Inovai / Pro koho

Dodavatel tvrdí, že je to bezpečné.

Ověříme odpovědi, veřejný kód widgetu i tok dat. Převezmete až po opravě a retestu.

Chci test před převzetím Test chatbota a agenta

Inovai / test integrace / chatbot-dodavatelzjištěno z veřejného kódu widgetu

Veřejný kód widgetu na webu

// chat-widget.min.js, řádek 1 842
const cfg = {
  endpoint: "https://api.dodavatel.example/v1/chat",
  apiKey: "sk-live-4f9a…c21e",
  tenant: "zakaznik-cz",
  userId: localStorage.getItem("uid")
};

Nálezy z rozboru, ještě před nasazením

API klíč viditelný v JavaScriptuP0
Uživatele určuje jen prohlížeč, server ho neověřujeP0
Konverzace odchází třetí straněP1

P0Chybí ověření uživatele na serveruOpravu dostal dodavatel, převzetí až po retestu. Doporučen bezpečnostní audit widgetu u dodavatele.

Problém

Chatbot může mít klíče v kódu, slabé ověření nebo posílat data dál.

Co uděláme

Prověříme odpovědi, kód widgetu i tok dat a nálezy předáme dodavateli.

Výsledek

Převzetí až po opravě a retestu, s důkazem v ruce.

Co se obvykle stane bez testu

Tři mezery, které se ukážou až po podpisu.

Smlouva test neznáVe smlouvě je funkčnost a termín, ne bezpečnostní test ani právo ho provést. Po převzetí je každá oprava vícepráce.

Dodavatel testoval sámVývojář zkusil pár otázek. Útoky česky, injekce přes dokumenty ani zneužití nástrojů agenta nikdo nezkoušel.

Odpovědnost zůstane vámChatbot mluví se zákazníky pod vaší značkou. Když prozradí data, ptají se vás, ne dodavatele.

Jak postupujeme

Od ustanovení ve smlouvě po podpis předávacího protokolu.

odchylka

Krok 1Souhlas ve smlouvěPomůžeme formulovat ustanovení o testu: rozsah, oprávněné osoby, zacházení s údaji.

$ inovai test --lang cs,ennapojeno: chatbot-podporasada: 412 útoků, 2 jazykyběh 9 spuštěn

Krok 2Test před převzetímÚtoky česky i anglicky, kontrola kódu widgetu, klíčů a toku dat, agent v kopii s falešnými nástroji.

Nález potvrzen člověkemReprodukce přiložena1 sporný čeká na testera

Krok 3Nálezy pro dodavateleVážné nálezy potvrdí tester. Přepis, čas a verze modelu u každého, dodavatel zopakuje a opraví.Ověřil člověk

3nálezy před opravou0před podpisem

Krok 4Retest a převzetíPo opravě stejné útoky znovu. Teprve pak podpis, s reportem jako přílohou.

Od vás potřebujeme smlouvu s dodavatelem a jeho písemný souhlas s testem. Pokud ho dodavatel odmítne dát, je to samo o sobě informace.

Důkaz k převzetí

Report s nálezy, opravami a retestem jako příloha předávacího protokolu.

Report k převzetí / příloha předávacího protokoluretest před podpisem

Bezpečnostní test chatbotapro vaši firmu · dodavatel: Chatbot s.r.o. · verze 2.1 · test Inovai

P0API klíč v kódu widgetuopraveno, retest

P1Únik systémového promptuopraveno, retest 0/40

okInjekce přes dokumenty0/25

Mapování: vyhl. 409, AI Act čl. 50, ISO 42001

Časté otázky

Test chatbota a agenta Spouštíme chatbota nebo agenta Pro partnery

Dodavatel tvrdí, že test není potřeba. Co teď?

Požádejte o výsledky jeho testu s reprodukcí nálezů. Pokud je nemá, je to důvod pro test před převzetím, pokud je má, ověříme je retestem.

Můžeme testovat, když chatbot běží u dodavatele v cloudu?

Ano, se souhlasem dodavatele a případně provozovatele cloudu. Útoky jsou texty přes běžné rozhraní, ne zásah do infrastruktury.

Co když jsme už převzali?

Otestujeme za provozu se souhlasem dodavatele a nálezy předáme v rámci záruky nebo servisní smlouvy. Do další smlouvy doporučíme doplnit právo testovat.