ms-ai-architect/skills/ms-ai-governance/references/norwegian-public-sector-governance/ros-maestro-multiagent.md

MAESTRO 7-lags sikkerhetsmodell for multiagent AI-systemer

Last updated: 2026-02 Category: Norwegian Public Sector AI Governance Status: Established Practice Formål: Strukturert sikkerhetsmodell for multiagent-orkestrering — brukes av ros-analysis-agent for dybdevurdering av agent-baserte systemer Type: methodology

---

Innhold

• Oversikt
• De 7 lagene
• Defense-in-depth for multiagent-systemer
• MAESTRO-sjekkliste for ROS-analyse
• Referanser
• For arkitekten

Oversikt

MAESTRO (Multi-Agent Environment Security Threat and Risk Operations) er et 7-lags sikkerhetsrammeverk utviklet av OWASP for å adressere unike sikkerhetsutfordringer i multiagent AI-systemer. Rammeverket bygger på defense-in-depth-prinsippet og gir et systematisk verktøy for å identifisere, vurdere og mitigere risiko i hvert lag av en agent-arkitektur.

I norsk offentlig sektor er MAESTRO særlig relevant for:

• Foundry Agent Service-baserte systemer med verktøytilgang
• Copilot Studio-agenter med actions/plugins og multi-agent orkestrering
• Power Automate agentflows med autonom beslutningstaking
• Microsoft 365 Copilot med extensions og personlige agenter

---

De 7 lagene

Lag 1: Foundation Model

Beskrivelse: Det underliggende AI-modellaget — selve språkmodellen eller multimodalmodellen som agenten er bygget på.

Nøkkelrisikoer:

• Inherent bias og hallusinasjon i modellvekter
• Modellens evne til å bli manipulert via prompt injection
• Jailbreak-sårbarhet varierer mellom modellgenerasjoner

Mapping til trusselbibliotek: T-INP-01, T-INP-03, T-DAT-03, T-MOD-01, T-MOD-02

Microsoft-kontroller:

• Azure AI Content Safety (content filters, prompt shields)
• Modellvalg fra Azure AI Model Catalog med sikkerhetsvurdering
• System message hardening og rolleavgrensning

---

Lag 2: Data & Knowledge

Beskrivelse: Datakildene agenten har tilgang til — RAG-indekser, kunnskapsbaser, databaser, filsystemer og API-er som mater agentens kontekst.

Nøkkelrisikoer:

• Data poisoning og RAG-forgiftning (PoisonedRAG-teknikker)
• Datalekkasje via retrieval-mekanismer
• Utdatert eller korrupt kunnskapsbase
• Manglende document-level tilgangskontroll

Mapping til trusselbibliotek: T-DAT-01, T-DAT-02, T-DAT-04, T-DAT-06, T-SUP-03

Microsoft-kontroller:

• Azure AI Search security trimming og document-level RBAC
• Purview sensitivity labels og data classification
• Content hashing for integritetsvalidering
• Automatisk re-indeksering med datakvalitetskontroll

---

Lag 3: Agent Core

Beskrivelse: Agentens kjernelogikk — system prompt, instruksjoner, beslutningsregler, og minnemekanismer som styrer agentens atferd.

Nøkkelrisikoer:

• System prompt-manipulasjon og lekkasje
• Agent scheming og strategisk misalignment
• Uautorisert endring av agentinstruksjoner
• Minneforurensing i langtidssamtaler

Mapping til trusselbibliotek: T-OUT-01, T-DAT-05, T-AGT-06, T-INP-04

Microsoft-kontroller:

• Protected system messages i Microsoft Foundry
• PIM-basert tilgangskontroll for agentkonfigurasjon
• Session-resett etter definert antall omganger
• Agent behavior monitoring via Azure Monitor

---

Lag 4: Tools & APIs

Beskrivelse: Verktøyene agenten kan kalle — API-er, filsystem, databaser, e-post, og andre eksterne tjenester som agenten kan interagere med.

Nøkkelrisikoer:

• Overdrevne verktøytillatelser (excessive agency)
• Eksfiltrering via tillatte tool-kall
• Uønskede irreversible sideeffekter
• MCP/Skills supply chain-forgiftning

Mapping til trusselbibliotek: T-AGT-01, T-OUT-05, T-AGT-03, T-SUP-04, T-SUP-06

Microsoft-kontroller:

• Minste privilegium for agent tool-tilgang
• Human-in-the-loop for destruktive actions
• Entra Agent ID-signering for plugins
• Output-validering mellom tool-kall

---

Lag 5: Orchestration

Beskrivelse: Orkestrasjonslaget som koordinerer multiple agenter — inkludert agent-til-agent-kommunikasjon, oppgavefordeling og resultatsammenstilling.

Nøkkelrisikoer:

• Agentkjede-forgiftning (en kompromittert agent forgifter nedstrøms)
• Ressursutarming via ukontrollerte agent-loops
• Uautorisert inter-agent kommunikasjon
• Manglende validering mellom agentlag

Mapping til trusselbibliotek: T-AGT-02, T-AGT-04

Microsoft-kontroller:

• Foundry Agent Service med Agent-to-Agent (A2A) protokoll
• Signert agent-til-agent-kommunikasjon via Entra Agent ID
• Timeout og maksimum iterasjoner per agent-run
• Output-sanitering mellom agentlag i orchestrator

---

Lag 6: Deployment

Beskrivelse: Produksjonsmiljøet der agenten kjører — infrastruktur, nettverk, tilgangskontroll og driftskonfigurasjon.

