Markdown ایڈیشن

AI-translated from English; not yet reviewed by a fluent editor.

# خریداری سے پہلے AI ایجنٹ فراہم کنندہ کے عملی کنٹرول کا موازنہ کریں

> انسانی خریداری جائزے سے پہلے ایک AI ایجنٹ فراہم کنندہ کی شناخت، منظوری، ٹول اجازت، لاگ، ڈیٹا بہاؤ اور ناکامی کے ثبوت کو اپنے تحریری خطرے کے خاکے سے ملائیں۔

By BIG CHANGE Editorial

Published: 2026-10-19T15:30:34.881Z
Updated: 2026-10-19T15:30:34.881Z
Canonical: https://bigchange.ai/blog/ai-agent-vendor-action-controls-evidence

![Conceptual charcoal illustration of a completely blank five-column comparison worksheet clipped to an angled wooden reading stand, beside a closed unmarked folder.](https://bigchange.ai/api/media/file/agent-vendor-blank-comparison-worksheet-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no actual vendor evidence, security finding, audit, test or purchase decision is depicted.

منسلک اکاؤنٹس میں کام کرنے والا AI ایجنٹ ڈیٹا بدل سکتا ہے یا کاروباری عمل شروع کر سکتا ہے۔ فراہم کنندہ چننے سے پہلے کاروباری ذمہ دار اور سکیورٹی جائزہ کار **ایک مجوزہ کام کے بہاؤ** کے کنٹرول کا ادارے کی تحریری ضروریات سے موازنہ کر سکتے ہیں۔ نتیجہ تاریخ والا ثبوت کا ریکارڈ ہے۔ بے جواب سوال کھلا رہتا ہے؛ صرف مصنوعہ کا دعویٰ یہ نہیں دکھاتا کہ عمل روکا جائے گا۔ طریقہ [NIST AI Risk Management Framework Playbook](https://airc.nist.gov/airmf-resources/playbook/) اور [OWASP کے AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) سے اخذ کیا گیا ہے؛ ان میں سے کسی نے امیدوار فراہم کنندہ کو جانچا نہیں۔

## بنیادی تبدیلی

- **کیا بدلا:** ایجنٹ خریدنے میں کاروباری نظاموں کے اندر عمل سونپنا شامل ہو سکتا ہے۔ خریدار کو جاننا چاہیے کہ کون ایجنٹ سے کام کروا سکتا ہے، کس ہدف پر اور کس کی منظوری سے۔
- **یہ کیوں اہم ہے:** خریدار ہر مجوزہ عمل کو نام زد کنٹرول اور اس کے ثبوت سے جوڑ سکتا ہے۔ اس سے کاروباری ذمہ دار اور سکیورٹی جائزہ کار کو رسائی محدود کرنے یا خرید روکنے کی ٹھوس بنیاد ملتی ہے۔
- **کن باتوں پر نظر رکھیں:** فیصلہ عین مصنوعہ کے نسخے اور کام کے بہاؤ کے ثبوت پر منحصر ہے۔ دستاویز میں دکھایا کنٹرول مطلوبہ استعمال کے لیے قبول کرنے سے پہلے زیر نگرانی مظاہرے کا محتاج ہو سکتا ہے۔

## چار بنیادی چیزیں جمع کریں

ادارے کا موجودہ منظور شدہ تحریری خطرے کا خاکہ استعمال کریں۔ اس میں کاروباری ذمہ دار، مطلوبہ نتیجہ، مجاز ڈیٹا اور منزلیں، مجاز اعمال، منظوری کا اختیار، ناقابل قبول نتائج اور رکنے کی شرائط درج ہوں۔ اگر نہیں ہے تو سپلائر جانچنے سے پہلے ذمہ دار افراد سے اسے متعین کروائیں۔ یہ رہنما ان کی طرف سے ادارے کی خطرہ برداشت کرنے کی حد مقرر نہیں کر سکتا۔

