Übertragen Sie die verifizierte Identität und den Tenant-Kontext in jede Datenoperation, filtern Sie Berechtigungen bereits vor dem Retrieval und prüfen Sie sie erneut beim Öffnen einer Quellenangabe oder beim Aufruf eines Werkzeugs. Isolieren Sie Konversationen und Cache, minimieren Sie Servicerechte, protokollieren Sie sensible Zugriffe und testen Sie regelmäßig sowohl den Entzug von Rechten als auch Zugriffsversuche auf fremde Objekte.
Ein KI-Assistent kann Dokumente, Gesprächsverlauf und Daten aus mehreren Systemen verknüpfen. Das erhöht den Nutzen, aber auch das Risiko, dass eine Antwort Informationen preisgibt, die der Nutzer in der ursprünglichen Quelle nicht sehen durfte. Die Anmeldung im Chat reicht daher nicht aus. Die Berechtigung muss in Suche, Cache, Tools, Zitate und Export übernommen werden.
Grundlage ist die verifizierte Identität des Nutzers und der genaue Kontext von Organisation, Rolle und Fall. Das Modell darf weder anhand von Text über den Zugriff entscheiden noch für eine bessere Antwort umfangreichere Daten anfordern. Der Server filtert vor dem Laden, prüft jedes Objekt und gibt nur das Minimum zurück. Der Entzug eines Rechts wirkt sich auch auf abgeleitete Indizes und gespeicherte Arbeitsstände aus.
Legen Sie Identitäten und Vertrauensgrenzen fest
Unterscheiden Sie zwischen Endnutzer, Service-Identität der KI-Anwendung, Eigentümer der Ressource und Administrator. Der Nutzer authentifiziert sich über einen freigegebenen Mechanismus, und der Server leitet aus der Sitzung Organisation und Rollen ab. Weder Modelltext noch Tool-Parameter oder Header eines nicht vertrauenswürdigen Clients dürfen diese Identität überschreiben. Eine Stellvertretung muss sichtbar, zeitlich begrenzt und protokolliert sein.
Eine Service-Identität erhält die minimal nötigen Rechte zur Ausführung der Abfrage, idealerweise im delegierten Kontext des Benutzers. Ein einziges weitreichendes Konto für alle Collections und Aktionen erschwert sowohl die Isolation als auch Untersuchungen. Trennen Sie die Umgebungen und hinterlegen Sie keine Produktionszugangsdaten im Entwicklungsassistenten. Der Verantwortliche jedes Zugriffs kennt das Verfahren zur Rotation und zum sofortigen Widerruf.
Filtern Sie Quellen vor der Suche und Generierung
Übertragen Sie Berechtigungen aus dem Quellsystem als sichere Kennungen von Gruppen, Mandanten oder Objekten in den Index. Der Filter wird vor der Auswahl der Kandidaten angewendet, damit eine gesperrte Passage nicht in den Modellkontext gelangt. Ein nachträgliches Entfernen des Ergebnisses ist zu spät, da das Modell die Information bereits in einer Zusammenfassung verwendet haben könnte. Bei einem Synchronisierungsfehler ist der Standardzustand die Ablehnung.
Berechtigungen ändern sich, daher brauchen Index und Cache eine zuverlässige Aktualisierung und eine Messung der Verzögerung. Erwägen Sie beim Entzug eines sensiblen Zugriffs die sofortige Invalidierung abgeleiteter Ergebnisse. Öffentliche und interne Version eines Dokuments haben jeweils eine eigene Identität. Ein Zitat prüft beim Öffnen die aktuelle Berechtigung erneut, auch wenn die Antwort früher entstanden ist.
- verifizierte Identität und Tenant aus der Anwendungssitzung
- Berechtigungsfilter vor dem Abrufen von Kandidaten
- aktuelle Prüfung beim Öffnen der Quelle
- sichere Invalidierung von Index, Cache und abgeleiteten Ausgaben
Isolieren Sie Konversationen, Speicher und Exporte
Eine Konversation gehört einem bestimmten Benutzer oder einem berechtigt geteilten Arbeitsbereich. Ein Link mit erratbarer Kennung darf keinen fremden Verlauf zugänglich machen. Das Langzeitgedächtnis speichert nur freigegebene Arten von Informationen, und der Benutzer weiß, was erhalten bleibt. Eine Zusammenfassung einer älteren Diskussion ist nicht automatisch eine maßgebliche Quelle und keine dauerhafte Berechtigung für die ursprünglichen Dokumente.
