Пентестинг № 15859

Защитить: saas · Ехническое задание: тестирование безопасности платформы ИИ-разработки · Документ составлен для получения ориентировочной оценки стоимости и сроков. Он намеренно общий: схемы, исходный код и детали архитектуры передаются после подписания соглашения о неразглашении (NDA) · 1. О платформе · [Название компании] разрабатывает платформу, на которой код пишут ИИ-агенты в закрытом контуре с локальной языковой моделью. Платформу планируется предлагать заказчикам с высокими требованиями к безопасности. Для каждого заказчика создаётся отдельный контур, а общей является платформа управления правами и сертификатами · Состав контура в общих чертах: агент-кодер в контейнере, локальная языковая модель, внутренний Git-сервер, шлюз, через который агент работает с репозиторием, пакетами и интеграциями, кластер контейнеров, внутренний репозиторий артефактов и сервис сканирования кода. Интеграции: мессенджер и API облачного провайдера для создания серверов. Все серверы арендуются у облачного провайдера как виртуальные машины. Роли: пользователь заказчика, администратор заказчика, оператор платформы, ИИ-агент · 2. Цель · Получить независимое подтверждение для заказчиков двух вещей: исходный код заказчика нельзя вынести за пределы контура, и в код нельзя внести закладку или вредоносный компонент так, чтобы это осталось незамеченным. Результат должен быть пригоден для передачи заказчикам платформы · 3. Состав работ · № · Вид работ · Что проверяем · 1 · Пентест инфраструктуры и интерфейсов (внешний и внутренний) · Серверы, сетевая сегментация, веб-интерфейс и терминал, API шлюза, интеграции; схема идентификации агента и пользователя (подмена, обход проверок прав); изоляция контейнера агента и контуров заказчиков через общую платформу · 2 · Сценарий «злой оператор платформы»