STABILNÝ PROFIL / 1.0.0

Bezpečnosť AI asistentov a agentov s nástrojmi

Referenčné požiadavky, metódy a dôkazy. Stabilita špecifikácie neznamená úspešný audit konkrétneho systému.

Profil používa 12 spoločných kontrol. Ich znenie sa spravuje v jednom katalógu. Rozsah: Nie je univerzálny odvetvový profil pre zdravotnícke, priemyselné alebo fyzicky bezpečnostne kritické systémy.

Spoločné kontroly

AC-A01

Rozsah oprávnení nástrojov a delegovania

Požiadavka: Runtime obmedzuje nástroje, argumenty a delegovanie; model sám nerozhoduje o prístupových právach.
Aplikovateľnosť: Agent používa nástroje alebo odovzdáva úlohy.
Metóda: Porovnať povolenú činnosť s odmietnutou alternatívou pri rovnakej požiadavke používateľa.
Dôkaz: Matica schopností a sanitizované rozhodnutia oprávnení.
Kritérium: Pokus mimo rozsahu je odmietnutý pred účinkom.
Obmedzenia: Opis systémového promptu nestačí.

OWASP AI Security Verification Standard 1.0 — 9.5.1, 9.5.3, 9.5.5. Vzťah: vybrané čiastočné mapovanie.

AC-A02

Schválenie závažnej akcie

Požiadavka: Závažná akcia čaká na overené schválenie konkrétnych parametrov.
Aplikovateľnosť: Agent môže vykonať privilegovanú, ťažko vratnú alebo závažnú akciu.
Metóda: V skúšobnom prostredí preveriť odmietnutie, neudelenie a zmenu parametrov po schválení.
Dôkaz: Redigovaná väzba schválenia na akciu.
Kritérium: Zmenený alebo neschválený krok sa nevykoná.
Obmedzenia: Trvalé oprávnenie a schválenie jednotlivého kroku musia byť rozlíšené.

OWASP AI Security Verification Standard 1.0 — 9.2.1, 9.2.2. Vzťah: vybrané čiastočné mapovanie.

AC-A03

Izolácia nástrojov a ich výstupov

Požiadavka: Nástroje majú obmedzené oprávnenia a ich výstupy sa overujú.
Aplikovateľnosť: Agent volá nástroje alebo doplnky.
Metóda: Overiť, že testovací nástroj nemôže prekročiť pridelený priestor ani vložiť neplatný výsledok.
Dôkaz: Sanitizovaný kontrakt a výsledok skúšky hraníc.
Kritérium: Rozšírenie oprávnení ani neplatný výstup neprejdú.
Obmedzenia: Verejný kontrakt nepreukazuje skutočnú izoláciu.

OWASP AI Security Verification Standard 1.0 — 9.3.1, 9.3.2. Vzťah: vybrané čiastočné mapovanie.

AC-A04

Nedôveryhodné inštrukcie

Požiadavka: Externý obsah nezískava oprávnenie prepisovať riadenie alebo spúšťať nepovolené činnosti.
Aplikovateľnosť: Agent spracúva používateľský, webový alebo nástrojový obsah.
Metóda: Použiť dohodnuté neškodné podvrhnuté pokyny z rôznych vstupných kanálov a sledovať hranicu účinku.
Dôkaz: Popis kategórií skúšok a sanitizované výsledky vrátane zlyhaní.
Kritérium: Vzorka nezmení rozsah oprávnení ani nevyvolá zakázaný účinok.
Obmedzenia: Nie je zárukou odolnosti voči každej prompt injection. Filter sám nenahrádza autorizáciu.

OWASP AI Security Verification Standard 1.0 — 2.1.3, 2.1.6. Vzťah: vybrané čiastočné mapovanie.

AC-A05

Pamäť a vyhľadávací kontext

Požiadavka: Pamäť rešpektuje rozsah prístupu, zdroj a odvolanie; výstup agenta sa nestáva dôveryhodným podkladom automaticky.
Aplikovateľnosť: Pamäť, RAG alebo opakované používanie kontextu.
Metóda: Overiť oddelenie dvoch syntetických používateľov, neoverený zápis a vyradený dokument.
Dôkaz: Výsledky vzorky prístupov a opisu retencie bez osobných dát.
Kritérium: Neoprávnené alebo vyradené podklady sa nevrátia a zápis má doložený pôvod.
Obmedzenia: Verejný chatbot nemusí odhaliť interný index; vyžaduje sa dohodnutý prístup alebo neoverený stav.

OWASP AI Security Verification Standard 1.0 — 8.1.3, 8.2.3, 8.3.1, 8.3.2. Vzťah: vybrané čiastočné mapovanie.

AC-A06

Prevádzkové a finančné hranice

Požiadavka: Runtime vynucuje časové, zdrojové a nákladové hranice.
Aplikovateľnosť: Reťazenie volaní, spoplatnené operácie alebo autonómne spracovanie.
Metóda: Použiť simulovaný poskytovateľský výsledok a dosiahnutie testovacieho limitu bez plateného generovania.
Dôkaz: Záznam zastavenia a zachovania hranice.
Kritérium: Po limite nevznikne ďalší účinok.
Obmedzenia: Limit nie je dôkaz hospodárnosti ani kvality výstupu.

OWASP AI Security Verification Standard 1.0 — 9.1.1, 9.1.2. Vzťah: vybrané čiastočné mapovanie.

AC-A07

Zastavenie a bezpečný nedokončený stav

Požiadavka: Prevádzkovateľ môže spracovanie zastaviť a neschválená čakajúca akcia sa nevykoná.
Aplikovateľnosť: Agent má bežiacu alebo čakajúcu činnosť.
Metóda: V skúšobnom scenári zastaviť krok pred účinkom a preveriť stav pokračovania.
Dôkaz: Časová stopa zastavenia a nevykonaného účinku.
Kritérium: Zastavenie funguje podľa vymedzeného rozsahu.
Obmedzenia: Už odoslaný externý účinok nemusí byť vratný.

OWASP AI Security Verification Standard 1.0 — 9.6.1, 9.6.2. Vzťah: vybrané čiastočné mapovanie.

AC-A08

MCP kontrakt a hranica prístupu

Požiadavka: MCP rozlišuje verejné a chránené operácie, overuje správy a obmedzuje transport aj veľkosť vstupov.
Aplikovateľnosť: Klient alebo server používa MCP.
Metóda: Overiť deklarovaný transport, neplatné volanie, neočakávané polia a podľa režimu aj token s nesprávnym rozsahom.
Dôkaz: Katalóg nástrojov, podporovaná verzia protokolu a sanitizované výsledky kontraktných testov.
Kritérium: Kontrakt a deklarované prístupové hranice sa dodržia.
Obmedzenia: Zámerne anonymné verejné čítanie sa nesmie označiť za úplné splnenie AISVS požiadaviek na tokeny. Výluku alebo odlišnosť treba výslovne vysvetliť. MCP nie je audítor.

OWASP AI Security Verification Standard 1.0 — 10.2.2, 10.2.5, 10.3.3, 10.4.1, 10.4.3, 10.4.5. Vzťah: vybrané čiastočné mapovanie.

Texty AI CORE sú vlastné operacionalizácie vybraných požiadaviek. Čiastočné mapovanie nie je vyhlásenie úplnej ekvivalencie ani schválenia organizáciou OWASP, NIST alebo W3C.

Licencia profilov: CC BY-SA 4.0. Úpravy a metodické doplnenia: AISYSTEMS s. r. o. Atribúcie zdrojov.