Un chatbot bancario revela el extracto de otro cliente. Un usuario con acceso de solo lectura cambia un destino de pago desde el mismo chat. Estos ejemplos bancarios muestran por qué importan los permisos de un asistente. Así investiga Agentic Deep Scan de Ostorlab el límite que hay detrás de cada fallo.

Agentic Deep Scan conecta la aplicación móvil, los esquemas de API, el código fuente, la documentación y las interfaces web de la evaluación con el punto de entrada del asistente. Las cuentas de prueba y las indicaciones del recorrido establecen una conversación autenticada. La investigación sigue al asistente por la aplicación, el navegador y la API para probarlo tal como lo utilizan las personas.

Las pruebas conservan la solicitud, la autenticación, el tenant, la sesión y el historial de la conversación. La ejecución en el navegador trata los flujos que dependen de él. La ejecución HTTP trata las solicitudes reproducibles. Las respuestas en streaming deben terminar antes de extraer conclusiones. Compara una referencia, un sondeo dirigido y un control en condiciones equivalentes. Repite las comparaciones decisivas en sesiones nuevas.

En el ejemplo de Northstar Bank, el cliente A posee un extracto privado. La solicitud directa del cliente B se deniega. A través del chatbot, B obtiene el saldo de cierre de ochenta y cuatro mil doscientos cincuenta euros y la referencia protegida del extracto. Las sesiones separadas y los registros de recuperación conectan la respuesta con el extracto de A y demuestran el fallo de control de acceso.

A continuación, un usuario con acceso de solo lectura pide al chatbot que cambie el destino de un beneficiario de prueba. La API directa lo deniega, mientras que la herramienta delegada del asistente realiza la actualización. Un registro de ejecución del servidor y una lectura independiente confirman el destino guardado. El propietario lo restaura y la investigación obtiene un registro completo de la acción y de su limpieza.

En la inyección de instrucciones, el cliente pregunta cómo bloquear una tarjeta. El artículo de ayuda original explica el recorrido habitual en la aplicación. Un párrafo controlado por un atacante ordena al asistente afirmar que el bloqueo no está disponible. Mantén la pregunta del cliente sin cambios, verifica que se haya recuperado la fuente manipulada y restáurala. La comparación prueba si el texto de la fuente adquirió autoridad para dar instrucciones.

Agentic Deep Scan conecta cada hallazgo con pruebas de la aplicación. En la divulgación, el informe conserva los permisos de la fuente y el valor protegido exacto que se devolvió. En las acciones de herramientas, correlaciona al usuario que las inició, los registros de ejecución y el estado persistido. Las solicitudes, las respuestas, los controles comparables y la limpieza forman una ruta de reproducción que tu equipo técnico puede seguir.

Las correcciones siguen el límite afectado. Autoriza las fuentes privadas antes de recuperarlas. Comprueba cada acción de herramienta frente al usuario que la inicia y al recurso. Trata las instrucciones recuperadas como contenido no fiable y limita los privilegios de los servicios. Después repite las mismas pruebas controladas para verificar que se haya corregido el fallo demostrado.

El informe convierte la investigación en un hallazgo que permite actuar. Las transcripciones con datos sensibles ocultos, los controles comparables, las pruebas de fuentes o herramientas y los pasos claros de reproducción explican el impacto demostrado. Las recomendaciones indican dónde hacer cumplir el límite. Tu equipo puede rastrear el resultado, reproducir el fallo, aplicar la corrección y verificar el cambio de comportamiento.

Para preparar una evaluación, proporciona el recorrido del asistente, las cuentas de prueba, las reglas de permisos, el alcance y los recursos de prueba seguros. Agentic Deep Scan conecta el descubrimiento, las pruebas controladas y las evidencias de la aplicación con una ruta de reproducción que tu equipo puede revisar y corregir.