Link w odpowiedzi też może wysłać dane poza firmę

W odpowiedzi asystenta pojawił się niewielki obraz. Pracownik czytał podsumowanie, a przeglądarka pobrała ilustrację z zewnętrznego serwera. W adresie pobrania znalazł się fragment informacji z analizowanego materiału. Nikt nie dodawał załącznika do wiadomości. Odbiorca danych pojawił się przy samym wyświetlaniu wyniku.

To hipotetyczny przebieg w biurze tłumaczeń. Asystent porządkuje harmonogram projektu na podstawie dopuszczonych dokumentów. Ma przedstawić odpowiedź w wewnętrznym panelu, bez przekazywania treści do nowych usług. Zespół ograniczył narzędzia wysyłkowe agenta, lecz nie sprawdził jeszcze, co panel robi z wygenerowanym obrazem lub adresem.

Problem dotyczy całej drogi odpowiedzi. Model wytwarza tekst, ale inny komponent może zamienić go w odnośnik, pobrać obraz lub przygotować podgląd strony. Do oceny trzeba więc dołączyć miejsce wyświetlania i jego połączenia. Sam opis „agent niczego nie wysyła” jest za wąski, jeżeli obok działa przeglądarka lub serwer podglądu.

Najpierw znajdź wykonawcę żądania

W naszym biurze odpowiedź trafia do panelu rozmowy. Ten panel może pokazywać zwykły tekst albo interpretować formatowanie. Renderer to komponent zamieniający zapis na widoczny wynik. Jeżeli rozpoznaje obraz wskazany zewnętrznym adresem, dalsze zachowanie trzeba ustalić dla rzeczywistej implementacji. Nie każdy panel obsługuje te same elementy.

Microsoft opisuje ryzyko niekontrolowanego przetwarzania odpowiedzi AI, w tym żądanie obrazu powstałe przy renderowaniu wyniku. Zaleca traktowanie odpowiedzi jako niezaufanej przed przekazaniem do kolejnych komponentów.

Dla pojedynczego odnośnika przygotuj mapę: kto rozpoznaje adres, kto inicjuje pobranie i gdzie pojawia się odpowiedź. Może to być przeglądarka pracownika, usługa przygotowująca miniaturę albo narzędzie agenta, które odwiedza stronę. Każda z tych dróg ma inną konfigurację oraz innego właściciela. Nie należy utożsamiać ich z jedną ogólną funkcją „linki”.

Własny serwer podglądu również nie kończy pytania o odbiorcę. Jeśli pośrednik pobiera zewnętrzny adres, to zewnętrzna usługa nadal otrzymuje skierowane do niej żądanie. Może zmienić się wykonawca połączenia, ale dane umieszczone w adresie pobrania nadal wymagają kontroli. Schowanie adresu komputera pracownika nie jest tym samym co usunięcie treści z adresu docelowego.

Zapisz moment uruchomienia. Zwykły odsyłacz, świadomie otwarty przez użytkownika, to inny przebieg niż automatyczny podgląd lub obraz pobierany przy pokazaniu odpowiedzi. W niektórych produktach istotne może być dopiero rozwinięcie wyniku albo najechanie na odnośnik. Zakres odbioru powinien obejmować funkcje faktycznie dostępne w panelu, bez zakładania ich na podstawie samego wyglądu.

Ocenę piaskownicy agenta i jej ograniczeń sieciowych połącz z tą mapą. Jeżeli agent działa bez dostępu do internetu, a panel otwiera adresy we własnej warstwie, pozytywny wynik blokady agenta nie opisuje zachowania panelu. Trzeba wskazać, którego wykonawcę obejmuje każda kontrola.

Adres jest częścią przekazywanych danych

W biurze tłumaczeń nazwa projektu i termin realizacji należą do materiału zadania. Jeżeli pojawią się w docelowym adresie zewnętrznego pobrania, nie przestają być informacją tylko dlatego, że zapisano je jako fragment URL. W odbiorze przyjrzyj się całemu adresowi, a nie jedynie nazwie serwera i etykiecie widocznej dla pracownika.

Krótki napis „źródło” może prowadzić do znacznie dłuższego celu. Miniatura może wyglądać na zwykłe logo. Żaden z tych widoków nie pokazuje automatycznie, jakie parametry zostały dołączone. Interfejs potrzebuje sposobu rozpoznania celu przed działaniem, jeśli ma on wymagać decyzji użytkownika. Samo zatwierdzenie wyglądu odpowiedzi nie jest świadomym zatwierdzeniem wszystkich żądań w tle.