Nøkkelrisikoer:

• Sårbare avhengigheter i agent-runtime (Python/npm-pakker)
• Utilstrekkelig nettverkssegmentering
• Manglende overvåking og logging av agentaktivitet
• Kapasitetsgrenser og throttling ved peak-belastning

Mapping til trusselbibliotek: T-SUP-02, T-AVL-01, T-AVL-02, T-AVL-04, T-AGT-05

Microsoft-kontroller:

• Microsoft Defender for DevOps (dependency scanning)
• Azure Virtual Network isolering for agent-tjenester
• Azure Monitor diagnostics med agent-spesifikke metriker
• PTU (Provisioned Throughput Units) for kapasitetsgaranti

---

Lag 7: Ecosystem

Beskrivelse: Det bredere økosystemet av aktører — brukere, leverandører, regulatorer, og andre systemer som interagerer med agent-systemet.

Nøkkelrisikoer:

• Kompromitterte tredjeparts-tjenester og leverandører
• Manglende governance for personlige AI-agenter
• Utilstrekkelig leverandørgjennomgang (TPRM)
• Regulatorisk non-compliance (AI Act, GDPR)

Mapping til trusselbibliotek: T-SUP-01, T-SUP-05, T-AGT-07, T-PRI-01, T-PRI-03

Microsoft-kontroller:

• Admin consent-policyer i Entra ID
• DLP-policyer for Copilot og Power Platform
• Microsoft EU Data Boundary
• Leverandørvurdering per NSM veileder

---

Defense-in-depth for multiagent-systemer

Fem forsvarslinjer som bør implementeres i ethvert multiagent-system:

Forsvarslinje 1: Input-sanitering

• Validér og sanitér all input til agenter fra brukere og andre agenter
• Implementer Prompt Shields for alle inngangspunkter
• Begrens kontekstvindulengde for å redusere multi-turn-angrep

Forsvarslinje 2: Inter-agent validering

• Valider output fra hver agent før den sendes videre til neste
• Implementer type-sjekking og schema-validering på agent-meldinger
• Krev digital signatur (Entra Agent ID) for all agent-til-agent-kommunikasjon

Forsvarslinje 3: Policy enforcement

• Definer eksplisitte policyer for hvilke verktøy hver agent kan bruke
• Implementer rate limiting per agent og per verktøy
• Krev human-in-the-loop for alle irreversible handlinger

Forsvarslinje 4: Output-kontroll

• Valider all agent-output mot innholdspolicyer (Content Safety)
• Implementer PII-deteksjon og redaksjon i output-pipeline
• Verifiser at output er grounded i godkjente kilder

Forsvarslinje 5: Sandbox og isolering

• Kjør agenter i isolerte sandboxer med minimal systemtilgang
• Implementer nettverkssegmentering mellom agent-tjenester
• Bruk separate identiteter per agent (ikke delt service principal)

---

MAESTRO-sjekkliste for ROS-analyse

Bruk denne sjekklisten i Fase 5 (Sårbarhetsanalyse) for systemer med AI-agenter:

Lag	Sjekkpunkt	Status
1. Foundation Model	Content Safety og Prompt Shields aktivert	[OK/Gap/N/A]
2. Data & Knowledge	Document-level RBAC og datakilde-validering	[OK/Gap/N/A]
3. Agent Core	Protected system messages og konfig-RBAC	[OK/Gap/N/A]
4. Tools & APIs	Minimal tool-scope og plugin-godkjenning	[OK/Gap/N/A]
5. Orchestration	Inter-agent validering og timeout-grenser	[OK/Gap/N/A]
6. Deployment	Dependency scanning og agent-logging	[OK/Gap/N/A]
7. Ecosystem	Leverandørvurdering og agent-governance	[OK/Gap/N/A]

---

Referanser

• OWASP MAESTRO (Multi-Agent Environment Security Threat and Risk Operations), 2025
• Apollo Research — "Frontier Models are Capable of In-Context Scheming", 2025
• ToxicSkills — "Jailbreaking LLMs via MCP Skills", USENIX Security 2025
• PoisonedRAG — "Knowledge Poisoning Attacks to Retrieval-Augmented Generation", USENIX Security 2025
• ClawHavoc — "Unveiling the Threats of MCP", ArXiv 2025
• MCPTox — "A Large-Scale Study on MCP Security", 2025
• Pillar Security — MCP Security Audit, 2025
• Microsoft Entra Agent ID documentation, 2025
• Foundry Agent Service GA documentation, 2025

---

For arkitekten

Bruk av MAESTRO i kundedialog

MAESTRO-rammeverket brukes når kunden har eller planlegger et agentbasert AI-system. Integrer det i ROS-analysen slik:

1. Fase 4 (Trusselidentifisering): Bruk lag-mappingen til å identifisere relevante trusler systematisk — gå gjennom hvert av de 7 lagene og sjekk om tilhørende trusler er relevante
2. Fase 5 (Sårbarhetsanalyse): Bruk MAESTRO-sjekklisten som supplement til den generelle sårbarhetsanalysen
3. Fase 7 (Tiltaksplan): Strukturer tiltak per forsvarslinje (defense-in-depth)

Når er MAESTRO relevant?

• Alltid relevant: Systemer med Foundry Agent Service, Copilot Studio autonome agenter, Power Automate agentflows
• Delvis relevant: Enkle chatboter med verktøytilgang (bruk lag 1-4)
• Ikke relevant: Statiske modeller uten verktøytilgang eller agent-funksjonalitet (standard RAG-chatbot uten actions)

Typiske gap i norsk offentlig sektor

1. Inter-agent validering mangler — agenter kommuniserer uten output-sjekk mellom lag
2. Delt service principal — alle agenter bruker samme identitet, umulig å skille i audit trail
3. Ingen agent-inventory — IT-avdelingen vet ikke hvilke agenter som er aktive
4. Overdrevne tool-tillatelser — agenter har tilgang til 10x flere verktøy enn nødvendig