Képzeld el, hogy egy AI-ügynök segít rendet rakni az e-mailjeidben, naptáradban, dokumentumaidban — majd egyetlen, elrejtett mondat miatt ugyanaz az ügynök elkezdi kiszivárogtatni az érzékeny adataidat. A prompt injection pontosan ezt a „szövegbe csomagolt csapdát” használja ki, és most már nem csak chatfelületeket, hanem automatizált AI-eszközöket is célba vesz.

Mi történt

A prompt injection támadás lényege, hogy a támadó rosszindulatú utasítást rejt el olyan tartalomban, amit a nyelvi modell feldolgoz. Ez lehet egy e-mail szövege, egy naptármeghívó leírása, vagy bármilyen dokumentumrészlet, amit az AI „elolvas”. Gondolj rá úgy, mint egy hamis ügyfélszolgálati megjegyzésre: kívülről ártatlan, de belül azt mondja a modellnek, hogy hagyja figyelmen kívül a szabályokat, és inkább a támadó parancsát kövesse.

A támadók célja tipikusan két dolog: (1) adatkinyerés (például érzékeny információk „kibeszéltetése” a modellből), vagy (2) káros műveletek elindítása (például üzenetküldés, fájlok mozgatása, jogosultságokkal való visszaélés). A Wired AI szerkesztőségi értelmezése szerint ez különösen azért fájdalmas, mert az AI-alapú „hacking agentek” és vállalati segédügynökök pont arra építenek, hogy sokféle forrásból olvasnak be szöveget, és abból döntéseket hoznak.

Miért fontos

A prompt injection azért veszélyes, mert nem feltétlenül „technikai” támadás a klasszikus értelemben: nem kell hozzá sérülékenységet találni egy programban, elég rávenni a modellt, hogy rossz szerepbe helyezze magát. Ha egy AI-ügynök hozzáfér a levelezésedhez, naptáradhoz vagy belső dokumentumokhoz, akkor a támadási felület hirtelen minden bejövő szöveg lesz. Olyan ez, mintha a céges beléptetőrendszer nem csak a kártyát nézné, hanem azt is, hogy ki mit suttog a portás fülébe — és a portás néha enged a meggyőző szövegnek.

Mire figyelj

  1. Az ügynökök „olvasási” körei: minél több csatornát (e-mail, naptár, chat, doksik) olvas automatikusan egy AI, annál több helyen lehet elrejteni rosszindulatú utasítást.
  2. A műveleti jogosultságok: különösen kockázatos, ha az AI nem csak összefoglal, hanem cselekszik is (küld, töröl, megoszt, átmozgat). A „tud olvasni” és a „tud tenni” együtt a legveszélyesebb.
  3. A láthatatlan utasítások problémája: érdemes figyelni, hogy az eszköz jelzi-e, pontosan milyen szöveget és milyen utasításként értelmezett, mielőtt érzékeny lépést tenne.
  4. A védekezés realitása: a prompt injection nem egyetlen javítással „kikapcsolható” kategória; inkább folyamatosan változó trükkök gyűjteménye, amihez a termékeknek és a használati szokásoknak is alkalmazkodniuk kell.

Ha az AI-ügynökök valóban a mindennapi munkafolyamatok részévé válnak, akkor a biztonság nem csak modellkérdés lesz, hanem UX-kérdés is: hogyan teszed egyértelművé, mit miért csinál az ügynök, és hol van az a pont, amikor inkább visszakérdez, mintsem „túl készségesen” engedelmeskedik egy idegen szövegnek.