Collegare un assistente interno alle fonti consentite

Un assistente interno deve rispondere usando le fonti accessibili alla persona che domanda. Una cartella comune e un’istruzione di riservatezza non bastano.

L’esempio seguente è interamente ipotetico. Documenti, ruoli, cliente e nomi dei pacchetti sono inventati. Non è stato verificato alcun modello o sistema cliente.

Definire fonti e limiti delle conclusioni

Il catalogo comune D-31 descrive pacchetti senza assegnarli ai clienti. Il record approvato D-32 assegna il pacchetto Plus a K-17.

Entrambi i ruoli pongono la stessa domanda:

Quale ambito di servizio è concordato per il cliente K-17?

Queste sono risposte di esempio attese:

• Gruppo di servizio: «Le fonti approvate a cui ho accesso non permettono di determinare l’ambito concordato. Contatti la gestione contratti».

• Gestione contratti: «Per il cliente K-17 è concordato il pacchetto Plus. Fonte: D-32».

La prima risposta non rivela né identificativo né esistenza di una fonte riservata. Il catalogo generale non prova un accordo specifico. La seconda richiede una fonte realmente apribile dalla persona e capace di sostenere l’affermazione.

Limitare il materiale prima della risposta

L’applicazione deve verificare quali contenuti siano consentiti prima di trasmetterli al modello. Se i documenti sono divisi in passaggi, le regole di accesso devono restare associate. Anche anteprime, risposte salvate e conversazioni precedenti rientrano nel progetto.

Chiedere dopo al modello di non mostrare passaggi segreti non sostituisce il limite. Nemmeno un’alta similarità con la domanda dimostra il permesso di lettura.

Ricavare le verifiche dall’esempio

Per la versione prevista pianifichi almeno questi casi:

• Il ruolo autorizzato riceve l’assegnazione supportata e una fonte accessibile.

• Domande successive non danno al ruolo limitato contenuti protetti né indizi sulle fonti riservate.

• Dopo la revoca, conversazioni prima autorizzate o cache non rendono nuovamente accessibili risposte protette.

• Un’istruzione nascosta nel documento non diventa un’istruzione operativa dell’assistente.

Registri aspettative, fonti consentite e risultati in modo ricostruibile. Non serve registrare sistematicamente il contenuto grezzo dei documenti riservati. Solo il confronto con risultati reali mostra se il flusso progettato funzioni. Il piano delle fonti non è da solo una dimostrazione completa di sicurezza.

Fonti

• OWASP — RAG Security Cheat Sheet

• Microsoft — RAG prompt engineering