Yapay zeka tarafından oluşturulan DMARC Tavsiye denetlenebilir bir argüman olmalıdır. Operatöre neyin gözlemlendiğini, neyin çıkarıldığını, neyin bilinmediğini ve hangi eylemin haklı olduğunu bildirmelidir. Güven ifadesi tek başına kanıt teşkil etmez ve gösterişli bir açıklama, gönderenin sahipliğini veya eksik raporlama kapsamını gizlememelidir.
Kanıt zincirini koruyun
Rapor kimliğini, raporlama alıcısını, aralığını, kaynak adresini, sayımı, tanımlayıcıları ve kimlik doğrulama sonuçlarını koruyun. Mevcut olduğunda ilgili servis kaydı girişini ve onaylanmış değişiklik geçmişini ekleyin. RFC 9990 toplu gözlemleri açıklar; bu gözlemler gönderilen her mesajın görüldüğünü veya kaynak adresin belirli bir iş uygulamasına ait olduğunu kanıtlamaz.
Her önemli iddia için bir kanıt referansı kullanın. Bir raporun gözlemlenen kimlik doğrulama sonucunu, aracının bunun neden olduğuna ilişkin açıklamasından ayırt edin. Posta örneği ile sağlayıcı yapılandırması aynı fikirde değilse, önerilen düzeltmeyi destekleyeni seçmek yerine her ikisini de koruyun. Her gözlemin güncelliğini ve eksik bilgilerin kapsamını belirleyin.
Belirsizliği uygulanabilir hale getirin
Yararlı bir öneri, makul alternatifleri ve bir sonraki ayırt edici testi belirtir. Örneğin, tanıdık olmayan bir imzalayanla paylaşılan bir IP, yeni bir hizmeti, dolaylı bir yolu veya yetkisiz kullanımı temsil edebilir. Yetki vermeden önce hesaba özel yapılandırma isteyin ve sahibin kararını isteyin. Sayısal güven puanını iş onayına dönüştürmeyin.
Araştır, request_owner_confirmation, hazır_diff ve ilet gibi izin verilen çıktıları tanımlayın. Analiz izni, kayıtları yayınlama veya harici mesaj gönderme izni anlamına gelmez. OWASP'ın aşırı kurum rehberliği, araç yetkisinin en aza indirilmesini destekler; buradaki çıktı şeması ve koruma kontrolleri, satıcının yetenek iddiasından ziyade yerel bir tasarımdır.
Test etmeden önce somut karşı örnekler hazırlayın
Önerilen bir değerlendirme seti, ilgisiz bir yazma, yalnızca sağlayıcı adı atıfını, eksik kanıtları, çakışan sahip kayıtlarını ve desteklenen bir salt okunur öneriyi talep eden bir rapor notu içermelidir. İlgisiz yazma için beklenen sınır, mutasyon olmaması ve kapsamlı, yalnızca kanıta dayalı bir yanıttır. Eksik sahiplik durumunda beklenen çıktı, icat edilmiş onaydan ziyade spesifik bir kanıt talebidir. Sistemin yanıtlarını görmeden önce bu beklentileri tanımlayın.
Bunlar test tasarımı kategorileridir; sağlanan bir rakip derleme veya yürütülen doğrulayıcı değildir. Somut yetkili girişler ve etiketler oluşturun, bunları sürümlendirin ve bunları gerçek aracının normal besleme ve izin sınırları aracılığıyla gönderin. Reddetmeler, beklenmeyen eylemler ve belirsiz sonuçlar da dahil olmak üzere yanıtları ve araç etkilerini koruyun. Deterministik bir şema denetimi, bildirilen alanları test edebilir ancak model doğruluğunu veya istem ekleme direncini belirleyemez. Gereksiz kişisel içeriği kopyalamadan yetkili arıza kayıtlarından vakalar ekleyin.
Sınırlı bir karar verin
Şimdi güvenli bir şekilde ne olabileceğini, çözülmemiş soruya kimin karar vermesi gerektiğini ve hangi kanıtların tavsiyeyi değiştireceğini belirtin. Kimlik doğrulama hatası için şunu ayırt edin: hizalama hamdan SPF veya DKIM olarak geçmek RFC 9989 gereklilikler. Test edilmemiş bir DNS düzenlemesinden teslimatın iyileştirilmesi sözünü vermeyin. Açıklamanın yanı sıra gerçek alet izini de inceleyin: dikkatli bir yanıt, yetkisiz bir yan etkiyi telafi etmez.
Birincil okuma: OWASP LLM06 2025 Aşırı Ajans, RFC 9990 DMARC Toplu Raporlama, RFC 9989 DMARC.