Pytanie o zgodę musi poprzedzać czynność, której dotyczy. Jeśli panel najpierw pobiera miniaturę, a potem pyta „Czy otworzyć zewnętrzną stronę?”, potwierdzenie dotyczy już innego, późniejszego kroku. Nie cofnie wcześniejszego pobrania. W biurze tłumaczeń decyzja o kontakcie z nowym miejscem musi poprzedzać tę konkretną czynność, jeśli tak ustalono zakres pracy. Do próby dodaj odmowę i sprawdź ślad od pierwszego wyświetlenia wyniku, nie dopiero od chwili naciśnięcia przycisku.

Nie mieszaj tej kontroli z samym nagłówkiem informującym o stronie odsyłającej. MDN opisuje Referrer-Policy jako kontrolę danych przesyłanych w nagłówku Referer. Nie jest to opis usuwania danych z docelowego URL.

Praktyczny wniosek dla naszego procesu jest prosty: ograniczenie informacji o stronie odsyłającej nie zastępuje oceny adresu, który aplikacja sama przygotowała do pobrania. Te dwie rzeczy powinny mieć osobne pozycje w dowodzie. Inaczej zespół może poprawnie sprawdzić jedną kontrolę i błędnie uznać, że rozliczył cały ruch odpowiedzi.

Sprawdź także przekierowanie, jeśli występuje w używanym mechanizmie. Znany początkowy adres nie powinien być automatycznym dowodem tożsamości wszystkich kolejnych odbiorców. Wykonawca powinien określić, jak panel lub pośrednik obsługuje zmianę celu i jakie ograniczenie pozostaje wtedy aktywne. Nie wystarczy odczyt nazwy pierwszego serwera z widocznego odnośnika.

Podpis zdarzenia uruchamiającego proces również nie nadaje prawa do pobierania każdego adresu w treści. Prawdziwa wiadomość z firmowej usługi może zawierać tekst dodany przez zewnętrzną osobę. Pochodzenie dostawy, pochodzenie odnośnika i zgoda na przekazanie danych mają różne podstawy.

Pozwól czytać wynik bez automatycznego kontaktu z nowym miejscem

Właściciel procesu powinien najpierw określić, czy zewnętrzny obraz lub podgląd jest w ogóle potrzebny. W podsumowaniu harmonogramu tłumaczeń wartością są terminy i zależności. Dekoracyjna ilustracja może nie wnosić niczego do zadania. Rezygnacja z automatycznego pobrania bywa wtedy prostszą decyzją niż utrzymywanie rozbudowanego wyjątku dla ozdobnika.

Link do zatwierdzonego źródła może pozostać potrzebny do sprawdzenia treści. Projekt powinien odróżniać pokazanie adresu od jego odwiedzenia oraz udostępniać uzgodniony sposób otwarcia. Użytkownik ma rozpoznać, co zostanie wykonane i przez który komponent.

OWASP opisuje Improper Output Handling jako brak odpowiedniej kontroli wyniku przed dalszym użyciem. Wskazuje walidację i kodowanie dopasowane do kontekstu. Jedna ogólna operacja „oczyszczania” nie opisuje każdego sposobu wykorzystania odpowiedzi.

Przy panelu ustal z wykonawcą dopuszczone elementy formatowania i obsługę zewnętrznych zasobów. Dla obrazu, zwykłego adresu i pobieranego podglądu mogą działać różne reguły. Ich opis powinien dotyczyć używanej wersji. Wyłączenie aktywnego HTML nie jest jeszcze odpowiedzią na pytanie o pozostałe obsługiwane elementy.

W przeglądarce jedną z warstw może być CSP, Content Security Policy, czyli zestaw reguł określających dopuszczone zasoby strony. Dyrektywa img-src określa dozwolone źródła obrazów. Jej nazwa i zakres nie oznaczają automatycznej blokady każdej nawigacji ani żądań wykonywanych przez osobny serwer podglądu.

Do odbioru potrzeba więc informacji, gdzie polityka faktycznie obowiązuje. Jeśli zewnętrzny obraz został zablokowany w przeglądarce, wynik odnosi się do tego żądania i konfiguracji. Pośrednik pobierający miniaturę ma własną drogę. Nie rozszerzaj jednego prawidłowego wyniku na wszystkie komponenty tylko dlatego, że użytkownik widzi je w jednym panelu.

Próba z nieszkodliwym znacznikiem

Badanie tej drogi nie wymaga używania poufnych dokumentów. Z wykonawcą przygotuj zamknięte środowisko, syntetyczny materiał i kontrolowany odbiornik testowy. Znacznik powinien być jawnie fikcyjny, niepodobny do danych klienta i łatwy do odnalezienia w zapisie próby. To proponowany sposób kontroli, nie deklaracja testu wykonanego w tym artykule.

