Un chatbot bancaire révèle le relevé d’un autre client. Un utilisateur en lecture seule modifie une destination de paiement par le même chat. Ces exemples bancaires montrent pourquoi les droits d’un assistant comptent. Voici comment Agentic Deep Scan d’Ostorlab examine la limite à l’origine de chaque défaillance.

Agentic Deep Scan relie l’application mobile, les schémas d’API, le code source, la documentation et les interfaces web de l’évaluation au point d’entrée de l’assistant. Des comptes de test et des consignes de parcours établissent une conversation authentifiée. L’enquête suit l’assistant dans l’application, le navigateur et l’API pour reproduire les usages réels.

Les tests préservent la requête, l’authentification, le tenant, la session et l’historique de conversation. L’exécution dans le navigateur traite les parcours qui en dépendent. L’exécution HTTP traite les requêtes rejouables. Les réponses en streaming doivent être terminées avant de conclure. Comparez une référence, une sonde ciblée et un contrôle à conditions égales. Répétez les comparaisons décisives dans des sessions neuves.

Dans l’exemple Northstar Bank, le client A possède un relevé privé. La requête directe du client B est refusée. Par le chatbot, B obtient le solde de clôture de quatre-vingt-quatre mille deux cent cinquante euros et la référence protégée du relevé. Des sessions distinctes et des enregistrements de récupération relient la réponse au relevé de A et établissent le défaut de contrôle d’accès.

Ensuite, un utilisateur en lecture seule demande au chatbot de changer la destination d’un bénéficiaire de test. L’API directe refuse, tandis que l’outil délégué de l’assistant effectue la mise à jour. Un enregistrement d’exécution serveur et une lecture indépendante confirment la destination enregistrée. Le propriétaire la restaure, ce qui fournit à l’enquête une trace complète de l’action et de sa remise en état.

Pour l’injection de prompt, le client demande comment bloquer une carte. L’article d’aide initial explique le parcours normal dans l’application. Un paragraphe contrôlé par un attaquant ordonne à l’assistant d’affirmer que le blocage est indisponible. Gardez la question du client identique, vérifiez que la source piégée a été récupérée, puis restaurez-la. La comparaison vérifie si le texte source a acquis une autorité d’instruction.

Agentic Deep Scan relie chaque constat aux preuves de l’application. Pour une divulgation, le rapport conserve les autorisations de la source et la valeur protégée exacte renvoyée. Pour les actions des outils, il corrèle l’utilisateur à l’origine de la demande, les enregistrements d’exécution et l’état enregistré. Requêtes, réponses, contrôles comparables et remise en état forment un parcours de reproduction que votre équipe technique peut suivre.

Les corrections suivent la limite concernée. Autorisez les sources privées avant leur récupération. Vérifiez chaque action d’outil par rapport à l’utilisateur demandeur et à la ressource. Traitez les instructions récupérées comme un contenu non fiable et limitez les privilèges des services. Répétez ensuite les mêmes tests contrôlés pour vérifier que la défaillance démontrée est corrigée.

Le rapport transforme l’enquête en un constat exploitable. Des transcriptions expurgées, des contrôles comparables, des preuves issues des sources ou des outils et des étapes de reproduction claires expliquent l’impact démontré. Les recommandations indiquent où faire respecter la limite. Votre équipe peut retracer le résultat, reproduire la défaillance, appliquer la correction et vérifier le nouveau comportement.

Pour préparer une évaluation, fournissez le parcours de l’assistant, des comptes de test, les règles d’autorisation, le périmètre et des ressources de test sûres. Agentic Deep Scan relie la découverte, les tests contrôlés et les preuves de l’application à un parcours de reproduction que votre équipe peut examiner et corriger.