Prompt Server Security Note

Статус: planned capability.

1. Область безопасности

Будущий Prompt Server будет открывать published prompt assets клиентам. Поэтому главные риски находятся не в AI prompt quality, а в:

  • access control;

  • data boundary correctness;

  • parameter handling;

  • published-only enforcement;

  • compatibility between registry and render contract.

2. Ключевые требования

Сервис должен обеспечивать:

  • только published data;

  • no draft mutation;

  • no draft access;

  • parameter input validation;

  • authn/authz policy для external clients;

  • fail-closed behavior при нарушении доступа или недоступности published store;

  • одинаково строгую policy для registry endpoints и render endpoints.

3. Основные риски

Ключевые риски:

  • утечка draft data;

  • обход authoring boundary;

  • неверная parameter validation;

  • доступ к assets неавторизованными клиентами;

  • неконсистентная compatibility policy;

  • разные классы клиентов получают разные security semantics для одних и тех же published assets.

4. Базовые меры контроля

Необходимые меры:

  • published-only repository view;

  • строгая authn/authz модель;

  • reject draft ids and draft access attempts;

  • deterministic render only in base contract;

  • no fallback to draft data;

  • audit access to sensitive endpoints and assets;

  • единая authorization policy для registry, resolve и render.

5. Особые замечания

Так как capability пока не реализована:

  • документ фиксирует требования к будущей security boundary;

  • он не должен трактоваться как описание уже существующих защитных механизмов;

  • по мере реализации потребуется отдельная детализация authn/authz, rate limiting, audit logging и secret management;

  • если появится Python SDK, он не должен обходить server security boundary через "особый" local-only contract по умолчанию.