Najpierw ustal normalny wynik zadania: odpowiedź dostępna w panelu bez nieuzgodnionego przekazania znacznika poza wskazany zakres. Potem przejdź uzgodnione sposoby wyświetlania i otwierania. Przy każdym zapisz, czy adres tylko znalazł się w tekście, czy nastąpiła próba połączenia, czy żądanie zostało zablokowane oraz co odebrał kontrolowany punkt.

Widoczny tekst adresu nie dowodzi jeszcze, że nastąpiła transmisja. Z kolei brak obrazka na ekranie nie dowodzi, że żądania nie było. Pobranie może zakończyć się błędem albo obraz może pozostać niewidoczny. Ocena ma korzystać z odpowiedniego śladu sieciowego, a nie wyłącznie ze zrzutu rozmowy.

Dodaj zwykły, dopuszczony materiał kontrolny. Jeżeli panel blokuje każde wskazanie źródła, może uniemożliwiać potrzebną weryfikację. W naszym biurze chodzi o zachowanie odnośnika do właściwej instrukcji projektu bez automatycznego ujawniania treści innemu odbiorcy. Skuteczność ograniczenia oraz użyteczność zatwierdzonej drogi trzeba sprawdzić osobno.

W pakiecie dowodów zachowaj wersję materiału, odpowiedź przed wyświetleniem, konfigurację panelu i opis faktycznych czynności. Wykonawca powinien wskazać, w którym miejscu zarejestrowano żądanie lub jego blokadę. Rejestr samego narzędzia agenta może nie obejmować połączenia zainicjowanego później przez przeglądarkę. To nie musi być błąd tego rejestru; może oznaczać, że oglądano niewłaściwe miejsce.

Zestaw obserwację z treścią odpowiedzi przed jej pokazaniem. Pozwoli to odróżnić adres wygenerowany przez model od adresu dopisanego przez usługę podglądu. Następnie wskaż, który komponent przekazał znacznik do kontrolowanego odbiornika. Sama obecność znacznika w rejestrze końcowym nie wyjaśnia całej przyczyny. Nota ma powiązać wersję tekstu z działaniem panelu i zarejestrowanym żądaniem. Nie powinna przypisywać modelowi czynności wykonanej przez inną część aplikacji.

Odpowiedź może zmienić otoczenie po zapisaniu

Wynik odczytany bez pobrań w jednym panelu może zostać skopiowany do wiadomości albo dokumentu. Po drodze zmieni się sposób interpretowania treści. Przy pliku HTML lub SVG z AI kontroluje się aktywną zawartość oraz warunki otwarcia. Tutaj zaczynamy wcześniej, od zwykłej odpowiedzi rozmowy, która może dopiero stać się takim materiałem.

Podobnego osobnego odbioru wymaga dokument Office z odnośnikami i zasobami zewnętrznymi. Nie trzeba zakładać, że każdy eksport jest niebezpieczny. Trzeba wskazać format i drogę użycia, które rzeczywiście oceniono. Zapisanie pliku nie przenosi automatycznie ograniczeń panelu do programu odbiorcy.

Po poprawce panelu powtórz przypadek, który ujawnił nieuzgodnione żądanie. Sprawdź też, czy właściwa instrukcja nadal daje się otworzyć dopuszczoną drogą. Jeżeli zmienił się renderer, usługa miniatur albo sposób eksportu, wcześniejszy dowód może nie obejmować tej wersji. Odbiór powinien wskazywać aktualne komponenty, a nie tylko nazwę asystenta.

Przy poprawce pamiętaj również o zapisanych wcześniej rozmowach. Pracownik może otworzyć dawną odpowiedź już w nowym panelu. Ustal z wykonawcą, czy zmieniona reguła obejmuje także taki powrót, i przejdź go na materiale próbnym. Nie wystarczy odebrać wyłącznie nowego generowania. Z punktu widzenia biura stary harmonogram nadal jest dokumentem używanym w pracy, a jego ponowne wyświetlenie ma podlegać świadomie ustalonym zasadom.

Prompt injection w dokumentach wyjaśnia, skąd może nadejść obce polecenie. Ten przegląd ustala, kto później wykonuje żądanie sieciowe. Rozdzielenie tych pytań pozwala ograniczyć konkretny skutek nawet wtedy, gdy nie da się obiecać bezbłędnej interpretacji każdej przyszłej odpowiedzi modelu.

W Aeneia Audit można uporządkować operacyjny obieg wyniku AI i wymagania do jego odbioru. Techniczne zabezpieczenie renderera oraz sieci wymaga właściwego wykonawcy i osobnego potwierdzenia. Dla biura tłumaczeń celem jest podsumowanie, które można przeczytać i sprawdzić we wskazanym źródle. Zewnętrzny obraz nie powinien po cichu dopisywać nowego odbiorcy harmonogramu.