[NIST کی MANAGE 3.1 رہنمائی](https://airc.nist.gov/airmf-resources/playbook/manage/) کہتی ہے کہ ادارے کی خطرہ برداشت کرنے کی حد تیسرے فریق کے AI نظاموں پر لاگو کی جائے اور ان کے کنٹرول دستاویزی ہوں۔ Playbook رضاکارانہ تجاویز دیتا ہے، ہر خریداری کی عالمی فہرست نہیں۔ نیچے عملی کنٹرول کے سوالات OWASP کی ایجنٹ مخصوص سکیورٹی رہنمائی سے بھی اخذ ہیں۔ یہ فریم ورک مفید سوال بتاتے ہیں؛ جواب سپلائر کے اپنے ثبوت سے ملنا چاہیے۔

ایک امیدوار فراہم کنندہ اور زیر غور عین مصنوعہ اور تنصیبی نسخہ لکھیں۔ موجودہ دستاویزات اور وہ ثبوت لیں جنہیں بانٹنے کا سپلائر مجاز ہے۔ سکیورٹی جائزہ کار اور خریداری سربراہ کو موازنے کے ریکارڈ تک رسائی دیں۔ حساس ساخت یا ثبوت کی فائلیں منظور شدہ نجی جگہ رکھیں؛ جدول میں راز نقل کرنے کے بجائے ان کا ربط دیں۔

## 1. کام کے بہاؤ کو ضروریات میں بدلیں

ایجنٹ کا ہر مجوزہ عمل، ہدف نظام اور پڑھنے یا بدلنے والا ڈیٹا لکھیں۔ پڑھنے کو لکھنے اور باہر نظر آنے والے یا ناقابل واپسی عمل سے الگ کریں۔ ہر عمل کے لیے تحریری خطرے کے خاکے کی متعلقہ ضرورت نقل کریں: مجاز شناخت، ٹول اور ہدف کا دائرہ، منظوری، لاگ، ڈیٹا سنبھالنا، تعطل اور بحالی۔ خاکے کے ذمہ دار اور تاریخ لکھیں۔

ہر ضرورت کے لیے ایک قطار بنائیں۔ نامعلوم بات مجموعی فراہم کنندہ نمبر میں چھپنے کے بجائے نظر آتی ہے۔ ایجنٹ کبھی کسی خاص اکاؤنٹ تک نہ پہنچے، اس ضرورت کو بھی مجاز عمل کی طرح قطار چاہیے۔

## 2. معلوم کریں کون عمل کرتا ہے اور کیا چل سکتا ہے

پوچھیں کہ کون انسان، سروس اکاؤنٹ یا ایجنٹ شناخت ہر عمل شروع کرتی ہے، اسناد کہاں ہیں اور کیا ایجنٹ دوسرے ایجنٹ کو درخواست دے سکتا ہے۔ عمل کے وقت اجازت جانچنے والا جزو پہچانیں۔ فراہم کنندہ کی اصل ٹول اجازت کو خاکے کے مجاز ٹول، عملیات، اکاؤنٹس اور اہداف سے ملائیں۔ اس نسخے پر لاگو ترتیب یا ساخت کے ثبوت مانگیں؛ پرامپٹ میں ایک بیان نافذ شدہ حد کا کمزور ثبوت ہے۔

منظوری والے عمل کے لیے پوچھیں کہ عمل سے پہلے جائزہ کار کیا دیکھتا ہے اور منظوری کیسے عامل، عین ٹول کال، ہدف اور پیرامیٹر سے بندھی ہے۔ جانیں کہ منظوری ختم، مسترد، دوبارہ استعمال یا مطلوبہ عمل تبدیل ہونے پر کیا ہوتا ہے۔ رسائی واپس لینے کا طریقہ اور فعال اجرا روکنے والا شخص لکھیں۔ منظوری کی سکرین اور اجرا کے وقت جانچ مختلف سوالوں کے جواب ہیں؛ خاکے میں دونوں ضروری ہوں تو دونوں کا ثبوت مانگیں۔

## 3. ڈیٹا اور عمل کے ریکارڈ کا راستہ دیکھیں

ان پٹ سے ماڈل، ٹول، بیرونی وصول کنندہ، محفوظ نقلوں اور لاگ تک مجوزہ راستہ بنائیں۔ پوچھیں ہر جزو کو کون سا ڈیٹا ملتا ہے، کون اسے حاصل کر سکتا ہے اور رکھنا و مٹانا کیسے ہوتا ہے۔ خاکے کے لیے اہم ذیلی پروسیسر یا نظاموں کے درمیان منتقلی شامل کریں۔ منزل یا رکھنے کے بارے میں بے جواب سوال کو **نامعلوم** لکھیں؛ عمومی پالیسی بیان سے رازداری کا تحفظ فرض نہ کریں۔

