Prompt injection: ataki na AI, exploity i aktualności

Czym jest prompt injection

Prompt injection to atak, w którym spreparowany tekst sprawia, że model AI ignoruje swoje instrukcje, wykonuje cudze polecenia lub ujawnia dane. Źródłem problemu jest to, że model dostaje polecenia użytkownika i cudzą treść jako jeden strumień tekstu i nie odróżnia ich niezawodnie. OWASP (stan na 10 października 2026) opisuje to jako sytuację, w której dane wejściowe zmieniają zachowanie modelu w niezamierzony sposób, i dzieli ataki na bezpośrednie, gdy model modyfikuje sam użytkownik, oraz pośrednie, gdy ukryte polecenie przychodzi z zewnętrznej strony lub pliku.

Dopóki model tylko odpowiadał na pytania, skutki były ograniczone. Agent ma jednak narzędzia: czyta pocztę, pisze pliki i uruchamia polecenia. Noma Labs porównuje prompt injection w systemach agentowych do tego, czym SQL injection było dla aplikacji webowych. Pewnej obrony nie ma. OWASP przyznaje, że nie wiadomo, czy istnieją niezawodne metody zapobiegania, a OpenAI przyznało w grudniu, że problem może nigdy nie zostać w pełni rozwiązany.

Jak działa prompt injection i gdzie atakujący ukrywa polecenia

Atak działa przez treść, którą agent czyta w dobrej wierze, więc ukrywa się w miejscach, których człowiek nie ogląda.

Badacz Håkon Måløy zbudował robaka, który chowa polecenia w dokumencie Worda jako biały tekst o mikroskopijnej czcionce. Czytelnik go nie widzi, ale Microsoft Copilot przetwarza, bo usuwa kolor i rozmiar czcionki. Wykonuje ukryte polecenia i kopiuje je do nowego pliku, który staje się nośnikiem. Microsoft potwierdził zachowanie 31 marca, dwie próby naprawy zawiodły, a po 144 dniach badacz opublikował wyniki bez poprawki, wstrzymując treść ładunku.

Filtry wejścia można też ominąć szyfrowaniem. Adversa AI pokazała technikę, w której zaszyfrowane instrukcje omijają zabezpieczenia: filtry czytają tekst, a szyfrogram AES-256-GCM nie zawiera nic do wykrycia. Model odszyfrowuje go we własnym sandboxie i traktuje wynik jako zaufany. W Grok ścieżka była zero-click i wyciekały dane sesji oraz historia rozmów. Gemini 3 Flash wygenerował zakazane instrukcje i ujawnił własny prompt systemowy. Adversa zgłosiła problem xAI 3 czerwca i nie dostała dalszej odpowiedzi, a znalezisko dotyczące Gemini nie zostało zgłoszone, bo program nagród Google wyklucza prompt injection. Więcej o tej klasie obejść w temacie jailbreaki AI.

Technika działa także przeciw ludziom i narzędziom obrońców. SentinelOne opisało macOS-owego backdoora Gaslight, powiązanego z grupą z Korei Północnej, który zawiera 38 sfałszowanych komunikatów systemowych, mających nakłonić analizujące go narzędzia oparte na LLM do przerwania sesji lub błędnej interpretacji.

Czy prompt injection może wykraść dane z kont i firm

Tak: w 2026 roku badacze pokazali kradzież poczty, plików, kodu i poświadczeń przez asystentów AI, często jednym kliknięciem.

