--- id: CP-281 slug: bezposredni-prompt-injection-jailbreak-asystent lang: pl title: Bezpośredni prompt injection description: "Polecenie wpisane w czacie bywa wystarczające, by asystent AI wyszedł poza swoje zasady: mechanizm, objawy na ekranie, przypadki z datami, zapobieganie." canonical_url: https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Bezpośredni prompt injection”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/ fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ nl: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ pt: https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Bezpośredni prompt injection Firmowy asystent AI działa według reguł napisanych przez dostawcę lub przez firmę. Bezpośredni prompt injection polega na wpisaniu w oknie rozmowy tekstu, który zmienia zachowanie modelu w sposób nieprzewidziany [1]. Osoba wpisująca tekst nie zawsze jest atakującym. OWASP zaznacza, że dane wejściowe mogą być zamierzone lub nie: użytkownik może wywołać nieoczekiwane zachowanie niechcący [1]. ## W 30 sekund - Gdzie to się zdarza: w oknie rozmowy z asystentem AI, na przykład w czacie obsługi klienta [1]. - Czego chce atakujący: sprawić, by model zignorował swoje polecenia, ujawnił wewnętrzne instrukcje albo wygenerował treści, które firma chciała zablokować [1]. - Odruch: traktować asystenta AI jak rozmówcę, którego zręczne polecenie może zwieść, dawać mu tylko dostęp bezwzględnie konieczny i zlecać zatwierdzenie każdej wrażliwej czynności człowiekowi. - Jeśli już do tego doszło: zgłosić rozmowę zespołowi, który obsługuje asystenta, razem ze zrzutem ekranu wymiany wiadomości. ## Pytania wprost ### Czym jest bezpośredni prompt injection? To sytuacja, w której tekst wpisany przez użytkownika bezpośrednio zmienia zachowanie modelu w nieoczekiwany sposób [1]. Przeciwstawia się go pośredniemu wstrzykiwaniu, w którym model czyta treść zewnętrzną (stronę internetową, plik) zawierającą instrukcje [1]. ### Jaki jest związek z jailbreakiem? Oba terminy są często używane zamiennie. Według OWASP jailbreak to forma prompt injection, w której atakujący skłania model do całkowitego zignorowania jego zabezpieczeń [1]. Prompt injection jest pojęciem szerszym: polega na manipulowaniu odpowiedziami modelu przez dobrane dane wejściowe, co może obejmować obejście środków bezpieczeństwa [1]. ### Dlaczego model daje się przekonać? Ponieważ nie oddziela instrukcji od danych. Brytyjskie NCSC pisze, że obecne duże modele nie narzucają w obrębie promptu żadnej granicy bezpieczeństwa między jednym a drugim [2]. Programista wkleja własne instrukcje i tekst użytkownika do jednego promptu, po czym traktuje odpowiedź tak, jakby między nimi istniała trwała granica [2]. ### Czy problem można rozwiązać raz na zawsze? Prawdopodobnie nie. NCSC uważa, że tych ataków może nigdy nie da się w pełni zneutralizować, inaczej niż wstrzykiwania SQL [2]. OWASP ze swej strony mówi, że nie wiadomo, czy istnieją niezawodne metody zapobiegania [1]. Realistycznym celem jest zmniejszenie prawdopodobieństwa i skutków [2]. ## W skórze atakującego Badacze Fábio Perez i Ian Ribeiro wykazali w 2022 roku, że osoby o niewielkich umiejętnościach, ale ze złymi zamiarami, mogą przejąć kontrolę nad GPT-3 za pomocą prostych tekstów pisanych ręcznie [3]. Opisują dwa cele: przekierowanie celu modelu (goal hijacking) oraz skłonienie go do ujawnienia własnego promptu (prompt leaking) [3]. Drugim rodzajem celu jest niewłaściwe wykorzystanie. Zespół badaczy opisał w 2023 roku takie wyniki, jak nieograniczone i dowolne korzystanie z modelu stojącego za aplikacją oraz łatwa kradzież promptu aplikacji [4]. Jailbreak działa inaczej. Autorzy badania „Jailbroken” wskazują dwie przyczyny porażki treningu bezpieczeństwa: konkurujące cele (możliwości modelu kolidują z jego regułami bezpieczeństwa) oraz niedopasowane uogólnianie (zabezpieczenia nie obejmują obszaru, w którym model mimo to ma możliwości) [5]. OWASP wymienia także warianty. Atakujący może dopisać do wiadomości ciąg znaków pozornie pozbawiony sensu albo użyć kilku języków lub kodowania, takiego jak Base64, by ominąć filtry [1]. ## Co widać na ekranie Z perspektywy użytkownika lub firmy udany atak rozpoznaje się po skutkach. OWASP wymienia możliwe konsekwencje: ujawnienie informacji wrażliwych, ujawnienie informacji o infrastrukturze lub o promptach systemowych, zafałszowane albo stronnicze treści, nieuprawniony dostęp do funkcji modelu, wykonywanie poleceń w połączonych systemach [1]. W praktyce niepokoić powinien asystent, który odpowiada nie na temat, recytuje własne instrukcje albo tworzy treści, jakich firma nigdy by nie zatwierdziła. OWASP podaje typowy scenariusz: atakujący prosi czat obsługi, by zignorował swoje polecenia, przeszukał dane prywatne i wysłał wiadomości e-mail [1]. Oto