متعلقہ نسخے کا اجرا ریکارڈ مانگیں۔ کیا جائزہ کار عامل اور پالیسی نسخے کو مجوزہ ٹول کال، منظوری یا انکار، عین ہدف اور نتیجے سے جوڑ سکتا ہے؟ دیکھیں ریکارڈ صرف فیصلہ، حقیقی عمل یا دونوں دکھاتا ہے۔ سکرین شاٹ، ترتیب کا اخراج اور مکمل واقعاتی سلسلہ مختلف باتیں ثابت کرتے ہیں۔ موازنے میں رکاوٹ بننے والے چھپائے حصے لکھیں، مگر جدول میں اسناد اور ذاتی ڈیٹا نہ ڈالیں۔

## 4. ناکامی کے ثبوت مانگیں

مجاز عمل اور خاکے کے مطلوبہ ناکامی کے راستوں کے نسخے سے منسلک ثبوت لیں: مسترد یا ختم منظوری، دائرے سے باہر ٹول یا ہدف، منقطع اجرا، اور جہاں متعلق ہو لاگ یا پالیسی جانچ کی ناکامی۔ لکھیں کیا، کب، کس پالیسی اور ٹول ترتیب میں جانچا گیا، متوقع اور دیکھا نتیجہ کیا تھا۔ آزمائش کا منصوبہ ثبوت کی درخواست ہے، دیکھا ہوا نتیجہ نہیں۔

جواب دہ سکیورٹی جائزہ کار طے کرتا ہے کہ زیر نگرانی مظاہرہ ضروری ہے یا نہیں اور اس کا دائرہ مجاز کرتا ہے۔ منظور شدہ غیر پیداواری ان پٹ اور اکاؤنٹس استعمال کریں۔ صرف خریداری جدول مکمل کرنے کے لیے حقیقی چلتے نظام نہ جوڑیں۔ سپلائر ثبوت نہ دے سکے تو آزمائش کا نتیجہ گھڑنے کے بجائے کمی اور اگلی درخواست لکھیں۔

## 5. فیصلہ اور کھلا کام لکھیں

ہر قطار میں **موزوں** صرف تب لکھیں جب دیے ثبوت اس نسخے اور بہاؤ کی تحریری ضرورت پوری کریں۔ تضاد ہو تو **خلا** یا ثبوت غائب یا بہت کمزور ہوں تو **نامعلوم** لکھیں۔ متضاد ریکارڈ اور حل کرنے والا شخص درج کریں۔ پھر کاروباری ذمہ دار اور جواب دہ سکیورٹی جائزہ کار اصل فیصلہ لکھیں: مزید ثبوت مانگنا، محدود ابتدائی استعمال کی منظوری لینا، مؤخر یا مسترد کرنا۔ موزوں اندراج ثبوت پر فیصلہ ہے، نظام کے محفوظ ہونے کی ضمانت یا ادارے کی خریداری کا بدل نہیں۔

ریکارڈ پر تاریخ رکھیں اور کام کا بہاؤ، مصنوعہ کا نسخہ، پالیسی، منسلک اکاؤنٹس یا ڈیٹا کی منزل بدلنے پر متاثرہ قطاریں پھر دیکھیں۔ بعد کے ابتدائی استعمال کی اپنی اجازت، حدیں اور جانچ ضروری ہیں۔

| تحریری خاکے کی ضرورت | فراہم کنندہ کے ثبوت، نسخہ اور تاریخ | ثبوت کی قسم اور وہ کیا دکھاتا ہے | موزوں، خلا یا نامعلوم | جائزہ کار اور اگلا عمل |
| --- | --- | --- | --- | --- |
| [ایک عمل یا کنٹرول کی ضرورت] | [نجی ربط یا دستاویزی حوالہ؛ نسخہ؛ تاریخ] | [دعویٰ، ترتیب، واقعے کا ریکارڈ یا دیکھا مظاہرہ؛ حد] | [ایک چنیں اور سمجھائیں] | [نام، ثبوت کی درخواست یا فیصلہ] |

