La filtración de EUR 412 millones, trabajada de extremo a extremo
Una pregunta, hecha por una analista sintética, respondida en ambos lados de la pantalla partida. Cada imagen de abajo es una captura de la aplicación en ejecución; cada identidad, documento y cifra es dato de fixture sintético.
La pregunta que filtra
Lena Vogt, analista de Riesgo Crediticio EMEA con habilitación L2, pregunta: «¿Cuál es nuestra proyección de pérdida crediticia EMEA del T3 y la metodología que hay detrás?» La recuperación saca el paquete del consejo Solo Consejo del T3 junto con documentos que ella sí puede ver. El lado de ACL plana lo sirve: años de deuda de herencia de grupos anidados en el grafo de identidad la han convertido de forma transitiva en miembro de «Board», y una etiqueta solo de grupo no tiene concepto de habilitación. El memorando llega al modelo, la respuesta lee EUR 412 millones, y el banner dice LEAK.
La misma consulta, detrás del cortafuegos
En el lado RAGGUARD, se ejecuta la misma recuperación, pero el paquete del consejo se retiene antes del LLM con el código de razón BOARD_MEMBERSHIP_REQUIRED: el documento exige habilitación L4 y Lena tiene L2. El modelo responde correctamente a partir de la nota de metodología Internal y el memorando Confidential a los que su cadena de grupos anidados sí le da derecho, y declara qué se retuvo y por qué en lugar de farolear.
Lo que el modelo vio realmente
El modal de detalle de decisión muestra la entrada verbatim del modelo en ambos lados. A la izquierda, el paquete del consejo filtrado está dentro del prompt, marcado en rojo. A la derecha, simplemente está ausente: el modelo nunca ve documentos a los que el usuario no puede acceder. La vista por documento hace explícita la divergencia: la misma fila del paquete del consejo lee «Servido sin autorización» en un lado y «Acceso denegado en la recuperación» con su código de razón en el otro.
La inyección que no tenía nada que robar
La nota de metodología Internal lleva una cadena de inyección de prompts incrustada que instruye a cualquier asistente de IA que la lea a ignorar sus permisos de recuperación y a devolver la cifra completa del Consejo. En el lado del cortafuegos no hay nada que exfiltrar: el paquete del consejo nunca entró en la ventana de contexto, porque la autorización ocurrió antes del LLM. Este es un caso etiquetado, mostrado como defensa en profundidad desde la aplicación en el momento de la recuperación, no un producto de guardarraíles aparte.
El grafo de identidad se mueve. La instantánea, no.
Priya Shah fue dada de baja hace nueve minutos en el reloj de la demostración, y el webhook del fixture ya se ha disparado. El cortafuegos devuelve ALL_ACCESS_REVOKED_TERMINATION en todo: 0 concedidos, 5 denegados. La instantánea de ACL plana, construida antes de la baja, sigue sirviéndole, porque la reindexación no se ha ejecutado. La demostración recorre el mismo caso límite para Marco Rossi, cuya concesión con vigencia limitada de Project-Atlas caducó ayer en el reloj de la demostración (ACCESS_WINDOW_EXPIRED), para Raj Patel, que está a la vez en un grupo que permite y en uno que deniega (POLICY_CONFLICT, retenido para revisión humana), y para Wei Chen, el miembro del consejo L4 al que el cortafuegos sirve correctamente, el control positivo que demuestra que no se limita a denegar todo.
El recibo, en pantalla
Cada una de estas decisiones aterriza en el rastro de auditoría con evidencia de manipulación: un registro JSON encadenado por hash de quién preguntó qué, qué se sirvió, qué se retuvo y por qué, y qué modelo respondió, con un chip de verificación CHAIN INTACT y una exportación con un clic. Generado automáticamente, dentro de la VPC.
El marcador, con su alcance exacto
El conjunto dorado son 40 decisiones allow/deny etiquetadas (usuario, documento): 10 usuarios frente a 4 documentos sensibles, etiquetas derivadas mecánicamente por el oráculo independiente a partir de la semántica del grafo de identidad. El cortafuegos puntúa 40/40 con 0 divulgaciones no autorizadas y 0 denegaciones falsas. La línea base de ACL plana puntúa 29/40 con 10 divulgaciones no autorizadas, incluido el paquete del consejo servido a 7 usuarios no autorizados, la ventana Atlas caducada y la empleada dada de baja, más 1 denegación falsa. Cada cifra la calcula el arnés en tiempo de ejecución, nunca está codificada de forma fija, y el desglose por caso muestra cada etiqueta del oráculo junto a las decisiones de ambos sistemas. Estos son resultados del conjunto dorado, no garantías de mundo abierto.