Der Cache-Schlüssel umfasst je nach Architektur Identität, Tenant, Rollen, Version der Berechtigungen und den Umfang der Quellen. Eine geteilte Antwort ohne diese Grenzen kann sensible Inhalte zwischen Personen übertragen. Export und Kopieren einer Antwort sind eigenständige Funktionen mit eigenen Regeln, Quellenkennzeichnung und Audit. Schwärzen Sie Diagnoseeinträge und beschränken Sie den Supportzugriff zeitlich.
Autorisieren Sie Tools und jede Zielaktion
Beim Tool Calling prüft der Server, ob der Nutzer eine Fähigkeit verwenden darf und ob er ein bestimmtes Objekt lesen oder ändern darf. Das Modell kann den Umfang weder durch das Argument admin true noch durch die Wahl eines anderen Tools erweitern. Eine Massenabfrage hat ein Limit und einen Filter auf der Datenebene. Das Ergebnis enthält nur die Felder, die für den aktuellen Schritt erforderlich sind.
Schreibende und sensible Aktionen können eine zusätzliche Bestätigung oder eine getrennte Rolle erfordern. Die Bestätigung bezieht sich auf ein konkretes Ziel und konkrete Werte. Ändert sich die Berechtigung zwischen Vorschlag und Ausführung, wird die Operation erneut autorisiert und kann abgelehnt werden. Eine Fehlermeldung verrät nicht, ob ein fremdes Objekt existiert, gibt einer berechtigten Person aber eine sichere Kennung für den Support.
Testen Sie die Isolation und protokollieren Sie sensible Zugriffe
Die Tests verwenden mehrere Organisationen, Rollen, geteilte und private Dokumente sowie Berechtigungsänderungen während einer Sitzung. Versuchen Sie, einen fremden Namen zu suchen, eine Kennung zu erraten, ein altes Zitat zu öffnen, den Cache zu nutzen und ein Tool mit einem fremden Objekt aufzurufen. Prüfen Sie auch die Administration, den Export und Fehlermeldungen. Erfolg bedeutet, dass gesperrte Daten nicht geladen wurden.
Das Audit erfasst sensible Suchanfragen, das Öffnen einer Quelle, Exporte, Rechteänderungen und ausgeführte Aktionen mit Identität und Ergebnis. Es soll nicht ohne Notwendigkeit den gesamten Inhalt der Frage kopieren. Das Monitoring warnt bei wiederholten Ablehnungen, ungewöhnlichem Volumen und verzögerter Synchronisierung von Gruppen. Eine regelmäßige Rezertifizierung entfernt alte Konten und Rechte, für die es keinen beruflichen Grund mehr gibt.
Häufige Fragen
Reicht es, die Berechtigung erst nach dem Generieren der Antwort zu prüfen?
Nein. Unzulässige Inhalte könnten den Text bereits beeinflusst haben. Der Filter muss vor dem Retrieval angewendet und der Zugriff beim Zitieren, Exportieren oder bei einer Aktion erneut geprüft werden.
Darf KI ein einziges Servicekonto für alle verwenden?
Technisch ja, aber weitreichende Rechte vergrößern die Auswirkungen eines Fehlers. Bevorzugen Sie einen delegierten Kontext oder eng begrenzte Service-Identitäten und erzwingen Sie auf dem Server stets sowohl Benutzer- als auch Objektberechtigungen.
Was geschieht mit der Antwort, nachdem der Zugriff auf die Quelle entzogen wurde?
Invalidieren Sie den betreffenden Cache und schränken Sie das erneute Öffnen der Quelle oder des Verlaufs gemäß den Regeln ein. Sensible Fälle können das Löschen abgeleiteter gespeicherter Ausgaben erfordern.
Quellen und weiterführende Lektüre
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