• SearchLeak. Varonis opisał trzyetapowy łańcuch, który zamieniał Microsoft 365 Copilot w narzędzie eksfiltracji. Ofiara dostawała link do zaufanej domeny microsoft.com ze spreparowanym parametrem, który Copilot czytał jak polecenie, po czym przeszukiwał skrzynkę, kalendarz, SharePoint i OneDrive. Microsoft przypisał CVE-2026-42824 z oceną krytyczną i załatał lukę.
• RovoBlast. W asystencie Atlassian Rovo jedno kliknięcie w spreparowany link powodowało, że asystent traktował zewnętrzne parametry jako zaufane i mógł wysłać dane z wewnętrznych systemów do sieci publicznej.
• GitLost. Noma Labs wykazała, że zgłoszenie w publicznym repozytorium zmuszało agenta GitHub Agentic Workflows do opublikowania zawartości prywatnego repozytorium tej samej organizacji. Przyczyną było niedostateczne oddzielenie instrukcji systemowych od niezaufanych danych.
• ChatGPT. Check Point opisał lukę w sandboxie ChatGPT, która pozwalała przenieść dane z podłączonego Gmaila na konto atakującego. Domyślne ustawienie łączników automatycznie zatwierdza odczyty uznane za niskiego ryzyka. OpenAI wycofało podatną instancję, więc po stronie użytkownika poprawka nie była potrzebna, a CVE nie przypisano. Z ChatGPT wiąże się też AgentForger: jeden spreparowany link tworzył agenta z uprawnieniami ofiary do Outlooka, Gmaila, Slacka i Teams. Zenity zgłosiło go 4 czerwca, OpenAI naprawiło 8 czerwca.
• AgentCorruption. Zenity wykazało, że w Amazon Bedrock AgentCore jeden prompt wystarczał do przejęcia wszystkich agentów w koncie i regionie AWS, bo agent dawał się nakłonić do pobrania poświadczeń z usługi metadanych. Amazon uczynił IMDSv2 domyślnym i zawęził uprawnienia roli wykonawczej.

Dlaczego agenci kodujący są najbardziej narażeni

Agent kodujący czyta cudze repozytoria i może uruchamiać polecenia z uprawnieniami programisty, więc jedno zatrute zdanie kończy się wykonaniem kodu. Reverse shell bez złośliwego kodu. Zespół 0din z Mozilli pokazał, że Claude Code można nakłonić do otwarcia reverse shella przez repozytorium bez złośliwego kodu. Instrukcja trafiała do agenta w trakcie działania z rekordu DNS TXT, a każdy krok z osobna wyglądał normalnie, więc skanery nic nie wykrywały. Claude Code po prostu starał się pomóc.

Friendly Fire. Instytut AI Now pokazał, że polecenia wstrzyknięte do dokumentacji mogą uruchomić złośliwy plik w Claude Code i OpenAI Codex w trybie autonomicznym. Podatne były wszystkie cztery testowane modele, w tym Sonnet 5, Opus 4.8 i GPT-5.5. Według Salt Security to czwarty taki atak w dwa miesiące, po GitLost, Agentjacking i TrustFall, i cecha działania agentów, a nie błąd do załatania.

GhostApproval. Wiz wykazał, że sześć narzędzi pokazuje w oknie zatwierdzenia niewłaściwy plik przez dowiązanie symboliczne: Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity i Windsurf. Amazon Q załatał to w wersji 1.69.0, Cursor w 3.0, Antigravity w 1.19.6. Augment i Windsurf nie miały poprawek, a Anthropic uznał scenariusz za wykraczający poza swój model zagrożeń. Technikę użyto już w kampanii robaka Miasma, przypisywanej grupie TeamPCP.

Obrazy, sandboxy i raporty błędów. Ghostcommit ukrywa polecenie w pliku PNG, którego recenzenci AI nie otwierają: w badaniu 6480 pull requestów 73% scalonych trafiło do głównej gałęzi bez merytorycznej recenzji. Pillar Security wyszło poza sandboxy Cursora, Codex CLI, Gemini CLI i Antigravity, a PhantomFix (CVE-2026-90999) pokazał, że sfabrykowany raport o błędzie nakłania agenta Sentry Seer do uruchomienia kodu atakującego. Całość jest ujęta w temacie bezpieczeństwo agentów kodujących.

Czym są ataki zero-click na agenty w przeglądarkach

To ataki, w których agent sam czyta zatrutą treść i wykonuje ukryte polecenie bez żadnego kliknięcia ofiary. Na Black Hat USA 2026 Zenity Labs pokazało klasę ataków PleaseFix wymierzoną w agenty w przeglądarkach, czyli w Claude w Chrome, Gemini w Chrome, Perplexity Comet, ChatGPT Atlas i Copilot Edge. Polecenia ukrywają się w e-mailach, zaproszeniach z kalendarza i na stronach. Technika Intent Collision polega na tym, że ukryte instrukcje kolidują z uzasadnionym żądaniem użytkownika.

