Varnostni pregled AI in spletnih aplikacij. Preden to naredi kdo drug.

Reference in objavljeno delo

Varnostno delo, ki ga lahko preverite sami, ker je javno:

AVADO Qtum 0.0.14

Pri pregledu odprtokodnega paketa za vozlišče Qtum na platformi AVADO smo odkrili, da je lahko katera koli spletna stran, odprta v omrežju lastnika, prek RPC vmesnika prebrala zasebne ključe denarnice ali poslala sredstva. Popravek: preverjanje izvora zahtev v nginx, brez CORS na občutljivih poteh, 8 avtomatskih testov. Združeno 27. 9. 2026. PR #14 na GitHubu.

AVADO Qtum 0.0.15

Čarovnik in denarnica preseljena na HTTPS, preverjanje izvora razširjeno na obe shemi, WebSocket do nadzornega vmesnika dovoljen samo lastni strani. Testi za vsak izvor in shemo. PR #16 na GitHubu.

AVADO Client UI 0.1.1

Varnostni pregled skupnega vmesnika za validatorje Ethereum: preverjanje kontrolne vsote naslovov EIP-55, daljše varnostno čakanje pred ponovnim zagonom validatorja (preprečitev kazni slashing), opozorila ob nesinhroniziranem odjemalcu. 671 testov. Združeno 5. 10. 2026. PR #1 na GitHubu.

Lastna infrastruktura

flisko.si in 3dnaklik.si, ki ju razvijamo in vzdržujemo sami, imata javne vmesnike za AI agente in redne preglede konfiguracije, dostopov in odvisnosti. Kar svetujemo naročnikom, uporabljamo tudi doma.

Preglede za naročnike opravljamo pod dogovorom o zaupnosti, zato jih tu ne naštevamo po imenih; na klicu vam povemo, kaj smo delali v podobnih sistemih.

Kaj vam ne obljubimo

• ✦Nobenega testiranja brez pisnega pooblastila in nobenega testiranja sistemov, ki niso vaši. Če nekaj ni v obsegu, se tega ne dotaknemo.
• ✦Nobene izjave, da je sistem 100 % varen. Poročilo pove, kaj smo preverili, kaj smo našli in česa nismo preverjali.
• ✦Nobenih certifikatov, ki jih nimamo. Nismo revizor SOC 2 ali ISO 27001 in tega ne izdajamo.
• ✦Nobenih testov, ki bi lahko ustavili vašo produkcijo. Obremenitveni in DDoS testi niso del pregleda, razen če jih posebej naročite v testnem okolju.

Pogosta vprašanja o varnostnem pregledu

• Kaj je varnostni pregled AI aplikacije?

  Varnostni pregled AI aplikacije je pooblaščen preizkus, ali lahko kdo chatbot, RAG sistem ali agenta pripravi do tega, da razkrije podatke, izvede nedovoljeno dejanje ali zaobide pravila. Preverimo neposredni in posredni prompt injection (prek dokumentov, e-pošte ali spletnih strani, ki jih model bere), uhajanje sistemskih navodil in podatkov drugih uporabnikov, dovoljenja orodij, ki jih agent lahko kliče, ter nadzor dostopa v iskanju RAG. Rezultat je poročilo z dokazi in popravki.

• V čem se varnostni pregled razlikuje od klasičnega penetracijskega testa?

  Klasični penetracijski test simulira napadalca brez vpogleda v sistem. Naš pregled je pregled s sodelovanjem: naročnik nam da dostop do kode, konfiguracij in testnega okolja, zato v istem času najdemo več in najdbe takoj povežemo s popravkom. Za spletni del uporabljamo OWASP Top 10, za AI del OWASP Top 10 for LLM Applications. Če potrebujete samo zunanji test brez vpogleda, to povemo in vas po potrebi napotimo naprej.

• Ali potrebujete dostop do izvorne kode?

  Za celovit pregled da, ker se večina najdb v AI aplikacijah skriva v tem, kako so sestavljeni pozivi, katera orodja ima agent in kako je urejen dostop do podatkov. Hitri pregled AI aplikacije lahko opravimo tudi brez kode, prek vmesnika in testnega računa, a je poročilo takrat ožje. Dostop uredimo prek vašega repozitorija z začasnim računom za čas pregleda.

• Kako dolgo traja pregled?

  Hitri pregled AI aplikacije traja 3 do 5 delovnih dni od dostopa do poročila. Celovit varnostni pregled do dveh sistemov traja 2 do 3 tedne, ponovni pregled po popravkih pa je vključen v 30 dneh po poročilu. Rok potrdimo v ponudbi, ko vidimo obseg.

• Je tak pregled zakonit in kaj potrebujete od nas?

  Pregled izvajamo izključno na sistemih, ki jih naročnik ima v lasti ali upravlja, s pisnim pooblastilom, ki določa obseg (seznam sistemov in domen), okolje (testno ali produkcijsko), čas in pravila (kaj se ne dotika). Brez pooblastila ne testiramo ničesar. Ob začetku podpišemo tudi dogovor o zaupnosti.

• Kaj dobimo v poročilu?

  Seznam najdb, razvrščenih po resnosti (kritično, visoko, srednje, nizko), za vsako najdbo dokaz (kako smo jo sprožili), oceno posledic, konkreten popravek in prioriteto. Poročilo je v slovenščini ali angleščini, s povzetkom za vodstvo na prvi strani in tehničnimi podrobnostmi za razvijalce. Po želji najdbe predstavimo ekipi na enournem klicu.

• Ali pregled pokriva tudi GDPR in Akt o umetni inteligenci?

  Pregled je tehnični, ne pravni. Kjer najdba zadeva osebne podatke (na primer uhajanje podatkov drugega uporabnika ali ključi do baze z osebnimi podatki), to v poročilu izrecno označimo, da jo lahko vaš pooblaščenec za varstvo podatkov obravnava. Pri AI sistemih označimo tudi točke, ki jih Akt o umetni inteligenci zahteva od uporabnika (beleženje, človeški nadzor, preglednost), pravne ocene skladnosti pa ne izdajamo.

• Koliko stane varnostni pregled?

  Hitri pregled ene AI aplikacije stane od 1.200 € (enkratno), celovit varnostni pregled AI in spletne aplikacije s konfiguracijo od 3.900 € (enkratno, do dva sistema, ponovni pregled vključen), stalno spremljanje od 490 € na mesec. Cene so končne, ker nismo zavezanci za DDV. Točno ceno dobite v ponudbi po 30-minutnem klicu.

• Ali najdbe tudi popravite?

  Da, če želite. Poročilo je napisano tako, da popravke lahko izvede vaša ekipa. Če je nimate ali nima časa, popravke izvedemo mi v okviru storitve AI rešitve po meri ali zasebni AI za podjetja, ponovni pregled pa je v obeh primerih vključen.

• Ali pregled izvajate tudi v angleščini?

  Da. Delamo za naročnike v Sloveniji, na Hrvaškem in v Avstriji ter na daljavo po EU. Poročilo in predstavitev sta lahko v slovenščini ali angleščini. Angleška različica te strani je na /en/security-audit.

Pošljite povpraševanje.

Napišite, kateri sistem želite pregledati in kje teče. V 24 urah odgovorimo s ponudbo s fiksnim obsegom, ceno in rokom.