AI/RAG الأمان
اكتشف واختبر AI APIs، وحماية النماذج، وحدود الاسترجاع، والأدوات المتصلة من مجال تم التحقق منه.
ابدأ من المجال الذي تم التحقق منه
يبدأ VICE بالنطاق الذي تم التحقق منه ويكتشف المسارات ذات المصدر نفسه التي تتصرف مثل تطبيق AI APIs. يقتصر الاكتشاف على البروتوكول DNS وIP وعمليات إعادة التوجيه والأصل والطلب وعناصر التحكم في حجم الاستجابة.
تبني الوحدة خطة التحقيق الخاصة بها من السلوك العام الملحوظ. لا تحتاج إلى معرفة كل مسار API قبل بدء التدقيق.
تغطية أربعة حدود أمنية
- API: الوصول المجهول، وسلوك المصادقة غير الصالح، CORS، وفرض حد المعدل.
- النموذج اللغوي: حقن المطالبات وكشف تعليمات النظام وإشارات المخرجات الحساسة.
- RAG: عزل الاسترجاع، والتعرض بين المستأجرين، والسياق المسموم، وسلوك المستند المحذوف.
- الأدوات: جلب عنوان URL غير آمن، والوصول إلى الوجهات الداخلية، والإجراءات التي يتم تنفيذها دون الحصول على إذن كافٍ.
إطلاق التدقيق المركز
افتح AI/RAG في مساحة عمل المجال التي تم التحقق منها وابدأ الفحص. يظهر التشغيل في قائمة التدقيق المركزية بنفس الحالات الموضوعة في قائمة الانتظار، والتشغيل، والمكتملة، والفاشلة مثل عمليات التدقيق المُدارة الأخرى.
تتم إضافة المشكلات المكتشفة إلى عرض المشكلات المكتشفة في المجال. استخدم مرشح التدقيق لعزل عملية تشغيل واحدة أو مقارنة النتائج بعد الإصلاح.
اقرأ الأدلة قبل الشدة
تصف النتيجة القابلة للتنفيذ السلوك الملحوظ والثقة وعلامات الأدلة والتوصية الملموسة. لا تؤدي الحالة HTTP أو اسم المسار وحده إلى إنشاء ثغرة أمنية.
يعد فشل الاكتشاف أو الزحف أحد قيود التغطية التشغيلية. ولا ينبغي الإبلاغ عنها باعتبارها ثغرة أمنية حرجة.
إعطاء الأولوية لحالات فشل حدود الثقة
- منع الوصول المجهول أو عبر المستخدمين إلى عمليات AI الخاصة والبيانات المستردة.
- افصل تعليمات النظام والسياق الموثوق عن محتوى المستخدم غير الموثوق.
- قم بتخويل كل إجراء أداة متصل على الخادم مع المستخدم الحالي ونطاق الموارد.
- ارفض الوجهات الخاصة، ووجهات الاسترجاع، والارتباط المحلي، ووجهات البيانات التعريفية قبل جلب أي أداة.
- تطبيق حدود المعدل حسب الهوية والتشغيل، ثم التحقق من سلوكهم في ظل التكرار المحدود.
إصلاح وإعادة اختبار نفس السطح
قم بتصحيح التفويض أو الاسترجاع أو المطالبة أو حدود الأداة التي أنتجت الدليل. أعد تشغيل AI/RAG من نفس مساحة عمل المجال وقارن التغطية المكافئة قبل وضع علامة على أن المشكلة قد تم حلها.
إذا تغير الاكتشاف بعد النشر، فراجع المسارات والتغطية التي تمت ملاحظتها حديثًا قبل مقارنة تغييرات نقاط الأمان.
تواصل مع VICE
تعرف على كيفية قيام VICE باختبار AI APIs وحدود الاسترجاع والأدوات المتصلة.