Badacze pokazali m.in. przejęcie kont Slack, X i Claude, kradzież danych z menedżerów haseł i wysyłanie phishingu przez WhatsApp ofiary, a w jednym teście skłonili asystenta Amazona do fałszywego zakupu kartą ofiary. Zenity twierdzi, że agentowe przeglądarki łamią zasadę samego pochodzenia, i nazywa to wadą projektu. LayerX w ataku BioShocking przekonał sześć przeglądarek AI do ujawnienia danych, podsuwając im fałszywe reguły gry. Szerzej w temacie przeglądarki AI.

Czym jest zatruwanie pamięci agentów AI

Zatruwanie pamięci to wstrzyknięcie fałszywej informacji do pamięci agenta, która działa dopiero później, gdy agent ją odczyta i jej zaufa. Badacze z University of Calgary przeanalizowali 2614 symulowanych ataków wieloetapowych i wyróżnili cztery typy: zatruwanie łańcucha, przepisywanie polityk, wyzwalanie backdoorów i powolny dryf. Dwa ostatnie umykały ocenom sprawdzającym tylko pojedyncze kroki.

New Mexico State University pokazało atak GhostWriter na pamięć agentów: wstrzyknięcie do pamięci udawało się w około 98% prób, a fałszywe wspomnienia aktywowały się w około 60% przypadków. Proponowana obrona AM-Sentry łączy kontrolę pamięci z rygorystyczną polityką jej zarządzania i mocno obniżyła skuteczność ataku. Osobne badanie z arXiv wykazało, że pojedynczy e-mail może zasiać fałszywe wspomnienie i w ponad połowie przypadków agent zapisał polecenia atakującego bez ostrzeżenia.

Jak bronić się przed prompt injection

Nie ma jednej skutecznej obrony, ale da się ograniczyć skutki: OWASP wymienia ograniczenie roli modelu, walidację formatu odpowiedzi, filtrowanie wejścia i wyjścia, zasadę minimalnych uprawnień, ludzką zgodę na ryzykowne działania, oddzielanie treści zewnętrznych i regularne testy adwersarialne.

Same zatwierdzenia nie wystarczą, jeśli okno kłamie. Badacz Wiz ujął to tak, że model z człowiekiem w pętli działa tylko wtedy, gdy pętla dostarcza dokładnych informacji. Producenci próbują wzmacniać modele. Anthropic podaje wyniki testów odporności, że Claude Opus 5 w Auto Mode, który skanuje ukryte instrukcje i blokuje groźne akcje, miał 0% skuteczności ataków w 129 scenariuszach przeglądarkowych, a bez Auto Mode 3,7% (Sonnet 5: 0,93%). To wyniki z własnych testów producenta.

Pojawia się też obrona zaczepna. Tracebit opracowało technikę context bombing przeciw agentom atakującym: obrońcy umieszczają obok fałszywych sekretów treści, które uruchamiają zabezpieczenia atakującego agenta. W 152 próbach w symulowanym AWS skuteczność przejęcia konta administratora spadła z 57% do 5%, a Opus 4.8, który wcześniej zdobywał dostęp admina w 93% przypadków, nie zdołał tego zrobić ani razu. Dla Ghostcommit badacze zbudowali obrońcę pull requestów, który przepuścił jeden z 80 ataków i nie dał fałszywych alarmów w 30 prawdziwych PR-ach.

Co to oznacza dla Ciebie

• Traktuj każdy plik, stronę, e-mail i repozytorium, które czyta agent, jako potencjalne polecenia, a nie tylko dane.
• Dawaj agentom minimalne uprawnienia i osobne konta; nie loguj agentów przeglądarkowych do służbowej poczty i narzędzi.
• Uruchamiaj agentów kodujących w kontenerze, a po otwarciu podejrzanego repozytorium rotuj poświadczenia (zalecenie Wiz).
• Przeglądaj ustawienia łączników: domyślne automatyczne zatwierdzanie odczytów w ChatGPT otwiera drogę do cichej eksfiltracji.
• Aktualizuj narzędzia, ale nie zakładaj, że łatka rozwiązuje klasę problemu. Zenity i Salt Security opisują to jako cechę działania agentów.

Otwarte pozostaje, czy wyniki Anthropic dla Opus 5 potwierdzą niezależne testy, czy Microsoft naprawi robaka w Copilocie w Wordzie, kiedy Augment i Windsurf wydadzą poprawki dla GhostApproval i czy testy pamięci oparte na całych trajektoriach staną się standardem.