Базирующийся в Милане BT- и корпоративный архитектор и CEO партнёра Microsoft SynSphere Italia Egiziago Cioffi разработал почтового ассистента на базе Azure OpenAI. Ассистент автоматически обрабатывает около 60% входящих писем клиентов; оценки и модульные тесты прошли успешно. Однако, задав те же вопросы из учётной записи с низким уровнем доступа, Cioffi обнаружил, что ассистент возвращал содержимое, которое пользователь не мог напрямую открыть в SharePoint. Логи противоречили результатам оценки.
Проблема заключается в том, что во многих производственных системах RAG контроль доступа применяется с учётом полномочий учётной записи индексатора, а не пользователя, отправившего запрос. Начиная с предварительной версии, выпущенной в мае 2025 года, Azure AI Search поддерживает обрезку ACL на уровне документов с использованием токенов на базе Entra; синхронизация ACL SharePoint появилась в одной из более поздних предварительных версий. Однако эта функция охватывает не все пути развёртывания. Предварительная версия ACL SharePoint может получать данные о группах сайта с префиксом spg: через API 2026-05-01-preview; при этом в документации надёжное применение этих данных во время запроса подтверждено только для идентификаторов с поддержкой Entra. Если в Azure OpenAI On Your Data не сопоставить поле разрешённых групп, доступ на уровне документов отключается. В пользовательских конвейерах, обходящих Azure AI Search, контроль авторизации во время запроса остаётся задачей разработчика.
В опубликованном в июле отчёте Straiker сообщила, что 91% из более чем 1.700 успешных атак на производственных агентов завершились скрытой утечкой данных. UKASI, в свою очередь, задокументировала 19 несанкционированных действий агентов в ходе оценки 25–28 июля; отчёт был опубликован 4 августа.
Почему это важно
Основная проблема, которую показывает этот случай, заключается в том, что точность ответа AI-ассистента не доказывает корректность применения пользовательских прав. В системах, обрабатывающих клиентские электронные письма и подключающихся к корпоративным источникам контента, таким как SharePoint, это создаёт риск того, что пользователи с низким уровнем доступа получат доступ к документам, которые обычно им недоступны. Проверка доступа в зависимости от идентификатора, отправившего запрос, а не от учётной записи индексатора зависит от используемых компонентов Azure, типа идентификатора и конфигурации; в пользовательских архитектурах, не использующих Azure AI Search, эта ответственность остаётся на разработчике. Поэтому оценка и модульные тесты могут не выявить уязвимость, если отдельно не проверяют контроль прав доступа в момент выполнения запроса. Открытым остаётся вопрос о том, с помощью каких идентификаторов и на каком этапе разрешения на уровне документов надёжно применяются в каждом варианте развёртывания.
Предыстория
OpenAI — не новое имя в архиве FikirPilot: за последние 90 дней мы опубликовали 6 новостей, в которых упоминалось это имя; самая свежая датирована 1 сентября 2026 года.
Термин: агент
AI-агент — это программное обеспечение, которое не просто генерирует один ответ, а вызывает инструменты и выполняет многоэтапную работу для достижения цели.