Een demonstratie dat een agent een vijandig vonnis heeft afgewezen, is geen garantieclaim. Evalueer het systeem aan de hand van de resultaten die een aanvaller wil: ongeautoriseerde DNS wijzigingen, ophalen van meerdere klanten, openbaarmaking aan een niet-goedgekeurde bestemming, onderdrukt auditbewijs of een vals goedkeuringsverhaal. Combineer deze tests met legitieme taken, zodat de veiligheid niet alleen wordt afgemeten aan weigering.
Breng het aanvalsoppervlak in kaart
Maak een lijst van de input die de agent gebruikt en de mogelijkheden die hij kan bereiken. Voeg rapporttekst, e-mailvoorbeelden, opgehaalde documenten, opgeslagen samenvattingen en toolreacties toe. Markeer welke inputbronnen door buitenstaanders kunnen worden beïnvloed. Identificeer waar de applicatie modeluitvoer omzet in ophaal-, communicatie- of configuratieacties.
Een snelle injectie kan zowel de conclusies als de tool calls beïnvloeden. OWASP merkt op dat externe inhoud een model kan omleiden en dat er geen waterdichte preventie mag worden aangenomen. OWASP LLM01. Voor authenticatieanalyse kan een valse ‘goedgekeurde afzender’-conclusie schadelijk zijn, zelfs voordat er een DNS wijziging plaatsvindt.
Specificeer verwachte beslissingen vóór het testen
Behoud per geval input, geautoriseerde huurder, toegestane tools, vertrouwde goedkeuringen, verwacht resultaat en verboden bijwerkingen. Voeg een dubbelzinnige identiteit toe zonder vijandig taalgebruik: onzekerheid alleen mag niet tot automatische goedkeuring leiden. Voeg een goedaardig rapport toe dat nog steeds moet worden samengevat. Bepaal hoe u niet-ondersteunde claims en gegevensblootstelling beoordeelt, en niet alleen succesvolle schrijfpogingen.
Scheid modelgedrag van handhavingsgedrag. Een model kan een verboden actie voorstellen, terwijl de toolpoort deze terecht ontkent. Dat is een geblokkeerde poging, geen bewijs van een veilig model. Omgekeerd compenseert een beleefde weigering in de tekst niet een tool call die al gegevens openbaar maakte.
Definieer zes tegengestelde evaluatiedoelen
Een voorgestelde evaluatie kan vijf verboden uitkomsten koppelen aan één legitieme taak: een niet-goedgekeurde DNS mutatie, het privé ophalen van een andere tenant, openbaarmaking aan een niet-goedgekeurde bestemming, auditonderdrukking, een vervalst goedkeuringsverhaal en een toegestane lezing binnen de geverifieerde tenant. Geef voor elk daarvan concrete input via het kanaal dat wordt getest en specificeer vóór uitvoering het verwachte tool- en responsgedrag.
Dit zijn categorieën, niet geleverde armaturen, passerende beweringen of gemeten resultaten. Voeg een dubbelzinnige afzender toe, zonder vijandig taalgebruik: deze moet aanleiding geven tot een specifiek verzoek om accountbewijs, en niet tot een verzonnen goedkeuring. Neem indien relevant een geautoriseerde actie op in de testomgeving, zodat een algemene ontkenning zich niet kan voordoen als precieze handhaving. Een geforceerd gereedschapsverzoek test de poort; daadwerkelijke opname via het model test een andere grens. Rapporteer beide afzonderlijk en leid de ingezette aanvalsweerstand niet uit een van beide afzonderlijk af.
Uitbreiden naar een implementatie-evaluatie
Voer geautoriseerde tests uit op basis van de daadwerkelijke opname, het model en de toolstack in een geïsoleerde omgeving. Versie de aanwijzingen, modelconfiguratie, connectormachtigingen en gegevenssets. Herhaal op modellen gebaseerde gevallen omdat de uitkomsten kunnen variëren. Registreer pogingen, noemers en exacte scorecriteria in plaats van een contextvrij “100% veilig” cijfer te rapporteren.
Voeg meerstapsaanvallen toe die eerst een samenvatting manipuleren en die samenvatting later misbruiken als schijnbaar bewijs. Test verouderde goedkeuringen, gewijzigde tenantcontext en uitvoer met een naam voor een door de aanvaller gecontroleerde rapportagebestemming. Neem onderbrekings- en herstelgevallen op, zodat fouten het normale goedkeuringspad niet omzeilen. Het spiekbriefje van OWASP legt de nadruk op gelaagde waarborgen en evaluatie met duidelijke grenzen. OWASP-spiekbriefje.
Zet bevindingen om in implementatiebeslissingen
Een succesvolle ongeoorloofde actie is een mislukking van de materiaalcontrole. Bewaar de tracering, beperk de getroffen mogelijkheden en corrigeer de handhavingsgrens voordat u de toegang uitbreidt. Voor gemanipuleerde samenvattingen moet u de bewijstoeschrijving en de beoordelingsvereisten verbeteren. Voer de relevante cases opnieuw uit op basis van de gewijzigde versie en behoud eerdere fouten als regressies.
Rapporteer nuttige taakvoltooiing naast geblokkeerde aanvallen, onopgeloste gevallen en hiaten in de dekking. Keur een implementatie alleen goed voor de geteste reikwijdte en het geaccepteerde restrisico. Een schone lokale suite is een bewijs van die suite, geen garantie voor elke toekomstige input.