银行聊天机器人透露了另一位客户的对账单。同一聊天界面还让只读用户更改了收款目标。这些银行场景示例说明，助手的权限为何如此重要。下面我们将介绍 Ostorlab 的 Agentic Deep Scan 如何调查每个问题背后的权限边界。

Agentic Deep Scan 将评估中提供的移动应用、API 模式、源代码、文档和网页界面与助手入口关联起来。测试账户和工作流程指引帮助建立经过身份验证的对话。调查沿着应用、浏览器和 API 中的助手流程展开，使测试贴近用户的实际使用方式。

测试保留请求、身份验证、租户、会话以及对话历史上下文。依赖浏览器的流程通过浏览器执行，可重放的请求通过 HTTP 执行。必须等待流式回答完成后再得出结论。对比基线、定向探测和匹配的对照，并在全新会话中重复关键比较。

在 Northstar Bank 示例中，客户 A 拥有一份私密对账单。客户 B 直接请求访问时遭到拒绝，却通过聊天机器人获得了八万四千二百五十欧元的期末余额和受保护的对账单编号。独立会话与检索记录将回答关联到 A 的对账单，证实了访问控制失效。

接着，只读用户要求聊天机器人更改测试收款人的收款目标。直接调用 API 遭到拒绝，助手受委托的工具却执行了更新。服务器执行记录和一次独立读取确认了已保存的收款目标。所有者随后将其还原，为调查留下完整的操作与清理记录。

在提示注入示例中，客户询问如何冻结银行卡。原始帮助文章介绍了应用内的正常操作流程。攻击者控制的段落却要求助手声称无法冻结银行卡。保持客户的问题不变，确认检索到了被篡改的来源，再将来源还原。这组对照测试用于判断来源文本是否获得了指令权限。

Agentic Deep Scan 将每项发现关联到应用证据。对于信息泄露，报告保留来源权限以及响应中返回的确切受保护值。对于工具操作，报告关联发起用户、执行记录与持久化状态。请求、响应、匹配对照和清理记录共同组成工程团队可以遵循的复现路径。

修复措施应对应具体的权限边界。检索私密来源前先验证授权。根据发起用户和目标资源检查每次工具操作。将检索到的指令视为不可信内容，并严格限制服务权限。最后重复同一组受控测试，验证已经证实的问题得到修复。

报告将调查结果转化为可以采取行动的安全发现。脱敏会话记录、匹配对照、来源或工具证据，以及清晰的复现步骤共同解释已证实的影响。修复建议指出应在哪里执行权限检查。团队可以追溯结果、复现问题、落实修复，并验证行为变化。

准备评估时，请提供助手工作流程、测试账户、权限规则、评估范围和安全测试资源。Agentic Deep Scan 将入口发现、受控测试与应用证据关联起来，形成团队可以审查并修复的复现路径。