Nie otworzysz sprawy, ale AI ją cytuje. Jak sprawdzić dostęp?

W zmyślonej kancelarii osoba prowadząca sprawę Alfa pyta asystenta o kwotę propozycji ugody. Odpowiedź cytuje notatkę ze sprawy Beta, przy której ta osoba nie pracuje. Po kliknięciu źródła pojawia się odmowa dostępu. Notatka pozostała zamknięta, ale jej fragment został już przeczytany.

Taki scenariusz warto sprawdzić również w aplikacji bez AI, która przekazuje informacje między programami. Testuj dostęp konkretnej osoby do informacji w całym połączonym procesie. Kancelaria określa, kto ma widzieć daną sprawę. Wykonawca pokazuje, jak aplikacja przestrzega tej decyzji w udostępnionych funkcjach.

Połączenie może widzieć więcej niż osoba pytająca

Program może pobierać dane w imieniu zalogowanego użytkownika albo korzystać z własnej tożsamości, na przykład do synchronizacji w tle. Takie połączenie bywa potrzebne. Nie znaczy to, że użytkownikowi wolno pokazać wszystko, co ono odczytało.

Takie rozróżnienie opisuje Microsoft: przy dostępie delegowanym uprawnieni muszą być i aplikacja, i użytkownik, a przy dostępie aplikacyjnym program działa bez zalogowanego człowieka. Nawet poprawny odczyt w imieniu użytkownika nie rozstrzyga, komu udostępniono późniejszą kopię.

Zapytaj wykonawcę: „Czy system pobiera dane jako ta osoba, czy jako techniczne konto połączenia? Gdzie sprawdza, co wolno jej pokazać?”. Logowanie mówi, kogo rozpoznano, a nie do których akt dopuszczono. OWASP rozdziela te dwie rzeczy w zaleceniach kontroli dostępu.

Nie musisz oceniać kodu. Poproś o rysunek drogi: źródło, miejsca przechowywania kopii i wyszukiwania informacji, wynik. Przy każdym miejscu wykonawca wskazuje, jak rozpoznaje osobę i ogranicza wynik. Wpis o integracjach pomoże opisać sam przepływ.

Nie każdy asystent gubi uprawnienia

Microsoft w dokumentacji konektorów Microsoft 365 Copilot rozróżnia dostęp zgodny z uprawnieniami źródła i widoczność dla wszystkich w organizacji. Poproś wykonawcę o pokazanie wybranego ustawienia, zamiast przyjmować, że sama nazwa produktu rozstrzyga sprawę.

We własnej aplikacji wykonawca może potrzebować dodatkowej kontroli. Microsoft pokazuje na przykładzie Azure AI Search filtrowanie dokumentów według użytkownika lub jego grupy. W opisanym wariancie to aplikacja dołącza filtr do zapytania. Samo zaindeksowanie dokumentów nie ustala, kto może je zobaczyć.

W aplikacji z AI niedostępne materiały nie powinny trafiać do modelu jako kontekst odpowiedzi dla tej osoby. Polecenie „nie ujawniaj cudzych spraw” nie zastępuje ograniczenia dostępu. OWASP wskazuje błędne rozdzielenie danych wyszukiwanych dla AI jako źródło ujawnień. Wpis o kontekście sprawy wyjaśnia pozostałe wymagania wobec źródeł odpowiedzi.

Macierz, którą zatwierdza kancelaria

Zacznij od dwóch fikcyjnych spraw i trzech rodzajów użytkownika. Zmień przykład według potrzeb. „Dostęp” obejmuje odpowiedź, podgląd, wyszukiwanie i pobranie pliku.

Przypisz konkretne osoby, dozwolone czynności, osobę zatwierdzającą i datę przeglądu. Odczyt nie oznacza automatycznie prawa do eksportu. Opisy czynności przy rozliczeniu czasu też mogą zawierać informacje o sprawie, więc sprawdźcie rzeczywistą zawartość pól.

