Prompt injection (wstrzyknięcie polecenia)

Prompt injection, po polsku wstrzyknięcie polecenia, to atak, w którym napastnik umieszcza instrukcję w treści przetwarzanej przez model językowy. Model traktuje ją tak samo jak polecenie od użytkownika i wykonuje. Przyczyna leży w samej konstrukcji tych systemów: polecenie i dane przychodzą do modelu w tej samej postaci, jako tekst, więc nie ma on mechanizmu rozdzielającego jedno od drugiego.

Dwa rodzaje, o różnym ciężarze

• Bezpośrednie — użytkownik sam wpisuje polecenie łamiące instrukcje systemowe („zignoruj poprzednie polecenia"). Modele bronią się przed tym coraz skuteczniej.
• Pośrednie — instrukcja siedzi w materiale, który model czyta po drodze: na stronie, w mailu, w dokumencie, w odpowiedzi API. To wariant groźniejszy, bo ofiara nie robi nic podejrzanego, a napastnik nie musi mieć żadnego dostępu.

Czym się to przenosi

Nośnikiem bywa biały tekst na białym tle, niewidzialne znaki Unicode, treść ukryta regułą CSS, komentarz w kodzie strony albo polecenie wpisane w obrazek. Wspólny mianownik jest taki, że człowiek tego nie widzi, a model czyta.

Dlaczego to wciąż nie jest rozwiązane

Problem nie został rozwiązany na poziomie fundamentalnym, bo modele nie mają czegoś, co w klasycznych systemach nazywa się granicą uprawnień między poleceniem systemowym, zapytaniem użytkownika a pobraną treścią. Stawka rośnie razem z autonomią: dopóki model tylko odpowiadał, udany atak dawał złą odpowiedź. Odkąd model klika, wysyła i płaci, ten sam atak uruchamia łańcuch realnych działań.

Co z tym robić w praktyce

Ochrony szuka się dziś nie w zapobieganiu, tylko w ograniczaniu tego, co wstrzyknięty agent jest w stanie zrobić: osobny profil przeglądarki bez zapisanych logowań, uprawnienia nadawane pod konkretne zadanie zamiast na stałe, potwierdzenie człowieka przy każdej akcji nieodwracalnej i logi, po których da się odtworzyć, co agent faktycznie zrobił. Zobacz też: agenci AI, LLM i prompt engineering.