ilustracja takiej wiadomości, zneutralizowana i sparafrazowana: ```text Ilustracja (wiadomość sparafrazowana, niedziałająca): [polecenie, by czat zignorował reguły otrzymane od dostawcy, a następnie przepisał w całości swoje wewnętrzne instrukcje] ``` ## Pod maską Dla modelu językowego nie istnieją „dane” ani „instrukcje”, jest tylko kolejny token (next token): model przewiduje najbardziej prawdopodobny token na podstawie dotychczas otrzymanego tekstu [2]. Instrukcje dostawcy i zdanie wpisane przez użytkownika trafiają więc do tego samego tekstu, bez podziału, który model by respektował [2]. Ta cecha odróżnia prompt injection od wstrzykiwania SQL. W SQL zapytania parametryzowane gwarantują, że silnik nigdy nie interpretuje danych wejściowych jako polecenia [2]. NCSC pisze, że ataki typu prompt injection mogą nigdy nie zostać w pełni złagodzone tak, jak wstrzykiwania SQL [2]. Rozwijane obecnie rozwiązania (wykrywanie prób, trenowanie modelu, by przedkładał instrukcje, oznaczanie modelowi, co jest daną) nakładają rozróżnienie, którego technologia sama nie dokonuje [2]. NIST opublikował w marcu 2025 roku taksonomię uczenia maszynowego w warunkach ataku (adversarial machine learning) [6]. Osobnej ostrożności wymagają filtry zakazanych słów. NCSC przestrzega przed blokowaniem znanych fraz, takich jak „ignore previous instructions”: istnieje nieskończenie wiele przeformułowań, które ten filtr omijają [2]. ### Zapobieganie Zebrane tu proste środki pochodzą od OWASP i NCSC. - Najmniejsze uprawnienia: dać modelowi minimalny potrzebny dostęp, a funkcje rozszerzone obsługiwać w kodzie aplikacji, zamiast powierzać je modelowi [1]. - Zatwierdzenie przez człowieka: wymagać zgody osoby przy operacjach uprzywilejowanych [1]. - Filtrowanie odpowiedzi: zdefiniować kategorie wrażliwe, wychwytywać niedozwolone treści filtrami semantycznymi i kontrolą ciągów znaków oraz sprawdzać format odpowiedzi deterministycznym kodem [1]. - Określenie roli: opisać w prompcie systemowym rolę i ograniczenia modelu [1]. Ten środek pomaga, ale nie wystarcza: OWASP przedstawia wszystkie te środki jako sposoby złagodzenia skutków [1]. - Testy: prowadzić regularne testy penetracyjne i symulacje, traktując model jak niezaufanego użytkownika [1]. - Monitorowanie: rejestrować dość informacji, by dostrzec podejrzaną aktywność, w tym nieudane wywołania narzędzi i API, które mogą zdradzać pierwsze etapy ataku [2]. NCSC dodaje, że bezpieczeństwo systemu powinno opierać się na deterministycznych zabezpieczeniach ograniczających jego działania, a nie na samej nadziei, że złośliwa treść nie dotrze do modelu [2]. Jeśli ryzyko resztkowe jest nie do przyjęcia, przypadek użycia może nie nadawać się dla modelu językowego [2]. ## Analizy incydentów ### Listopad 2022: GPT-3 przejęty prostymi tekstami 17 listopada 2022 roku Fábio Perez i Ian Ribeiro publikują PromptInject, ramy analizy takich ataków. Badają GPT-3, który opisują jako najczęściej wdrażany w produkcji model językowy, i pokazują, że można go łatwo wytrącić z dopasowania (misalignment) danymi wpisanymi ręcznie [3]. Dwa badane ataki to przekierowanie celu i wyciek promptu [3]. ### Czerwiec 2023: 31 aplikacji z 36 podatnych 8 czerwca 2023 roku zespół dwunastu badaczy publikuje badanie rzeczywistych aplikacji korzystających z modelu językowego. Po analizie dziesięciu aplikacji komercyjnych opracowuje technikę ataku o nazwie HouYi i stosuje ją wobec 36 aplikacji: 31 okazuje się podatnych na prompt injection [4]. Dziesięciu dostawców zatwierdziło wyniki, w tym Notion [4]. ### Lipiec 2023: zabezpieczenia, które ustępują 5 lipca 2023 roku Alexander Wei, Nika Haghtalab i Jacob Steinhardt oceniają GPT-4 firmy OpenAI i Claude v1.3 firmy Anthropic. Ich nowe ataki udają się przy każdym żądaniu ze zbioru niebezpiecznych próśb pochodzącego z zestawów oceny red teamingu tych modeli [5]. Autorzy wnioskują, że podatności utrzymują się mimo wysiłków red teamingu i treningu bezpieczeństwa [5]. ## Źródła 1. OWASP, „LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026) 2. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)”, 8 grudnia 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (dostęp 3 listopada 2026) 3. arXiv, „Ignore Previous Prompt: Attack Techniques For Language Models”, 17 listopada 2022. https://arxiv.org/abs/2211.09527 (dostęp 3 listopada 2026) 4. arXiv, „Prompt Injection attack against LLM-integrated Applications”, 8 czerwca 2023. https://arxiv.org/abs/2306.05499 (dostęp 3 listopada 2026) 5. arXiv, „Jailbroken: How Does LLM Safety Training Fail?”, 5 lipca 2023. https://arxiv.org/abs/2307.02483 (dostęp 3 listopada 2026) 6. NIST, „AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC”. https://csrc.nist.gov/pubs/ai/100/2/e2025/final (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.