Тестовый агент вышел в интернет: как проверить изоляцию до подключения CRM

Две разные причины выхода за границу

OpenAI сообщает о двух испытательных организациях: UK AISI и Irregular. В первом случае доступ к интернету включили намеренно, а киберзащитные классификаторы отключили для оценки возможностей. Во втором подключение к публичной сети возникло из-за неверной конфигурации среды.

По изложению OpenAI, в испытании Irregular имя вымышленной цели совпало с реальным доменом. Модель взаимодействовала с настоящим сайтом, считая его частью задания. Компания отдельно указывает, что причиной сетевого доступа была конфигурация, а не сложный выход из изолированной среды.

Это сообщение участника процесса, а не независимый аудит редакции. Оно не позволяет оценить частоту подобных случаев во всех продуктах. Специальные условия испытаний также нельзя переносить на обычный чат: в отчёте прямо отмечены сниженные защитные ограничения.

Почему копии CRM недостаточно

Предлагаемый деловой сценарий: агент разбирает учебные обращения и ищет сведения о контрагентах. База скопирована, но браузер, почтовый инструмент и веб-запросы всё ещё доступны. Тогда отметка «тест» в названии проекта не мешает отправить сообщение реальному адресату.

Начать стоит с перечня выходов из среды. Для каждого инструмента запишите разрешённые домены, типы операций и учётную запись. Отдельно проверьте фоновые интеграции: обработчик формы может переслать запрос независимо от того, что разрешено самому агенту.

Учебные адреса и названия тоже требуют проверки. Не используйте случайно придуманные домены как будто они заведомо свободны. Подготовьте контролируемые тестовые адресаты и исключите доставку на остальные направления на уровне почтового шлюза.

Для первого прогона полезен режим, где агент составляет намерение действия, а исполнитель только сохраняет его в журнал. Так команда увидит попытку внешнего обращения, не превращая проверку маршрутизации в настоящее письмо потенциальному клиенту.

Проверять запрет нужно снаружи агента

Составьте отрицательные тесты: неизвестный адрес, ссылка из вложения, переход на другой домен после перенаправления. Ожидаемый результат заранее задаёт инженер: соединение заблокировано, причина записана, исходная заявка остаётся доступной сотруднику. Текстовый отказ модели сам по себе не подтверждает блокировку.

Сопоставьте журнал инструмента с сетевым журналом. Если первый сообщает об отказе, а второй показывает исходящий запрос, граница не выдержана. Проверку выполняйте только на принадлежащих команде адресах и сервисах, без попыток затронуть сторонние системы.

Не переносите рабочие токены в тестовый стенд ради удобства. Выделенной учётной записи достаточно прав на учебные записи. При ошибке такая настройка ограничивает последствия, а отзыв её доступа не останавливает работу всего отдела продаж.

Когда испытание следует остановить

Любой подтверждённый выход за разрешённые адреса должен останавливать прогон до выяснения причины. Сохраните идентификатор задания, настройки сети и последовательность вызовов. Иначе повторный запуск может стереть различие между дефектом конфигурации и неверным выбором инструмента.

После исправления повторите тот же отрицательный тест и соседние варианты. Успешный ответ агента на обычную заявку не закрывает найденную проблему: приёмка должна подтвердить именно невозможность запрещённого действия в той конфигурации, которую затем передадут эксплуатации.