärkt exponering, inte kringgående

Här kommer den obekväma delen. De flesta organisationer har långt mer öppen delning än någon minns att de konfigurerade — år av delningsregler, breda behörighetsuppsättningar, rollhierarkiers aggregering uppåt och “tillfälliga” manuella delningar som aldrig togs bort.

En människa stöter nästan aldrig på hela omfattningen av det de tekniskt sett kan komma åt. De öppnar de poster de arbetar med och struntar i resten. Det gör inte en agent. Ställ en fråga och den hämtar, kopplar samman och sammanfattar allt inom den körande användarens räckhåll — inklusive data som användaren glömt att de kunde se.

Så agenten beviljar ingen ny åtkomst. Den blottlägger den åtkomst du redan hade, konversationsbaserat och omedelbart. Alltför bred delning som legat vilande i åratal är plötsligt bara en enda mening bort.

Varför agenter förändrar riskkalkylen

Två saker gör detta annorlunda än en person med samma behörigheter:

1. Hastighet och skala. En agent läser och kombinerar poster långt snabbare än någon människa, så en felavgränsad behörighet utnyttjas omedelbart och upprepade gånger.
2. Ingen godkännandekontroll. När agenter väl är driftsatta agerar de utifrån konfiguration och kontext utan att pausa för mänsklig granskning — vilket tar bort en kontrollpunkt som den traditionella säkerhetsmodellen i tysthet förlitade sig på.

Behörighetsmodellen blev inte svagare. Det som använder den blev långt mer grundligt.

Vad du bör göra innan du driftsätter

Lösningen är inte att misstro Agentforce — utan att veta vad dess användare kan se innan du sätter igång den:

1. Genomför en åtkomstgranskning för agentens körande användare — på både objekt- och postnivå. Den relevanta frågan är densamma som hela denna blogg handlar om: vem kan se vad, och varför. För en steg-för-steg-handbok, se granska poståtkomst innan du driftsätter en AI-agent.
2. Stram åt grunden. Sätt org-wide defaults så restriktivt som verksamheten tillåter; åtkomst kan bara breddas därifrån.
3. Rensa bort delningsregler och behörighetsuppsättningar. Ta bort de breda, föråldrade behörigheter som agenten annars skulle ärva.
4. Ge agenten en egen identitet med minsta möjliga behörighet i stället för en bred mänsklig profil, plus attributbaserade policyer.
5. Kontrollera igen efter varje delningsändring — åtkomst förändras med tiden, och därmed även det agenten kan nå.

Att veta vad agenten kan se — på ren svenska

Steg 1 och 5 är de svåra: att rekonstruera en användares verkliga effektiva åtkomst över CRUD, fältnivåsäkerhet och sex delningsmekanismer, och sedan hålla den aktuell när organisationen förändras.

Det är precis vad AgentForceAccess gör. Fråga, på ren svenska, vad en användare — eller din agents körande användare — faktiskt kan se, och verktyget spårar varje behörighet och anger mekanismen bakom den. Det är åtkomstgranskningen som förvandlar “vi tror att agenten är korrekt avgränsad” till “vi vet att den är det” innan du driftsätter.

Vanliga frågor

Ignorerar Agentforce-agenter delningsregler och körs som admin?

Nej. En agent körs som en specifik Salesforce-användare och är bunden av den användarens profil, behörighetsuppsättningar, fältnivåsäkerhet och postdelningsmodellen. Den kan inte se poster som användaren inte kunde se. Men om den körande användaren har för höga behörigheter ärver agenten dessa för höga behörigheter.

Varför betraktas då AI-åtkomst som en säkerhetsrisk om den respekterar behörigheter?

För att de flesta organisationer har samlat på sig mer öppen delning än någon inser. En människa snubblar sällan över varje post de tekniskt sett kan komma åt; en agent hämtar och sammanfattar dem gärna på begäran. Agenten skapar ingen ny åtkomst — den blottlägger den åtkomst du redan hade.

Vad är det enskilt viktigaste att göra innan man driftsätter en agent?

Granska vad agentens körande användare faktiskt kan se — objekt för objekt, och på postnivå. Stram åt organisationens standardinställningar (org-wide defaults), delningsregler och behörighetsuppsättningar så att användaren (och därmed agenten) bara har den åtkomst den behöver, och driftsätt sedan.

Kan jag ge en agent snävare åtkomst än användaren som kör den?

Ja. Skapa en dedikerad användare eller behörighetsuppsättning med minsta möjliga behörighet för agenten i stället för att återanvända en bred mänsklig profil, och lägg attributbaserade policyer ovanpå. Agenten bör ha den minsta åtkomst som krävs för sin uppgift.