Wykonawca osobno opisuje połączenie techniczne: skąd i po co pobiera dane oraz gdzie je zapisuje. Uwzględnijcie historię operacji i kolejkę błędów oraz osoby z dostępem do nich. Jeśli połączenie pobiera obie sprawy, aplikacja musi przy każdym żądaniu oddzielić, co udostępnić której osobie. Ograniczenia źródła i możliwe warianty wykonawca przedstawia przed podłączeniem prawdziwych akt.

Próba musi umieć także odmówić

Wykonawca przygotowuje środowisko i zwykłe konta testowe odpowiadające rolom, a kancelaria zatwierdza fikcyjne dane. Próbujecie konfigurację przeznaczoną dla zespołu; różnice wymagają osobnego sprawdzenia. W notatce Alfy wpiszcie „Propozycja ugody: 12 640 zł”, a w notatce Bety „Propozycja ugody: 47 318 zł”. Tych liczb nie umieszczajcie w innych źródłach prób. W polach rozliczeń użyjcie innych kwot faktur. Pomogą rozpoznać informację także po jej streszczeniu.

Najpierw konto Alfy powinno znaleźć materiał Alfy i otworzyć źródło, a w aplikacji z AI otrzymać też poprawną odpowiedź. Konto Bety musi zrobić to samo z Betą. Bez tych prób późniejszy brak Bety może oznaczać, że nie ma jej w systemie, a nie że działa kontrola dostępu.

Potem z konta Alfy sprawdźcie Betę: wyszukiwanie, pytanie o jej kwotę, podgląd i eksport, jeśli istnieją. Oczekujecie braku treści i metadanych Bety, także w odpowiedzi bez cytatu. Odmowa modelu nie zalicza próby, jeśli materiał Bety trafił do kontekstu. Wykonawca pokazuje materiały przekazane do odpowiedzi, na przykład dokumenty, z których system pobrał fragmenty.

Wykonawca sprawdza też bezpośredni adres materiału i pozostałe drogi pobrania w uzgodnionym projekcie. Sam ukryty przycisk nie wystarczy. W aplikacji bez AI pomijacie pytania do asystenta, a sprawdzacie pozostałe dostępne drogi. Jeżeli są podpowiedzi, powiadomienia, historia rozmów, kolejka błędów lub synchronizacja do kolejnego programu, obejmijcie je próbą.

Powtórzcie kontrolę dla rozliczeń: kwota faktury ma być dostępna, propozycja ugody z notatki ma pozostać niedostępna. Jeśli rozliczenia nie mają widzieć opisów czynności, dodajcie w Becie fikcyjny opis, który konto Bety widzi, a konto rozliczeń nie. Pytanie zbiorcze o obie sprawy również musi respektować macierz. Próby odmowy wykonujcie na zwykłych kontach bez ról administracyjnych. Zapiszcie konto testowe; wykonawca pokazuje, że aplikacja rozpoznaje je jako tę osobę, a nie jako konto połączenia.

Co zmienia odebranie dostępu

Odbierzcie testowej osobie dostęp do Alfy i ponówcie czynności w nowej sesji oraz otwartej wcześniej sesji lub rozmowie. Nowa odpowiedź nie powinna korzystać z odebranych materiałów, także kopii pozostałych w rozmowie. Sprawdźcie również jej kontekst, nie sam tekst odpowiedzi. Osobno ustalcie, czy wcześniejsze odpowiedzi pozostają widoczne w historii.

Zapytaj, jak aplikacja otrzymuje zmianę praw i ile trwa jej zastosowanie. Czy sprawdza źródło przy żądaniu, czy korzysta z aktualizowanej kopii? Co robi przy błędzie aktualizacji albo nieustalonych uprawnieniach? Proponujemy wtedy zatrzymanie udostępniania spornego materiału, zamiast opierania się na dawnym dostępie.

