عمليات التدقيق الأمني AI SaaS / Rubrex
تقييمات الأمن ومعالجة البيانات LLM لتطبيقات الذكاء الاصطناعي ومنتجات SaaS والوكلاء. اكتشف أين يمكن أن يحدث خطأ في الوصول والإجراءات وبيانات العملاء، ثم قدم لفريقك الأدلة التي يمكنه التصرف بناءً عليها.
تقييم وهندسة الذكاء الاصطناعي هو أساسنا. يجلب تقييم الأمان نفس الانضباط إلى الحدود المحيطة بمنتجك.
01التقييم
يقوم التدقيق الأمني لـ AI SaaS بفحص التطبيق وسير عمل الذكاء الاصطناعي الخاص به والبيانات التي يتصل بها. نحن نوافق على عمليات الفحص التي تنطبق على منتجك ونبلغ بوضوح عن المناطق التي لم يتم اختبارها.
اختبر ما إذا كانت المطالبات غير الموثوقة أو المستندات المستردة أو مخرجات الأداة يمكنها تغيير مهمة المساعد المعتمدة.
تحقق مما إذا كان بإمكان المستخدمين والوكلاء الوصول فقط إلى السجلات والمستندات والإجراءات التي تسمح بها أدوارهم.
تتبع بيانات العميل من خلال التطبيق وموفري النماذج والتسجيل والتحليلات والتخزين.
قم بمراجعة التطبيق حول النموذج، بما في ذلك الواجهات التي تقبل البيانات وتنفذ الإجراءات.
قم بتقييم ما إذا كان النظام يسترد الأدلة المسموح بها وذات الصلة ويحافظ على المعنى عند معالجة البيانات.
قم بقياس كيفية تصرف سير عمل الذكاء الاصطناعي عند فشل الأدلة أو الأدوات أو مقدمي الخدمة، وبعد الإصلاح المقترح.
02مطالبات البيانات، محددة
تعد معالجة الطلب والاحتفاظ بالسجل ومشاركة البيانات مع المزود واستخدام البيانات للتدريب أنشطة مختلفة. يحدد التقييم المفيد المطالبة والأدلة والحدود.
| سؤال | أدلة الفحص | ما يميز التقرير |
|---|---|---|
| هل يتم استخدام محتوى العميل للتدريب؟ | مسارات البيانات وإعدادات الموفر والشروط المعمول بها والسجلات المتاحة. | التكوين الملحوظ والبيانات التعاقدية والسلوك الذي لا يمكننا فحصه. |
| هل يستطيع أحد العملاء الوصول إلى بيانات عميل آخر؟ | اختبارات التفويض عبر واجهات برمجة التطبيقات والاسترجاع والتخزين وذاكرة التخزين المؤقت. | الأدوار والمسارات التي تم اختبارها، بما في ذلك أي فجوات في الوصول أو التغطية. |
| ماذا يبقى بعد الحذف؟ | سير عمل الحذف والسجلات والاحتفاظ بالموفر والنسخ الاحتياطية والاستثناءات الموثقة. | سلوك الحذف الذي تم التحقق منه مقابل الاستبقاء يعتمد على السياسة أو طرف ثالث. |
| هل البيانات المستخرجة أو الناتجة صحيحة؟ | الحالات المرجعية التمثيلية والفحوصات على المستوى الميداني ودعم المصدر. | الجودة المُقاسة في مجموعة التقييم، منفصلة عن نتائج الأمان والخصوصية. |
03ما يحتفظ به فريقك
إصدار المنتج والبيئات والأنظمة المعتمدة ومسارات البيانات والاستثناءات التي تم تقييمها.
المشكلات ذات الأولوية المتعلقة بالمكونات المتأثرة وأدلة الاستنساخ وتأثير الأعمال والإصلاحات الموصى بها.
الحالات المتفق عليها، والسلوك الملحوظ، والتكوينات، والأسئلة التي لم يتم حلها، ونتائج الإصلاحات التي تم إعادة اختبارها ضمن النطاق.
ملخص تنفيذي وتقرير فني والإجراءات اللاحقة. ويمكن إعداد ملخص عام منفصل عندما يتم الاتفاق عليه ودعمه بالأدلة.
04كيفية سير العمل
يبدأ الاختبار بتفويض كتابي وأنظمة الهدف والإجراءات المسموح بها وشروط التوقف. نحن نستخدم البيانات الاصطناعية أو المعتمدة ونسجل حدود الوصول المتاح.
يعين النطاق عمليات التحقق ذات الصلة بـ OWASP ASVS ويأخذ في الاعتبار إرشادات OWASP فيما يتعلق بـ LLM والمخاطر الوكيلة. يسمي التقرير الإصدارات والمتطلبات المستخدمة بالفعل.