**ریکارڈ کا سرنامہ:** بہاؤ اور ذمہ دار؛ خطرے کے خاکے کا نسخہ اور منظوری کی تاریخ؛ امیدوار مصنوعہ اور تنصیبی نسخہ؛ جائزے کی تاریخ؛ سکیورٹی جائزہ کار؛ خریداری سربراہ؛ محدود رسائی والے ثبوت کی جگہ۔ **فیصلے کا ریکارڈ:** فیصلہ، حل طلب قطاریں، قبول شدہ حدود یا متبادل تلافی کنٹرول، جواب دہ منظور کنندہ اور اگلے جائزے کا سبب۔ ذمہ دار افراد کے حقیقی جائزے تک خانے خالی رکھیں۔

سوال بنانے میں استعمال عوامی رہنمائی مفت دستیاب ہے۔ موازنہ تیار کرنے میں عملے اور جائزہ کار کا وقت لگتا ہے۔ سپلائر کے ثبوت، خفیہ رسائی اور مجاز مظاہرے سے خرچ بڑھ سکتا یا جانچ محدود ہو سکتی ہے؛ امیدوار سے اصل شرائط لیں۔ یہ دستاویزی مشق سپلائر کی آزمائش نہیں کرتی، نہ قانونی تعمیل یا خریداری کی عالمی حد قائم کرتی ہے۔

## ماخذ اور مزید مطالعہ

1. [NIST AI RMF Playbook، Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) ادارے کی اپنی خطرہ برداشت کرنے کی حد تیسرے فریق کے AI وسائل پر لاگو کرنے اور کنٹرول درج اور جانچنے کی حمایت کرتا ہے۔ صفحہ کہتا ہے AI RMF 1.0 اپ ڈیٹ ہو رہا ہے اور Playbook بعد میں ہوگا؛ صفحے کی ترمیم کی تاریخ نہیں۔ یہ اس سپلائر کو نہیں جانچتا۔
2. [NIST AI RMF Playbook کا تعارف](https://airc.nist.gov/airmf-resources/playbook/) تجاویز رضاکارانہ بتاتا ہے اور کہتا ہے Playbook مکمل پیروی کی فہرست نہیں۔ یہاں جدول قاری کے بیان کردہ کام کے لیے BIG CHANGE کی ترتیب دی ہوئی معلومات ہے۔
3. [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) محدود ٹول، اجرا کے وقت اختیار، عمل سے بندھی منظوری، لاگ، ڈیٹا تحفظ اور نسخے سے منسلک تصدیقی ثبوت بیان کرتا ہے۔ موجودہ صفحے پر نسخہ یا اشاعت کی تاریخ نہیں۔ سفارشات ثبوت کی قسمیں ہیں، سپلائر کے انہیں نافذ کرنے کا ثبوت نہیں۔

## Sources

- [NIST AI RMF Playbook، Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) — MANAGE 3.1 ادارے کی خطرہ برداشت کرنے کی حد تیسرے فریق کے AI وسائل پر لاگو کرنے اور کنٹرول دستاویزی بنانے کی حمایت کرتا ہے۔ موجودہ AI RMF 1.0 Playbook صفحے پر ترمیم زیر انتظار ہے؛ ترمیم کی تاریخ نہیں۔ یہ سپلائر کی توثیق نہیں کرتا۔
- [NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) — تعارف میں تجاویز رضاکارانہ ہیں اور Playbook مکمل فہرست یا لازم ترتیب نہیں۔ مضمون کا تقابلی جدول ادارتی ترتیب ہے۔
- [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) — حصے 1، 4، 6، 8 اور 9 محدود ٹول، عمل سے منسلک منظوری، لاگ، ڈیٹا اور نسخے سے منسلک آزمائش کے سوالات کی بنیاد ہیں۔ موجودہ صفحہ نسخے اور اشاعت کی تاریخ کے بغیر ہے؛ سفارشات سپلائر کی تاثیر ثابت نہیں کرتیں۔