AI / RAG security assessment
AI、RAG 与智能体安全评估
通过现实的滥用场景，测试 AI 系统如何处理指令、私有数据、检索、工具与动作。
把提示注入和模型测试与应用控制关联起来，包括授权、数据隔离、输出处理、日志以及敏感动作确认。
01 / 测试范围
我们测试什么
测试前确认边界与关键业务流程，使评估结果对应实际业务风险。
指令与提示注入
直接或间接指令、系统规则优先级、外部内容与防护绕过。
RAG 与数据访问
检索授权、租户隔离、敏感片段、索引、引用与数据来源。
工具与代理能力
工具权限、动作确认、服务端检查、调用链及对模型输出的不安全信任。
应用与运营
API、会话、密钥、浏览器或下游渲染、限制、日志与事件响应。
02 / 测试方法
经得起工程团队与审计方核验的评估
结合人工分析、专业工具与证据控制，每项报告发现均由安全专家复核。
- 01
建立威胁模型
记录资产、角色、知识源、工具、信任边界与潜在影响最大的动作。
- 02
设计安全场景
定义可测试的滥用场景和成功标准，不使用破坏性载荷或批量提取数据。
- 03
测试完整链路
观察模型、检索、编排、API 与服务端控制；对非确定性行为重复不同变体。
- 04
降低风险并复测
区分即时防护措施和结构性修复，然后重新运行约定场景。
03 / 交付成果
面向决策与修复的材料
报告帮助管理层理解风险，也为工程团队提供可复现步骤，避免扫描器噪声。
PENTEST.RED / AI / 06
AI 系统威胁模型
呈现资产、角色、指令来源、信任边界、工具和影响路径。
已测试场景记录
包含前置条件、安全步骤、观察结果、可信度与可复现性限制。
控制改进计划
涵盖授权、检索、输出处理、工具权限、审批、日志和监控。
管理层摘要与复测
说明优先风险、产品负责人需要做出的决策，以及修复后的验证结果。
04 / 适用场景
何时适合开展此类评估
合适的测试形式取决于您需要支持的决策，以及可提供的测试环境。
RAG 或 AI 助手上线前
在真实用户使用前测试数据边界、检索、工具和模型动作。
使用内部数据的企业 Copilot
评估租户隔离、数据源权限、回答泄露，以及对外部内容的信任。
具备工具与自动化能力的智能体
测试模型可以触发哪些动作、哪些动作必须确认，以及服务端授权必须在哪里生效。
05 / 范围边界
通常包含的内容，以及需要单独约定的内容
测试前记录获授权的系统、角色、环境与限制；未测试区域会在报告中明确说明。
通常包含
- 双方约定的模型、系统指令、RAG 数据源、角色、连接器、工具与可观察接口。
- 提示注入、数据隔离、检索授权、不安全输出处理、过度代理能力与资源滥用。
- 威胁模型、安全测试场景、观察记录、控制建议与定向复测。
需要另行约定
- 保证不会产生幻觉或任何不当回答；结论仅适用于已测试场景与约束。
- 未经授权访问的训练数据、模型权重、供应商供应链和 SaaS 内部控制。
- 未获得单独书面授权的自主破坏性动作、批量数据提取和压力测试。
06 / 项目评估
影响范围与报价的因素
报价在范围沟通后确定。以下因素决定工作量；不了解环境时不会提供固定数字。
AI 架构
模型、RAG 索引、数据源、租户、智能体、工具和外部连接器的数量。
系统权限
读写访问、动作执行、资金操作，以及需要人工确认的位置。
角色与场景
用户类型、数据敏感性、语言、渠道和优先滥用场景。
可观察性与变化
日志与追踪访问、回答可复现性、供应商限制及提示或模型变化频率。
07 / 证据与准备
准备测试范围并了解交付格式
在与服务商沟通前，可先使用范围规划工具、查看合成报告示例并阅读相关文章。
这与普通应用渗透测试相同吗？
部分相同。我们会测试 Web 与 API 控制，同时增加针对 RAG、提示注入、工具和非确定性行为的威胁模型与场景。
可以保证阻止所有提示注入吗？
不能。评估验证约定场景并帮助限制影响。可靠防护依赖服务端授权、最小权限、动作审批与可观察性，而不是单一系统提示。
是否需要访问提示与日志？
这些信息有助于诊断，但并非始终必需。测试前会明确可用接口、追踪、模型版本和供应商限制。
如何复测非确定性输出？
预先定义验收标准，重复约定场景集，并同时验证实际数据与动作访问，而不只检查回答文本。
下一步
获取评估范围与项目方案
告诉我们系统情况、时间安排和测试目标。我们会协助明确范围并建议合适的项目形式，无需承担后续义务。