Penetrační testy AI a LLM aplikací.
LLM ve vašem produktu je nový, nedůvěryhodný vstup do systémů, na kterých stojí váš byznys — a jakmile získá nástroje, i aktér s oprávněními vašich uživatelů. Testujeme, co model dokáže provést, nikoli co je ochoten říci.
Zabezpečujeme české technologické firmy, které uspěly ve světě.
Penetrační testy AI a LLM aplikací
Jazykový model zapojený do vašeho produktu není chatbot připojený zvenčí. Je to nový vstupní kanál do týchž systémů, na kterých běží vaše webová aplikace — kanál, který přijímá přirozený jazyk od kohokoli, čte dokumenty a webové stránky, které jste nenapsali vy, a stále častěji volá nástroje a provádí akce jménem uživatele. Vše, co model vyprodukuje, je útočníkem ovlivnitelný vstup pro cokoli, co jej dále zpracovává: vaše API, databázi, prohlížeče vašich uživatelů i dalšího agenta v řetězci.
Většina nástrojů pro bezpečnost AI měří model — jak často jej lze přimět porušit vlastní pravidla. To není bezpečnostní nález. Bezpečnostní nález je agent, který provede refundaci, k níž nebyl oprávněn, vyhledávání, které vrátí dokumenty jiného tenanta, nebo odpověď modelu vykreslená jako HTML, která spustí skript v prohlížeči uživatele. Naše penetrační testy AI a LLM aplikací míří na systém kolem modelu: na co model dosáhne, čím jménem a zda to vrstva pod ním ověřuje.
Co testujeme
Prompt injection a únik skrytého kontextu
Přímá injekce přes uživatelský vstup a nepřímá přes cokoli, co model čte: nahrané dokumenty, načtené stránky, e-maily, výstupy nástrojů, jiné agenty. Vícekrokové a kódované payloady, obcházení ochranných mechanismů (guardrails), extrakce systémového promptu a dalšího skrytého kontextu (OWASP LLM01, LLM07).
Nástroje, agenti a oprávnění
Co model smí provést a čím jménem. Hranice volání funkcí (function calling) a MCP nástrojů, nadměrná autonomie (excessive agency), situace typu confused deputy, kdy agent disponuje vyšším oprávněním než uživatel, za něhož jedná, únos cíle (goal hijacking), otrava paměti (memory poisoning) u agentů uchovávajících stav mezi relacemi, SSRF přes nástroje pro načítání obsahu. Každou akci, kterou model dokáže vyvolat, testujeme jako volání API: ověřuje endpoint za ní oprávnění, nebo důvěřuje modelu? (OWASP Top 10 pro agentní aplikace, ASI01–ASI10)
RAG a expozice dat
Podvržení obsahu vstupujícího do pipeline, vyhledávání překračující hranice tenantů či rolí, protože vektorová databáze nezná váš autorizační model, a únik kontextu jiných uživatelů, zdrojových dokumentů, přihlašovacích údajů a osobních údajů přes odpovědi modelu nebo jeho logy (LLM02, LLM04, LLM08).
Zpracování výstupu modelu
Výstup modelu jako vektor útoku na vše, co jej dále zpracovává: vykreslování markdownu a HTML (XSS), modelem generované SQL nebo kód spouštěný downstream (injekce, RCE), automatizované akce v ticketovacích systémech, e-mailu či CI (LLM05).
Aplikace, infrastruktura a dodavatelský řetězec pod AI vrstvou
API, autentizace a infrastruktura, na nichž vaše AI funkce stojí; MCP servery, pluginy, modelové soubory a adaptéry třetích stran, jimž vaše nasazení důvěřuje; limity spotřeby tokenů, nákladů a požadavků na uživatele i nástroj (LLM03, LLM10). Nález v LLM bývá jen vstupní bod — skutečný dopad se zpravidla projeví až ve vrstvě pod ním.
Jak testujeme
Rozsah se řídí OWASP Top 10 pro LLM aplikace (2026) a tam, kde systém disponuje nástroji nebo pamětí, také OWASP Top 10 pro agentní aplikace (ASI) a OWASP MCP Top 10; webovou aplikaci a API kolem modelu prověřujeme podle naší standardní metodiky (OWASP OTG / ASVS). Standardně pracujeme grey-box: nejprve projdeme architekturu — který model, které nástroje, co model smí číst a zapisovat a pod jakou identitou běží — a poté přejdeme k ručnímu adversariálnímu testování nasazeného systému v UAT nebo produkci podobném prostředí. Automatizovaný fuzzing promptů je součástí výbavy; nepřímou injekci přes vaše dokumenty ani chybějící autorizaci za voláním nástroje však neodhalí. Nálezy potvrzujeme exploitací a hodnotíme podle CVSSv3.
Co dostanete
Report s nálezy seřazenými podle závažnosti (CVSSv3), kroky k reprodukci a doporučeními k nápravě na úrovni promptů, pipeline, nástrojů i infrastruktury. Jakmile váš tým úpravy nasadí, je v ceně i retest nálezů.
Každý test provádějí certifikovaní senior specialisté — žádní junioři, kteří se učí na vašich systémech.
Chcete vidět, jak náš report vypadá? Rádi vám pošleme ukázku.
Výstupy z testů využijete pro NIS2, DORA, ISO 27001 i požadavky AI Act.
Ceník
Rozsah se odvíjí od počtu vstupních bodů AI, nástrojů a datových zdrojů dostupných modelu a od míry autonomie agentů — obvykle 5–10 člověkodnů. Rozsah i cenu potvrdíme na krátkém hovoru.
Často kladené dotazy, vždy zodpovězeny.
Testujete model, nebo aplikaci?
Aplikaci a její integraci: prompty, vyhledávání, nástroje, zpracování výstupu a systémy pod nimi. Útoky na váhy modelu (extrakce, membership inference) provedeme na vyžádání; většina reálného rizika spočívá v tom, jak je model zapojen do produktu.
Jaké technologie?
API OpenAI / Anthropic / Azure, self-hosted modely (vLLM, Ollama), pipeline typu LangChain / LlamaIndex, agentní frameworky a integrace nástrojů přes MCP a vlastní agenty.
Používáme automatizovaný nástroj pro AI red teaming. Proč ještě penetrační test?
Automatizované nástroje hodnotí chování modelu: jak často jej lze přimět porušit instrukce. Nevědí, který nástroj model může zavolat, co ověřuje endpoint za ním ani které dokumenty mohou vaši uživatelé vyhledat. Nálezy se skutečným dopadem jsou právě tam — v integraci, nikoli v míře odmítnutí.
Pojďme to probrat.
Napište nám, co model vidí a co smí provést — které nástroje, která data, kteří uživatelé — a navrhneme rozsah testu.
Domluvit nezávaznou konzultaci ›