Walidacja danych wejściowych w systemach AI

Walidacja danych wejściowych w systemach AI to techniczna kontrola informacji zanim model, narzędzie lub kolejny krok workflowu zacznie na nich działać. Nie wystarczy, że JSON da się odczytać albo że model napisał przekonujący tekst. Proces powinien sprawdzić, czy wymagane pola istnieją, mają właściwy typ, mieszczą się w dozwolonym zakresie i pochodzą z oczekiwanego źródła. Gdy automatyzacja pobiera lead z formularza, walidacja może odrzucić rekord bez e-maila, nieznany status albo tekst przekraczający limit. Dzięki temu błąd zostaje zatrzymany przy wejściu, zamiast przenikać do CRM, mailingu i raportów.

W systemie opartym na modelu językowym są co najmniej dwa wejścia do sprawdzenia. Pierwsze pochodzi z zewnątrz, na przykład webhook, załącznik, formularz lub treść strony pobranej przez agenta. Drugie jest wyjściem modelu, które staje się wejściem dla narzędzia. Jeśli agent ma utworzyć zadanie w systemie projektowym, odpowiedź modelu musi zostać sprawdzona przed wywołaniem API. Model może zwrócić brakujący identyfikator, nieobsługiwany priorytet albo dodatkowe pole, którego workflow nie powinien wykonywać. Walidator oddziela użyteczną sugestię AI od danych gotowych do działania.

Najprostsza warstwa to walidacja syntaktyczna: typ pola, obecność, długość, data w uzgodnionym formacie i lista dopuszczalnych wartości. JSON Schema jest standardem, który deklaratywnie opisuje strukturę oraz ograniczenia danych JSON, a następnie pozwala sprawdzić konkretny obiekt przez walidator. To dobre rozwiązanie dla payloadu webhooka i parametrów narzędzia agenta. Nie rozwiązuje jednak całego problemu. Pole może mieć poprawny format e-maila, ale nie oznacza to jeszcze, że kontakt wyraził zgodę marketingową albo że agent ma prawo do niego pisać.

Druga warstwa to walidacja semantyczna i biznesowa. Sprawdza fakty ważne dla procesu: czy lead istnieje, czy jego status pozwala na kontakt, czy wybrana usługa jest dostępna oraz czy kwota nie przekracza limitu bez akceptacji. Przykład dla solopreneurki: agent analizuje odpowiedź z formularza i proponuje follow-up. Zanim workflow wyśle wiadomość, walidator potwierdza e-mail, zgodę, dozwolony etap lejka i brak flagi „nie kontaktować”. Jeśli jeden warunek nie przejdzie, system nie robi automatycznego retry wysyłki. Zapisuje powód i przekazuje sprawę do kolejki ręcznej weryfikacji.

Walidacja jest również elementem ochrony przed prompt injection. Treść z internetu, dokumentu klienta lub pola formularza może zawierać instrukcję skierowaną do modelu, choć nie jest zaufaną instrukcją systemu. OWASP zaleca traktować dane zewnętrzne jako nieufne oraz walidować i oczyszczać wejścia przed przekazaniem ich do LLM. Nie próbuj wykrywać każdego podejrzanego zdania prostą czarną listą słów. Oddziel zaufane instrukcje od danych, ogranicz długość i typ akceptowanej treści, a przede wszystkim nie pozwalaj modelowi samodzielnie wybierać ryzykownych parametrów narzędzia bez walidacji poza modelem.

Dobra implementacja ma jasną ścieżkę dla odrzuconych danych. Zapisz identyfikator zdarzenia, wersję reguły, kategorię błędu i bezpieczny skrót payloadu, ale nie kopiuj bez potrzeby danych wrażliwych do logów. Rozróżnij błąd trwały od przejściowego. Brak wymaganego pola lub błędny status trzeba zatrzymać i wyjaśnić, natomiast limit API może wymagać kontrolowanego ponowienia. Komunikat dla osoby obsługującej proces powinien wskazywać konkretny warunek, który nie przeszedł, zamiast ogólnego „AI nie działa”. To skraca naprawę i pozwala zauważyć, że zmienił się formularz albo integracja.

Nie zamieniaj walidacji w przeszkodę, która blokuje każdą nową sytuację. Zacznij od granicy o największym koszcie błędu, na przykład zapisu leada, publikacji albo zmiany danych klienta. Spisz kilka poprawnych i niepoprawnych przykładów, ustaw reguły domyślnego odrzucenia dla działań ryzykownych oraz przetestuj je po zmianie promptu, modelu i integracji. Walidacja nie zastępuje kontroli dostępu, testów kontraktowych ani człowieka przy decyzjach wymagających oceny. Daje za to powtarzalną bramkę, dzięki której automatyzacja AI nie traktuje każdej wygenerowanej odpowiedzi jako rozkazu do wykonania.