bariery ochronne

Mechanizmy sprawdzające i blokujące działające poza modelem — na wejściu, na wyjściu i przed wykonaniem działania. Nie polegają na tym, że model zachowa się właściwie, lecz na tym, że kod to sprawdzi. Instrukcja w prompcie nie jest barierą, tylko życzeniem.

W Polsce nazywane też:

zabezpieczenia modelufiltry wejścia i wyjściamechanizmy kontrolne

Instrukcja w prompcie przesuwa prawdopodobieństwo. Bariera ochronna zatrzymuje. Różnica między jednym a drugim jest różnicą między nadzieją a zabezpieczeniem.

Czym są

Mechanizmy sprawdzające i blokujące, działające poza modelem — na wejściu, na wyjściu albo przed wykonaniem działania. Nie polegają na tym, że model zachowa się właściwie, tylko na tym, że kod sprawdzi, czy się zachował.

Trzy miejsca

Na wejściu: filtrowanie treści trafiającej do kontekstu, wykrywanie prób wstrzyknięcia instrukcji, ograniczanie tematyki.

Na wyjściu: sprawdzenie zgodności ze schematem, wykrycie danych wrażliwych, weryfikacja, czy odpowiedź opiera się na dostarczonym materiale.

Przed działaniem: walidacja argumentów wywołania, kontrola uprawnień, limity kwotowe i ilościowe. Ta warstwa jest najważniejsza, bo dotyczy jedynego miejsca, w którym coś realnie się dzieje.

Czego bariery nie są

Nie są instrukcją w prompcie. „Nie ujawniaj danych osobowych” umieszczone w prompcie systemowym nie jest barierą — jest życzeniem, które model może zignorować, źle zrozumieć albo dać się namówić na jego złamanie treścią pobraną z zewnątrz.

Nie są też jednorazowym zabezpieczeniem. Bariera oparta na modelu sama podlega tym samym ograniczeniom co model, który sprawdza.

Koszt i kompromis

Każda bariera to opóźnienie, a często dodatkowe wywołanie modelu. Zbyt ostre ustawienie blokuje przypadki poprawne i uczy użytkowników obchodzenia mechanizmu. Warto mierzyć nie tylko to, ile bariera zatrzymała, ale i ile zatrzymała niepotrzebnie.

skutek ubocznyTrwała zmiana stanu poza agentem — wysłany mail, zapis w bazie, płatność, usunięcie danych. Podział narzędzi na odczytujące i wywołujące skutki uboczne jest podstawą wszystkich zabezpieczeń pętli, bo model tego rozróżnienia nie widzi. Występuje w trzech stopniach: odwracalny, odwracalny kosztownie i nieodwracalny.walidacja argumentówSprawdzenie argumentów zaproponowanych przez model przed wykonaniem narzędzia: format, istnienie wskazanego zasobu oraz uprawnienia i limity. Odbywa się w pętli, poza modelem, i jest jedynym punktem, w którym da się zatrzymać wywołanie przed skutkiem. Prompt tego nie zastąpi, bo instrukcja podlega perswazji, a kod nie.wyjście strukturalneWymuszenie na modelu wyniku w ustalonej, sztywnej formie (najczęściej JSON o zdefiniowanej strukturze) zamiast swobodnej prozy. Daje przewidywalny kształt i łatwą walidację.Wstrzyknięcie instrukcjiAtak na system agentowy polegający na wstrzyknięciu złośliwych instrukcji w treść którą agent przetwarza — maile, dokumenty, strony internetowe — tak że agent wykonuje działania inne niż zamierzył użytkownik. Fundamentalna klasa zagrożeń wynikająca z tego że modele językowe nie odróżniają inherentnie "treści do przeczytania" od "instrukcji do wykonania".Człowiek w pętliModel nadzoru nad agentami AI w którym człowiek zatwierdza kluczowe decyzje przed ich wykonaniem — równowaga między autonomią agenta a kontrolą użytkownika nad jego działaniami.