اجعل النطاق والأدلة قابلة للفحص.

1. قم بالاتفاق على الحدود قبل الاختبار

قم بتسجيل إصدار المنتج والبيئة والمجالات المستهدفة وواجهات برمجة التطبيقات وتكوين النموذج والحسابات المسموح بها وأنظمة الطرف الثالث. احصل على إذن كتابي ووافق على نوافذ الاختبار وشروط التوقف ومعالجة البيانات وجهات اتصال التصعيد.

استخدم البيانات الاصطناعية أو المعتمدة والاختبارات المحدودة. تحتاج البنية الأساسية لجهة خارجية إلى ترخيص خاص بها حيثما أمكن ذلك. يتم تضمين مراجعة التعليمات البرمجية ومراجعة التكوين واختبار التطبيق وتقييم الذكاء الاصطناعي فقط على النحو المتفق عليه؛ تظل المكونات التي يتعذر الوصول إليها بمثابة قيد واضح.

2. ملاحظات منفصلة عن الأقوال

• تم اختباره: المدخلات المسجلة والبيئة والتكوين والنتيجة المرصودة تدعم هذه النتيجة.
• تمت المراجعة: يدعم الكود أو الإعدادات أو المستندات استنتاجًا أضيق في حدود الوصول المتاح.
• أعلن: يذكر المزود أو مالك المنتج ممارسة لم تتمكن Rubrex من فحصها بشكل مستقل.
• لم يتم تقييمه: تم استبعاد الشيك أو عدم توفره أو عدم قطعه. لا يجب أن يتم الإبلاغ عنه كتمرير.

بالنسبة لمطالبة استخدام التدريب، حدد البيانات والموفر وتكوين الحساب والمصطلحات والفترة الزمنية التي يغطيها الدليل. لا يمكن لمراجعة الإعدادات تحديد كل إجراء داخلي لموفر خارجي.

3. تحديد الأولويات والإصلاح وإعادة الاختبار

تحديد أولويات النتائج باستخدام التأثير المثبت والمستخدمين أو البيانات المتأثرة والمتطلبات الأساسية والبيئة التي تم تقييمها. احتفظ بالأدلة الأصلية وسجل الإصلاح، وشروط إعادة الاختبار، والنتيجة، وحالة عدم اليقين المتبقية. تظل المخاطر المقبولة مرئية كمخاطر مقبولة.

تقييم الجودة بشكل منفصل باستخدام الحالات المرجعية المتفق عليها ومعايير التسجيل. قم بالإبلاغ عن تغطية العينة والحدود المعروفة بدلاً من تحويل مجموعة اختبار صغيرة إلى مطالبة دقة عالمية.

متطلبات أي شارة تقييم Rubrex

صيغة الشارة المقترحة هي "ممارسات الأمان والبيانات التي تم تقييمها بواسطة Rubrex". لا يتم إصدار الشارة لمجرد شراء التقييم. يتطلب الإصدار مراجعة كاملة وسجل التحقق المنشور.

• يجب التحقق من صلاحية مالك المنتج والمنتج/المجال الذي تم تقييمه.
• يجب الاتفاق على الفحوصات المطلوبة ومعايير النجاح قبل معرفة النتائج. لا يمكن إزالة الشيكات المطلوبة بصمت للحصول على تصريح.
• تمنع النتائج الأمنية الحرجة أو العالية التي لم يتم حلها ظهور الشارة النشطة. ويجب الكشف عن النتائج والاستثناءات الأخرى على مستوى آمن.
• يجب أن تحتوي كل مطالبة تتعلق بممارسات البيانات العامة على أدلة داعمة وحدود محددة بوضوح. تم حذف المطالبات غير المدعومة.
• يجب إعادة اختبار العلاج عند الحاجة قبل تأكيد الأهلية. إن مخرجات الذكاء الاصطناعي أو الماسح الضوئي وحدها ليست دليلاً كافياً.
• يجب الكشف عن أي عمل هندسي لشركة Rubrex على المنتج الذي تم تقييمه. لا يمكن أن يعني التقييم الاستقلال عن العمل الذي قمنا به.

يجب أن ترتبط الشارة بالسجل الحالي

يجب أن يحدد سجل التحقق المنتج والمجال ومعرف التقييم والنطاق والنسخة المقدرة والتواريخ وملخص الأدلة والقيود وانتهاء الصلاحية والحالة. يجب أن يكون أي شخص يشاهد الشارة قادرًا على التحقق من هذا السجل على Rubrex.ai.

تقتصر الصلاحية على النطاق وانتهاء الصلاحية المحددين. تتطلب التغييرات التي يتم إجراؤها على مقدمي الخدمة أو تدفقات البيانات أو الترخيص أو الأدوات النموذجية أو الضوابط المقدرة الأخرى مراجعة المطالبات المتأثرة. لا يمكن عرض التقييم منتهي الصلاحية أو المعلق أو الملغي كتقييم نشط. يتطلب التجديد أدلة جديدة، وليس تغيير التاريخ وحده.

لا تثبت الشارة SOC 2، أو شهادة ISO، أو الامتثال القانوني، أو عدم وجود ثغرات أمنية، أو أن المنتج لا يعالج بيانات العميل مطلقًا. التقييم هو دليل محدود حول النظام الذي تم اختباره، وليس وعدًا بشأن كل طلب مستقبلي.

إذا كنت بحاجة إلى التحقق من تقييم Rubrex المطالب به، فأرسل عنوان URL للمنتج ومعرف التقييم إلى evals@rubrex.ai. لا ترسل تقارير خاصة أو بيانات اعتماد من خلال نموذج الاتصال العام.

المراجع المستخدمة لتحديد النطاق

تُبلغ هذه المصادر تصميم التقييم. إنهم لا يصدقون على Rubrex أو المنتج الذي تم تقييمه. يجب أن يسرد التقرير الإصدارات والمتطلبات المعمول بها التي تم التحقق منها بالفعل.

• معيار التحقق من أمان تطبيق OWASP 5.0.0: مرجع لمتطلبات أمان التطبيق.
• OWASP Top 10 لتطبيقات LLM وGenAI: مرجع لتغطية مخاطر تطبيق النموذج.
• OWASP أعلى 10 للتطبيقات الوكيلة: مرجع لسلوك الوكيل وأدواته وحدود الامتيازات.