Безопасность чат-бота (активная проверка собственного бота на атаки через промпт)

Что такое проверка на безопасность чат-бота

Большинство проверок Web Check пассивные и только читают публичные ответы. Безопасность чат-бота проверяется иначе: сервис действительно отправляет атакующие запросы на эндпоинт вашего бота и смотрит, что вернулось. Поэтому в автоматический аудит сайта она не входит. Она запускается только явно, когда вы вводите адрес бота.

Набор атак расширен с учётом OWASP LLM Top-10 (2025). Тестировать разрешено только свой бот; чужой чат-бот не мишень для этой функции.

Настройки и два режима

Чтобы проверить безопасность чат-бота, вы указываете адрес бота и при необходимости меняете значения по умолчанию:

• поле запроса — по умолчанию text;
• поле ответа — по умолчанию reply;
• необязательный заголовок авторизации;
• режим: express или full.

Экспресс охватывает три самых опасных класса: инъекцию через данные (H), злоупотребление инструментами (I) и извлечение системного промпта (A).

Полный режим отправляет 18 запросов по 14 классам векторов: извлечение промпта, заполнение контекста, постепенное подведение, кодирование смысла, смена роли, блокировка отказа, согласование ответа, инъекция в данных, tool-abuse, many-shot (демо-примеры), сборка из частей (payload splitting), маскировка вывода, состязательный суффикс и skeleton key.

Как проходит запуск по шагам

1. Вы открываете /ai-security или вызываете GET /api/ai-agent-security, передав адрес эндпоинта бота в url.
2. Вы называете поля запроса и ответа, если они отличаются от значений по умолчанию, добавляете заголовок авторизации, если бот его требует, и выбираете express или full.
3. Web Check отправляет боту атакующие запросы выбранного режима.
4. Он читает каждый ответ и решает, сдался ли бот: повторил контрольное слово PWNED, вышел из роли («режим разработчика, ограничения сняты») или выдал фразы из системных инструкций либо секретный маркер.
5. У каждого класса атак есть важность, она подсказывает, куда смотреть в первую очередь.

Как ранжированы классы атак

• Critical. Инъекция в данных, tool-abuse и skeleton key. Инъекция через изображение или документ и отравление RAG-базы тоже относятся к critical, но в этот набор не входят.
• High. Извлечение промпта, смена роли, кодирование смысла, many-shot, payload splitting, маскировка вывода и состязательный суффикс.
• Medium. Заполнение контекста, постепенное подведение, блокировка отказа и согласование ответа.

Безопасность чат-бота разбирают по этому ранжированию: оно подсказывает, что читать первым, если сработало сразу несколько классов.

Где пригождается и как начать

• Перед встречей бота с посетителями. Запустите full на эндпоинт и посмотрите, какие классы прошли.
• После правки промпта или инструментов. Новый системный промпт или подключённый инструмент — хороший повод повторить запуск хотя бы в режиме express: извлечение системного промпта и злоупотребление инструментами входят в его три класса.
• Как быстрая регулярная выборочная проверка. Экспресс покрывает три самых опасных класса и идёт короче.

GET https://webcheck.asibots.pro/api/ai-agent-security?url=BOT_ENDPOINT

Та же проверка доступна на странице /ai-security.

Честные границы: что не значит «устоял»

• Только свой бот. Проверка на безопасность чат-бота активная. Не направляйте её на чат-бот, который вам не принадлежит.
• «Устоял» не значит «неуязвим». Результат «устоял» означает, что эти запросы не сработали. Он не доказывает, что не сработает какой-то другой.
• Часть рисков через чат не увидеть. Инъекцию через изображение или документ и отравление базы знаний RAG через чат-канал проверить нельзя. Без этих каналов «устоял» был бы ложным, поэтому их разбирают в расширенном аудите.
• Не входит в автоаудит. Проверка идёт только по явному запуску с адресом бота.

Частые вопросы

Можно ли проверять чужой чат-бот?

Нет. Проверка активная: Web Check отправляет боту атакующие запросы. Используйте её только для бота, который вам принадлежит или которым вы управляете.

Значит ли пройденная безопасность чат-бота, что он защищён?

Нет. Результат «устоял» значит, что эти запросы не сработали, а не что бот неуязвим. Другой запрос или другой канал всё ещё могут сработать.

Какие риски нельзя проверить через чат-канал?

Инъекцию через изображение или документ и отравление базы знаний RAG. Чат-проверка дала бы для них ложный «устоял», поэтому их анализируют в расширенном аудите.

Читайте также

• Проверка безопасности сайта
• API аудита сайта