legkisebb jogosultság elve (PoLP)

angolul: principle of least privilege

alapelterjedt

Biztonsági alapelv: mindenki és minden program – az AI-agent is – csak annyi hozzáférést kapjon, amennyi a feladatához feltétlenül szükséges.

Érthetően

Ha festőt hívsz a nappaliba, odaadod neki a lakáskulcsot, de a széf kódját, a bankkártyádat és a kocsikulcsot nem. Nem azért, mert rosszat feltételezel róla, hanem mert a festéshez ezekre nincs szüksége. Ez a legkisebb jogosultság elve.

A számítógépes világban ugyanez érvényes emberekre, programokra és AI-agentekre. Ha egy agent dolga annyi, hogy összefoglalja a beérkező leveleidet, akkor olvasnia kell tudnia őket, de törölnie, továbbítania vagy a nevedben válaszolnia nem.

Az elv nem teszi tévedhetetlenné az agentet, hanem a lehetséges kár méretét korlátozza. Egy agent tévedhet, félreérthet egy utasítást, vagy egy rosszindulatú szöveg megtévesztheti. Ilyenkor az számít, mihez fér hozzá: amihez nincs joga, azt elrontani sem tudja, így szűk mozgástérrel a baj is kicsi marad.

Hogyan működik

Először pontosan meghatározod a feladatot: mit kell elvégeznie az embernek, a programnak vagy az agentnek, és mihez kell ehhez hozzáférnie.
Alapértelmezetten semmi sem engedélyezett, és csak a szükséges jogokat adod meg egyenként: például olvasást írás nélkül, egyetlen mappát a teljes gép helyett.
A kényes műveletekhez (fizetés, törlés, levélküldés) külön jóváhagyást kötsz ki, vagyis az agent megáll és megkérdez téged.
A jogosultság lehetőleg csak ideig-óráig él: a feladat végén lejár vagy visszavonod, így nem marad nyitva felejtett kapu.
Időnként átnézed, ki mihez fér hozzá, és a már nem használt engedélyeket megszünteted.

Példa a mindennapokból

Telepítesz a telefonodra egy zseblámpa-alkalmazást, és az hozzáférést kér a névjegyeidhez és a tartózkodási helyedhez. Ha megtagadod, a legkisebb jogosultság elvét alkalmazod, hiszen a világításhoz egyik sem kell. Ugyanez a helyzet, amikor egy AI-asszisztens a teljes postafiókodat és a naptáradat kéri, pedig csak egy időpontot egyeztetne.

Kit érint

mindenkiMinden alkalmazás és AI-asszisztens engedélyeket kér tőled, és te döntöd el, megkapja-e azt is, amire valójában nincs szüksége.

vállalkozó, vezetőHa egy munkatárs fiókját feltörik, vagy egy agentet megtévesztenek, a szűkre szabott jogosultságon múlik, hogy egy mappa vagy az egész cég adatvagyona kerül veszélybe.

fejlesztőA kódoló agent parancsokat futtat és fájlokat ír a gépeden, ezért neked kell beállítanod, mihez nyúlhat és mihez nem. → Kód

munkavállalóEmiatt nem látsz bele mindenbe a céges rendszerekben, és emiatt kell néha külön hozzáférést igényelned. → Munka és HR

Gyakori félreértés

TévhitA szűk jogosultság a bizalmatlanság jele, és csak lassítja a munkát.

ValójábanAz elv nem a szándékokról szól, hanem arról, hogy hiba, tévedés vagy támadás esetén kicsi maradjon a kár. Jól beállítva alig észrevehető, hiszen ami a munkádhoz kell, azt megkapod.

Korlátok és kockázatok

Nem véd meg mindentől: a megadott hozzáféréseken belül az agent ugyanúgy hibázhat vagy visszaélhet az adatokkal.
A túl szigorú beállítás kényelmetlen, és az emberek hajlamosak megkerülni – például mindent engedélyeznek, csak hogy ne zavarja őket a sok kérdés.
A jogosultságok idővel észrevétlenül felhalmozódnak, ezért rendszeres átnézés nélkül az elv csak papíron érvényesül.
AI-agentnél nehéz előre megmondani, mire lesz szüksége egy nyitott feladathoz, ezért sokan a kelleténél bővebb hozzáférést adnak neki.

Hasonló, de nem ugyanaz

zéró bizalom – A zéró bizalom átfogó biztonsági szemlélet, amely minden hozzáférési kérést újra ellenőriz; a legkisebb jogosultság elve ennek csak az egyik építőköve.
homokozó – A homokozó elzárt futtatási környezet, vagyis technikai eszköz; a legkisebb jogosultság elve maga a szabály, amelyet többek között homokozóval lehet betartatni.
szükséges ismeret elve – A szükséges ismeret elve arról szól, milyen információt láthatsz, a legkisebb jogosultság elve pedig arról is, milyen műveletet végezhetsz.

Kapcsolódó fogalmak

Tágabb

kiberbiztonság, hozzáférés-kezelés, AI-biztonság

Szűkebb

szerepkör alapú hozzáférés-kezelés, eszközengedélyek, ideiglenes jogosultság

Rokon

zéró bizalom, homokozó, emberi jóváhagyás, promptinjektálás, védőkorlát

Röviden a története

Az elvet Jerome Saltzer írta le 1974-ben a Multics rendszer védelméről szóló cikkében. Széles körben az a tanulmány tette ismertté, amelyet Michael Schroederrel közösen 1975-ben közölt az információ védelméről, és amely a biztonságos rendszerek tervezési alapelvei között sorolja fel. Azóta a számítógépes biztonság egyik alaptétele, amelyet az AI-agentek megjelenése újra a figyelem középpontjába állított.

Hol tart most

A hagyományos informatikában évtizedek óta alapkövetelmény, szabványok és előírások is hivatkoznak rá. Az AI-agenteknél 2026 végén még formálódik a gyakorlat: az eszközök kínálnak engedélybeállításokat, de sok felhasználó a kényelem kedvéért túl széles hozzáférést ad.

Állapot: 2026. november

Más nevei

legkisebb jogosultság elve · legkisebb jogosultság · minimális jogosultság elve · legkevesebb jogosultság elve · principle of least privilege · least privilege · PoLP · principle of least authority (POLA)

Források

NIST Computer Security Resource Center – Glossary: least privilege

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.