銀行チャットボットが、別の顧客の明細を漏らします。同じチャットを使い、閲覧専用ユーザーが送金先を変更します。この銀行の例は、アシスタントの権限がなぜ重要なのかを示しています。OstorlabのAgentic Deep Scanが、それぞれの問題の背後にある権限境界をどのように調査するのかを見ていきます。

Agentic Deep Scanは、評価対象のモバイルアプリ、APIスキーマ、ソースコード、ドキュメント、Web画面の情報を、アシスタントの入口に結び付けます。テストアカウントと操作手順を使い、認証済みの会話を確立します。アプリ、ブラウザー、APIを通してアシスタントの動きを追い、実際の利用方法に沿って検証を進めます。

検証では、リクエスト、認証、テナント、セッション、会話履歴を維持します。ブラウザーに依存する操作はブラウザーで、再送可能なリクエストはHTTPで実行します。ストリーミングの回答は、完了を確認してから判断します。通常の基準動作、対象を絞った検証、条件をそろえた対照試験を比較し、決め手となる比較は新しいセッションで繰り返します。

Northstar Bankの例では、顧客Aが非公開の明細を所有しています。顧客Bが直接取得しようとすると、アクセスは拒否されます。しかし、チャットボット経由では、期末残高の8万4,250ユーロと、保護された明細の参照番号を取得できます。セッションを分け、取得記録を照合することで、回答とAの明細の関係を確かめ、アクセス制御の不備を立証します。

次に、閲覧専用ユーザーが、テスト用受取人の送金先を変えるようチャットボットに依頼します。直接APIは拒否しますが、アシスタントに委任されたツールは更新を実行します。サーバーの実行記録と、独立した読み取りによって、保存された送金先を確認します。その後、所有者が元に戻します。これにより、実行された操作から復元まで、調査の記録がそろいます。

プロンプトインジェクションの例では、顧客がカードの凍結方法を尋ねます。元のヘルプ記事は、アプリで行う通常の手順を説明しています。そこに攻撃者が操作できる段落を加え、カード凍結は利用できないと答えるよう指示します。顧客の質問は変えず、改ざんされた記事の取得を確認し、最後に記事を復元します。この比較で、参照元の文章が指示として扱われたかを検証します。

Agentic Deep Scanは、各検出結果をアプリケーションの証拠に結び付けます。情報漏えいでは、参照元のアクセス権と、返された保護情報の正確な値をレポートに残します。ツール操作では、操作を依頼したユーザー、実行記録、保存された状態を照合します。リクエストと応答、条件をそろえた対照試験、復元記録をまとめ、開発チームがたどれる再現手順にします。

修正は、問題が起きた境界に沿って行います。非公開の情報は、取得前にアクセス権を確認します。すべてのツール操作で、依頼したユーザーと対象リソースの権限を検証します。取得した文書内の指示は信頼できない内容として扱い、サービス権限を必要最小限に絞ります。そのうえで同じ条件の試験を繰り返し、実証された問題が解消したことを確認します。

レポートは、調査結果を対処可能な検出結果にまとめます。機密部分を伏せた会話記録、条件をそろえた対照試験、参照元やツールの証拠、明確な再現手順が、実証された影響を説明します。修正の指針は、どこで権限境界を適用すべきかを示します。チームは結果を追跡し、問題を再現し、修正を適用して、動作の変化を確認できます。

評価を準備するには、アシスタントの操作手順、テストアカウント、権限ルール、対象範囲、安全なテスト用リソースを用意します。Agentic Deep Scanは、アシスタントの発見、条件を管理した検証、アプリケーションの証拠を結び付け、チームが確認して修正できる再現手順を提供します。