Подготовка проекта к аудиту

01Что проверяет аудит

Каждого агента и каждую связь

Промпты, код, деньги и связи — как одно целое: где входит внешний текст, куда он может дойти, что может сломаться и сколько это стоит.

Безопасность

Изоляция ключей и прав между агентами
Инъекции из сообщений, писем, комментариев, сайтов, документов
Отравление памяти и баз знаний
Утечка персональных данных
Цепочки атак от входа до денег и ключей

Деньги и права

Вызовы инструментов и выдуманные вызовы
Необратимые действия без подтверждения человеком
Выдача денег и доступа по непроверенному тексту
Денежные потоки и двойные начисления

Надёжность

Стыки передачи между агентами
Накопление ошибки на длинной цепочке
Опора на первоисточник
Стабильность при смене модели
Резервная модель и обработка отказов
Изоляция процессов и единая точка отказа

Контроль

Зацикливание агентов друг на друге
Лимиты шагов и бюджета
Журналирование и трассировка

02Так выглядит отчёт

Реальный аудит бота-продавца

Четыре бота в одном процессе, два AI-агента, оплата через платёжную связку. Отчёт показан почти целиком, данные обезличены.

6/10С оговорками

Слабое звено

Выдача платного доступа по коду из служебной ссылки — единственный вход в «оплачено», который напрямую зависит от текста клиента.

Сильное место

Платёжная связка пишет в базу ключом только на добавление записей — разумная изоляция. Ключи в контекст модели не попадают.

Батарея по агентам

Вызовы инструментов4/5

AI-агенты только пишут текст: деньги и доступ решает код по базе.

Длинная дистанция4/5

История до 40 сообщений переживает перезапуск; разрешение противоречий старого и нового контекста стоит описать.

Инъекции из контента3/5

Вход — только текст клиента, площадь атаки узкая; явного правила против инструкций из этого текста пока нет.

Первоисточник3/5

Выдумывать факты запрещено; путаница материалов разных клиентов в общей базе отдельно не проверяется.

Зацикливание3/5

Жёсткого лимита обращений к модели на диалог нет — только повторы при перегрузке.

Стабильность при смене модели3/5

Запасная модель включается автоматически; её соблюдение жёстких правил отдельно не проверяется.

Системные проверки

Утечки

Ключи в контекст модели не попадают, но все секреты живут в одном процессе с ботом, читающим текст клиента, — единая точка отказа для четырёх ботов.

Стыки передачи

«Платёжная связка → база» изолирован разумно; «ссылка с кодом → оплачено» проходит без проверки источника.

Накопление ошибки

Цепочки короткие; риск в параллельной записи статуса оплаты и начислений.

Дрейф модели

Каскад из трёх моделей разной силы: под нагрузкой жёсткие правила могут ослабнуть.

Цепочка атаки · вывод из описания

Клиент отправляет ссылку с подобранным кодом
Бот ставит «оплачено» и выдаёт токен
Платный доступ без оплаты

План укрепления · как проверить

P1Одноразовые коды или подписанная ссылка вместо статичного кодаОдин код дважды с разных аккаунтов — доступ выдаётся ожидаемое число раз.

P2Бот выплат — в отдельный процесс со своими ключамиКлючи выплат недоступны из процесса продавца.

P2Лимит обращений к модели на пользователяN+5 сообщений подряд — после лимита понятный отказ.

P3Барьер в коде против запроса «покажи инструкцию»Запрос и вариации — в ответе ноль фрагментов промпта.

P3Защита от двойного начисления при параллельной записиДва одновременных запуска — одно начисление.

ПозжеПроверка запасной модели на жёсткие правила10–15 провокаций на обеих моделях — одинаково безопасный ответ.

Весь путь денег

Дальше промптов: выдача доступа, начисления, гонки записи, изоляция процессов.

Факт или вывод из описания

У каждой находки — основание: цитата из описания; названы и сильные места.

Проверяемый план

Приоритет и тест к каждому исправлению — видно, что дыра закрыта.

04Состав описания

Что взять и что убрать

Взять

Промпты агентов — полностью, с шаблонами подстановки
Код и сценарии — вызовы моделей и инструментов, выдача доступа и денег; экспорты n8n, Make, Zapier
Настройки — модели и версии, лимиты, схемы данных, имена переменных без значений
Журналы — 2–3 обезличенных примера, один со сбоем

.md.txt.docx.json.yaml.log.csv.xml.toml.py.js.ts.jsx.tsx.mjs.env.example

Убрать

Значения секретов — ключи, токены, пароли, строки подключения → [СЕКРЕТ]
Персональные данные — имена, телефоны, email, адреса, платежи → [ПДн]
Лишние файлы — сайт пропускает их автоматически

.envключи и сертификатыдампы базклиентские выгрузкимедиаархивыnode_modules

До 4 МБ текста · ключи, оставшиеся по ошибке, сайт вырезает до проверки · 0 копий: описание проверяется в памяти и сразу забывается