Mandantenübergreifendes Kontextleck

Was ist Mandantenübergreifendes Kontextleck?

Ein KI-Agent, der viele Kunden bedient, behält einen Arbeitskontext und einen Speicher. Beides enthält Daten. Wenn sie nicht auf einzelne Sitzungen begrenzt sind, können für einen Kunden abgerufene Informationen im Gespräch mit dem nächsten Kunden auftauchen, ohne dass ein Tool missbraucht, eine Zugriffskontrolle verletzt oder ein Angreifer beteiligt ist. Sie führen zwei Sitzungen aus und sehen, wie die Rechnungs- und Kartendaten einer Kundin in der Antwort an einen anderen Kunden erscheinen. Anhand des Tool-Trace weisen Sie nach, dass kein falscher Datensatz abgerufen wurde. Anschließend erzwingen Sie am Gateway einen eigenen Kontext pro Sitzung und kurzlebigen Speicher.

Was Sie lernen in Mandantenübergreifendes Kontextleck

• Erkennen Sie, dass der Arbeitskontext und der Speicher eines Agenten Daten sind und dass ihre gemeinsame Nutzung über Sitzungen hinweg dazu führt, dass die Daten eines Aufrufers in der Sitzung eines anderen auftauchen
• Erklären Sie, wie ein mandantenfähiger Agent das Konto eines Kunden in der Sitzung eines anderen offenlegen kann, ohne dass ein Tool missbraucht wird oder ein Angreifer beteiligt ist
• Lesen Sie einen Tool-Trace, um zu beweisen, dass das Leck aus einem übertragenen Kontext stammt und nicht aus einer Suche, die den falschen Kunden abgerufen hat
• Wenden Sie die dauerhafte Lösung an: Grenzen Sie den Kontext pro Sitzung ein, und machen Sie den Speicher kurzlebig – beides standardmäßig am Gateway erzwungen
• Unterscheiden Sie zwischen der Standardisolation an der Grenze und dem manuellen Löschen des Kontexts, und erklären Sie, warum eine Kontrolle, die vergessen werden kann, auch vergessen wird
• Beweisen Sie eine Lösung für die Isolation pro Sitzung, indem Sie genau die Sitzung wiederholen, bei der Daten durchsickerten, und erkennen Sie, dass eine mandantenübergreifende Offenlegung auch nach der Lösung ein meldepflichtiger Vorfall ist

Mandantenübergreifendes Kontextleck — Trainingsschritte

1. Ein Kunde hat das Konto einer anderen Person gesehen

   Der Support-Desk von Sarnholt betreibt einen KI-Agenten, der nach Kundenkonten sucht. Heute Morgen berichtet ein Kunde, dass er mehr als das getan hat.

2. Eine Sitzung geht in die andere über

   Lesen Sie, was der Bericht belegt: Die Antwort auf Tomas’ Frage ist nicht falsch, enthält aber Daten einer anderen Kundin.

3. Die erste Sitzung

   Auf dem linken Bildschirm öffnet Alice den Support-Agenten, um die frühere Sitzung der Kundin abzuspielen, deren Daten offengelegt wurden.

4. Renatas Konto

   Die erste Kundin, Renata Voss, fragt, warum ihre Rechnung immer noch überfällig sei. Alice führt die Suche genau so durch, wie es ein Support-Agent tun würde.

5. Korrekt beantwortet und gespeichert

   Hier ist nichts falsch. Renata fragte nach ihrem Konto und bekam ihr Konto. Das Problem ist, was danach passiert.

6. Die zweite Sitzung

   Ein anderer Kunde, Tomas Ek, stellt eine unabhängige Frage. Alice öffnet seine Sitzung auf dem rechten Bildschirm, wie beim nächsten Ticket im Support üblich.

7. Tomas fragt nach Tomas

   Tomas möchte nur wissen, wann seine nächste Zahlung erfolgt. In seiner Anfrage wird niemand anderes erwähnt.

8. Da ist es

   Tomas’ eigene Angaben sind richtig. Der zweite Absatz hätte jedoch nie erscheinen dürfen.

9. Was fehlgeschlagen ist

10. Wo die Isolation durchgesetzt wird

    Ob eine Sitzung eine Grenze bildet, lässt sich nicht in einem einzelnen Ticket festlegen. Das Gateway muss diese Richtlinie für den Agenten durchsetzen.