La fuga da EUR 412 million, lavorata da un capo all'altro
Una domanda, posta da un'analista sintetica, risposta su entrambi i lati dello split screen. Ogni immagine sotto è uno screenshot dell'app in esecuzione; ogni identità, documento e cifra è dato di fixture sintetico.
La domanda che fa trapelare
Lena Vogt, analista EMEA Credit Risk con clearance L2, chiede: «Qual è la nostra proiezione di credit-loss EMEA del Q3 e la metodologia dietro di essa?» Il retrieval fa emergere il board pack Q3 Board-Only insieme a documenti che lei può vedere. Il lato ACL piatto lo serve: anni di debito di ereditarietà di gruppi nidificati nel grafo di identità l'hanno resa transitivamente membro del «Board», e un tag solo-gruppo non ha alcun concetto di clearance. Il memo raggiunge il modello, la risposta legge EUR 412 million, e il banner dice LEAK.
La stessa query, dietro il firewall
Sul lato RAGGUARD, lo stesso retrieval viene eseguito, ma il board pack è trattenuto prima dell'LLM con il reason code BOARD_MEMBERSHIP_REQUIRED: il documento richiede clearance L4 e Lena detiene L2. Il modello risponde correttamente dalla nota metodologica Internal e dal memo Confidential a cui la sua catena di gruppi nidificati le dà diritto, e dichiara cosa è stato trattenuto e perché invece di bluffare.
Cosa ha visto davvero il modello
Il modal dei dettagli di decisione mostra l'input verbatim del modello su entrambi i lati. A sinistra, il board pack trapelato sta dentro il prompt, contrassegnato in rosso. A destra, è semplicemente assente: il modello non vede mai documenti a cui l'utente non può accedere. La vista per documento rende esplicita la divergenza, la stessa riga del board pack che recita «Served without authorization» da un lato e «Access denied at retrieval» con il suo reason code dall'altro.
L'iniezione che non aveva nulla da rubare
La nota metodologica Internal porta una stringa di prompt-injection incorporata che istruisce qualsiasi assistente AI che la legga a ignorare i propri permessi di retrieval e a emettere la cifra Board completa. Sul lato firewall non ha nulla da esfiltrare: il board pack non è mai entrato nella finestra di contesto, perché l'autorizzazione è avvenuta prima dell'LLM. Questo è un caso etichettato, mostrato come difesa in profondità dall'enforcement al momento del retrieval, non un prodotto di guardrail separato.
Il grafo di identità si muove. Lo snapshot no.
Priya Shah è stata cessata nove minuti fa sull'orologio della demo, e il webhook del fixture è scattato. Il firewall restituisce ALL_ACCESS_REVOKED_TERMINATION su tutto: 0 concessi, 5 negati. Lo snapshot ACL piatto, costruito prima della cessazione, la serve ancora, perché il re-index non è stato eseguito. La demo percorre lo stesso bordo per Marco Rossi, la cui concessione a tempo Project-Atlas è scaduta ieri sull'orologio della demo (ACCESS_WINDOW_EXPIRED), per Raj Patel, che siede in un gruppo che consente e in un gruppo che nega contemporaneamente (POLICY_CONFLICT, tenuto per revisione umana), e per Wei Chen, il membro del board L4 che il firewall serve correttamente, il controllo positivo che prova che non sta semplicemente negando tutto.
La ricevuta, a schermo
Ognuna di queste decisioni atterra nella traccia di audit a prova di manomissione: un record JSON concatenato con hash di chi ha chiesto cosa, cosa è stato servito, cosa è stato trattenuto e perché, e quale modello ha risposto, con un chip di verifica CHAIN INTACT e un export con un clic. Generato automaticamente, all'interno del VPC.
Lo scoreboard, con il suo perimetro esatto
Il set golden è 40 decisioni allow/deny etichettate (utente, documento): 10 utenti contro 4 documenti sensibili, etichette derivate meccanicamente dall'oracolo indipendente dalla semantica del grafo di identità. Il firewall ottiene 40/40 con 0 divulgazioni non autorizzate e 0 falsi dinieghi. La baseline ACL piatto ottiene 29/40 con 10 divulgazioni non autorizzate, incluso il board pack servito a 7 utenti non autorizzati, la finestra Atlas scaduta e il dipendente cessato, più 1 falso diniego. Ogni cifra è calcolata dall'harness a runtime, mai hard-coded, e il drill-down per caso mostra ciascuna etichetta dell'oracolo accanto alle decisioni di entrambi i sistemi. Questi sono risultati del set golden, non garanzie a mondo aperto.
