AI biztonsági audit — Medisync Kft., 12 kritikus sebezhetőség feltárva

Az ügyfél

A Medisync Kft. budapesti székhelyű healthtech SaaS (~45 fős csapat), amely orvosi dokumentáció-automatizálást kínál magyar magán klinikáknak. A termék LLM-alapú (Claude Sonnet + GPT-4o), kb. 120 magyar klinikánál fut termelésben, havi ~80.000 páciens-dokumentáció feldolgozással.

A kiváltó ok

Két eseménysor: (1) egy klinika rendszeradminisztrátora prompt injection-szerű bemenetet tesztelt, és úgy tűnt, hogy a rendszer hajlandó egy előző páciens adataira utalni. (2) A cég CE jelölés alatt álló változat fejlesztése miatt MDR-compliant dokumentációra volt szüksége a biztonsági rétegekről.

A megbízás

2 fázisú audit: (1) Red-team penetrációs teszt — prompt injection, data exfiltration, PHI szivárgás vizsgálata, (2) MDR-ready dokumentáció és védekezési rétegek design + implementáció. 8 hetes határidő.

Red-team módszertan

12 támadási osztály: direct prompt injection, indirect prompt injection dokumentumban, role-play attack, jailbreaking, system prompt extraction, PHI leakage cross-tenant, data poisoning, token-smuggling, tool misuse, output manipulation, MCP permissions bypass, audit log tampering. Minden osztálynál 8-15 konkrét támadási forgatókönyv.

Feltárt sebezhetőségek (12 kritikus)

• Cross-tenant PHI leak: a RAG retriever nem szűrte megfelelően a tenant-ID-t — egyik klinika lekérhette másik adatait
• Indirect prompt injection a feltöltött PDF-ekben: a rendszer követte a PDF-be ágyazott rosszindulatú utasításokat
• System prompt extraction 'jailbreak' taktikával: a teljes system prompt kinyerhető volt
• Tool use misuse: az agent a betegadatok lekérő tool-ját meg tudta hívni nem hozzá rendelt betegre
• Audit log tampering: az LLM-nek direkt hozzáférése volt az audit táblához
• Role confusion: 'most te egy orvos vagy' promptokra a rendszer klinikai tanácsot adott
• Output validation bypass: JSON-ben szerkesztett adat átment a guardrail-en
• Session hijacking: a session ID-t nem titkosított URL paraméter szállította
• PII redaction incomplete: csak név és TAJ-t redaktált, címet és dátumot nem
• Rate limit bypass: a bejelentkezett user-ek nem voltak throttle-olva
• Cost exploit: ismétlődő jellegű hosszú prompttal $100+ API költség provokálható volt
• MCP (Model Context Protocol) permission bypass: bizonyos tool-ok hozzáférhetők voltak a dolgozók számára, akik nem kellett volna

Javítási réteg-terv

7-rétegű védelem: (1) Input validation middleware (szabály + ML). (2) Prompt template rendszer, user-input szigorúan elválasztva. (3) Claude Sonnet 4.6 saját beépített guardrail-je, kombinálva egy dedikált Llama Guard moderáció modellel. (4) Tool permission model JWT-alapú scope-okkal. (5) Output validation: JSON schema + PII re-redaction + toxicitás-szűrés. (6) Audit trail write-only API-val, external bucketbe. (7) Rate + cost limit per user + per tenant.

MDR-ready dokumentáció

61 oldalas műszaki biztonsági dossier: architektúra diagramok, fenyegetés-modellezés (STRIDE + LLM-specifikus), minden védőrendszer formal spec, tesztelési bizonyítékok, incident response runbook, vendor management (Anthropic, OpenAI Enterprise DPA-k). A dokumentum CE jelölés benyújtásához volt szánva.

Szállítás

Hét 1-2: Red-team tervezés és első menet (800 támadási iteráció). Hét 3-4: védelem design + első implementáció. Hét 5-6: reteszt és iteráció — minden sebezhetőségnél regression test elkészítve. Hét 7-8: dokumentáció finalizálása + MDR-ready deliverable.

Eredmények

• 12 kritikus sebezhetőség feltárva és mind javítva
• 61 oldalas MDR-ready biztonsági dossier átadva
• Zero prompt injection incident a javítás utáni 4 hónapban (200+ re-test)
• CE jelölés benyújtva és első körös feedback positive (feedback folyamatban)
• Cross-tenant PHI leak risk = 0 (tenant-izoláció formálisan verifikálva)
• Ügyfél biztonsági audit (klinikai felhasználónál) sikeresen átment

Tanulságok

A LLM-specifikus fenyegetésmodellezés más, mint a hagyományos webes: prompt injection, indirect injection, role confusion, tool misuse nem OWASP Top 10-ben vannak. Health AI projektnél MDR-compliance dokumentációt a projekt INDULÁSÁKOR kell tervezni, nem a végén — különben a belső csapat-tag számára felesleges duplikáció keletkezik.

Költség

Audit + dokumentáció + javítási terv: €58.000 fix-scope. A felderített sebezhetőségek nélkül egy GDPR / MDR szabálysértés legalább €500.000+ bírságot jelenthetett volna.