إقرأ طريقة التقييمقم بتخطيط سير عمل الذكاء الاصطناعي وتدفقات البيانات والأذونات والأسئلة التي يجب أن يجيب عليها التقييم.
قم بإجراء الفحوصات المتفق عليها، وفحص الأدلة الداعمة، وفصل المشكلات التي تمت ملاحظتها عن المخاوف التي لم يتم التحقق منها.
شرح التأثير واقتراح الإصلاحات وتسجيل نتيجة الاختبارات المتفق عليها مقابل النظام المحدث.
تسليم النتائج والقيود المتبقية وخطة العمل التالي العملية.
05شارات التقييم
يجب أن تحدد شارة تقييم Rubrex منتجًا محددًا تمت مراجعته وترتبط بسجل عام يتضمن النطاق والتواريخ وملخص الأدلة والحالة الحالية. ولا يمكن أن يمثل هذا المصطلح "صفر خطر" أو "عدم استخدام البيانات".
تعتمد أهلية الشارة على المعايير الموثقة وأدلة إعادة الاختبار. يتطلب أي تغيير جوهري في النظام الذي تم تقييمه مراجعة المطالبات المتأثرة.
اقرأ متطلبات الشارة06قبل أن نبدأ
إنه تقييم موسع لأمان تطبيقات منتج الذكاء الاصطناعي، وحدود النماذج والوكلاء، ومعالجة بيانات العملاء. يمكن لـ Rubrex أيضًا تقييم الاسترجاع والبيانات المنظمة وجودة المخرجات مقابل المتطلبات المتفق عليها. ويفصل التقرير بين النتائج الأمنية ونتائج الجودة.
يمكننا مراجعة تدفقات بيانات التطبيق، وإعدادات الموفر ذات الصلة، والعقود، والأدلة الفنية المتاحة لمطالبة استخدام التدريب المحددة بدقة. يتم تسمية بيان الموفر على هذا النحو. لا يمكننا إثبات السلوك الداخلي غير المكشوف عنه لمقدم الخدمة من خلال اختبار التطبيق أو توسيع نطاق النتيجة إلى ما هو أبعد من الإعداد الذي تم تقييمه.
يتم تحديد نطاق عمليات تدقيق الأمان بشكل منفصل. يظل Sprint عبارة عن تقييم لمدة 10 أيام عمل لحالة استخدام واحدة. إذا كانت هناك حاجة إلى كليهما، فإننا نتفق على كيفية توافق حالات التقييم وفحوصات الأمان والتسليمات معًا قبل بدء العمل.
يمكن للأتمتة والتحليل بمساعدة الذكاء الاصطناعي دعم العمل المتفق عليه. تحتاج النتائج إلى أدلة ومراجعة قابلة للتكرار؛ إن الأحكام الصادرة عن النموذج أو مخرجات الماسح الضوئي وحدها لا تكفي لإثبات مطالبة التقييم. يجب الموافقة على أي أدوات تعالج بيانات العميل قبل الاستخدام.
نحن نوافق على الأنظمة المستهدفة والاختبارات المسموح بها والحسابات الاختبارية والتوقيت وشروط التوقف وشروط البيانات كتابيًا. اعتمادًا على النطاق، تتضمن المدخلات المفيدة البنية والتعليمات البرمجية وتكوين الموفر وبيئة الاختبار ذات البيانات الاصطناعية أو المعتمدة. يتم تسجيل قيود الوصول في التقرير.
لا. يجب أن تشير الشارة إلى تقييم محدد ومؤرخ وسجل تحقق عام يوضح نطاقها وحالتها. ولا يمكنها أن تعد بعدم وجود أي ثغرات أمنية، أو إثبات الامتثال القانوني، أو الحصول على شهادة SOC 2 أو ISO. الدفع يشتري التقييم، وليس نتيجة عابرة.
البحوث ذات الصلة
يؤثر الحقن الفوري وإجراءات الأداة غير المصرح بها وإساءة استخدام التكلفة الآلية على حدود مختلفة. يمكن للتقييم المتفق عليه فحص قرارات الوصول وحدود الموارد ونتائج الأداة جنبًا إلى جنب مع سلوك النموذج. يوضح دليلنا العملي كيفية تحديد الاختبار وجمع الأدلة والتحقق من الإصلاح المقترح.
07ابدأ المحادثة
أخبرنا بما تقوم ببنائه والقرار الذي يتعين عليك اتخاذه. إذا كان هناك توافق، فسنرسل إليك بريدًا إلكترونيًا لترتيب مكالمة تحديد نطاق مدتها 20 دقيقة. ليست هناك حاجة للوصول إلى النظام لهذه المحادثة الأولى.