Obejmijcie sprawdzeniem indeks wyszukiwarki, czyli kopię przygotowaną do znajdowania materiałów, oraz dane przesłane dalej. Usunięcie źródła i kopii to różne operacje. Dokumentacja Azure AI Search pokazuje, że przy niektórych sposobach zasilania indeksu usuwanie wymaga osobnej obsługi. Wykonawca powinien opisać konkretną synchronizację. Przeprowadźcie też próbę usunięcia dokumentu ze źródła i zapiszcie, kiedy przestaje pojawiać się w wynikach i odpowiedziach. Dotyczy to każdego systemu przechowującego kopię.

Odebranie uprawnienia nie wymaże przeczytanej wiedzy ani pliku pobranego wcześniej na komputer. Zasady przechowywania i usuwania tych kopii wymagają osobnego ustalenia. To ustalenie nie zastępuje kontroli nowych odpowiedzi aplikacji.

Zapis, z którym da się wrócić do błędu

Przed próbą wpisz oczekiwany wynik, po niej obserwację. Poniżej fikcyjny przykład usterki:

Data i wersja: … Prowadzi: … Obserwuje: … Konto i rola: Alfa-test, osoba prowadząca Alfę. Czynność: pytanie o propozycję ugody w Alfie. Oczekiwane: kwota Alfy, brak informacji Bety. Zaobserwowane: odpowiedź „47 318 zł”, kliknięcie źródła: odmowa dostępu. Status: usterka. Dowód: odpowiedź i lista materiałów przekazanych do odpowiedzi w próbie TEST-03. Ocenia: osoba zatwierdzająca macierz, imię i nazwisko: … Podpis: … Działanie: wykonawca poprawia filtrowanie i powtarza próby dozwolonego oraz zabronionego dostępu. Odpowiedzialny i termin poprawki: … Do tego czasu funkcja pozostaje niedostępna dla zespołu.

We własnym zapisie wskaż też konkretny materiał testowy. Przy odebraniu dostępu zapisz godzinę zmiany, uzgodniony moment utraty dostępu oraz wyniki przed i po. Wynik zgodny z oczekiwanym oznacz „potwierdzony” dla tego konta, funkcji i wersji. Nieprzetestowany eksport ma status „niezbadany”. Czas synchronizacji trzeba zmierzyć, ale nie zastępuje on decyzji, od kiedy osoba ma stracić dostęp. Ustalcie, jak od tego momentu zatrzymać dalsze udostępnianie, gdy aktualizacja trwa. Jeśli program tego nie umożliwia, wykonawca przedstawia ograniczenie przed uruchomieniem. Uzgadniacie inny sposób odcięcia dostępu albo pomijacie tę funkcję. Dostęp po ustalonej granicy to usterka.

Wykonawca przygotowuje próby techniczne; kancelaria zatwierdza macierz i ocenia ujawniony zakres. Nasz standard wdrożenia AI pomaga ustalić szerszy odbiór. Zakres ponownych prób dobierajcie do zmian w dostępie, źródłach, modelu i połączeniu. Jedna poprawna odpowiedź nie dowodzi, że inne pytanie nie ujawni fragmentu.

W LegalByte przed wyceną integracji sprawdzamy możliwości programów, licencje i interfejsy. Dane, uprawnienia i próby uzgadniamy w projekcie. Koszty dostawców, licencji, infrastruktury i utrzymania wskazujemy osobno; w projekcie z AI dotyczy to również korzystania z modeli. Płatna analiza wymaga wcześniejszego uzgodnienia zakresu i kosztu. Integracja nie obejmuje automatycznie oceny zgodności przetwarzania danych z RODO.

Osoba z początku tekstu nie musiała otworzyć notatki Bety, żeby poznać jej fragment. W odbiorze potrzebuje więc jeszcze pytania: „Co pokaże mi system, gdy nie wolno mi poznać tej sprawy?” Odpowiedź ma być zapisana w wynikach prób.