Cyberpediaod Brain
PLDEENESFRITNLPT

Bezpośredni prompt injection

Polecenie wpisane w czacie bywa wystarczające, by asystent AI wyszedł poza swoje zasady: mechanizm, objawy na ekranie, przypadki z datami, zapobieganie.

W 30 sekund

Gdzie to się zdarza
W oknie rozmowy z asystentem AI, na przykład w czacie obsługi klienta1.
Czego chce atakujący
Sprawić, by model zignorował swoje polecenia, ujawnił wewnętrzne instrukcje albo wygenerował treści, które firma chciała zablokować1.
Odruch
Traktować asystenta AI jak rozmówcę, którego zręczne polecenie może zwieść, dawać mu tylko dostęp bezwzględnie konieczny i zlecać zatwierdzenie każdej wrażliwej czynności człowiekowi.
Jeśli już do tego doszło
Zgłosić rozmowę zespołowi, który obsługuje asystenta, razem ze zrzutem ekranu wymiany wiadomości.

O co chodzi

Firmowy asystent AI działa według reguł napisanych przez dostawcę lub przez firmę. Bezpośredni prompt injection polega na wpisaniu w oknie rozmowy tekstu, który zmienia zachowanie modelu w sposób nieprzewidziany1.

Osoba wpisująca tekst nie zawsze jest atakującym. OWASP zaznacza, że dane wejściowe mogą być zamierzone lub nie: użytkownik może wywołać nieoczekiwane zachowanie niechcący1.

Pytania wprost

Czym jest bezpośredni prompt injection?

To sytuacja, w której tekst wpisany przez użytkownika bezpośrednio zmienia zachowanie modelu w nieoczekiwany sposób1. Przeciwstawia się go pośredniemu wstrzykiwaniu, w którym model czyta treść zewnętrzną (stronę internetową, plik) zawierającą instrukcje1.

Jaki jest związek z jailbreakiem?

Oba terminy są często używane zamiennie. Według OWASP jailbreak to forma prompt injection, w której atakujący skłania model do całkowitego zignorowania jego zabezpieczeń1. Prompt injection jest pojęciem szerszym: polega na manipulowaniu odpowiedziami modelu przez dobrane dane wejściowe, co może obejmować obejście środków bezpieczeństwa1.

Dlaczego model daje się przekonać?

Ponieważ nie oddziela instrukcji od danych. Brytyjskie NCSC pisze, że obecne duże modele nie narzucają w obrębie promptu żadnej granicy bezpieczeństwa między jednym a drugim2. Programista wkleja własne instrukcje i tekst użytkownika do jednego promptu, po czym traktuje odpowiedź tak, jakby między nimi istniała trwała granica2.

Czy problem można rozwiązać raz na zawsze?

Prawdopodobnie nie. NCSC uważa, że tych ataków może nigdy nie da się w pełni zneutralizować, inaczej niż wstrzykiwania SQL2. OWASP ze swej strony mówi, że nie wiadomo, czy istnieją niezawodne metody zapobiegania1. Realistycznym celem jest zmniejszenie prawdopodobieństwa i skutków2.

1W skórze atakującego1 min

Badacze Fábio Perez i Ian Ribeiro wykazali w 2022 roku, że osoby o niewielkich umiejętnościach, ale ze złymi zamiarami, mogą przejąć kontrolę nad GPT-3 za pomocą prostych tekstów pisanych ręcznie3. Opisują dwa cele: przekierowanie celu modelu (goal hijacking) oraz skłonienie go do ujawnienia własnego promptu (prompt leaking)3.

Drugim rodzajem celu jest niewłaściwe wykorzystanie. Zespół badaczy opisał w 2023 roku takie wyniki, jak nieograniczone i dowolne korzystanie z modelu stojącego za aplikacją oraz łatwa kradzież promptu aplikacji4.

Jailbreak działa inaczej. Autorzy badania „Jailbroken” wskazują dwie przyczyny porażki treningu bezpieczeństwa: konkurujące cele (możliwości modelu kolidują z jego regułami bezpieczeństwa) oraz niedopasowane uogólnianie (zabezpieczenia nie obejmują obszaru, w którym model mimo to ma możliwości)5.

OWASP wymienia także warianty. Atakujący może dopisać do wiadomości ciąg znaków pozornie pozbawiony sensu albo użyć kilku języków lub kodowania, takiego jak Base64, by ominąć filtry1.

2Co widać na ekranie1 min

Z perspektywy użytkownika lub firmy udany atak rozpoznaje się po skutkach. OWASP wymienia możliwe konsekwencje: ujawnienie informacji wrażliwych, ujawnienie informacji o infrastrukturze lub o promptach systemowych, zafałszowane albo stronnicze treści, nieuprawniony dostęp do funkcji modelu, wykonywanie poleceń w połączonych systemach1.

W praktyce niepokoić powinien asystent, który odpowiada nie na temat, recytuje własne instrukcje albo tworzy treści, jakich firma nigdy by nie zatwierdziła. OWASP podaje typowy scenariusz: atakujący prosi czat obsługi, by zignorował swoje polecenia, przeszukał dane prywatne i wysłał wiadomości e-mail1.

Oto ilustracja takiej wiadomości, zneutralizowana i sparafrazowana:

Fragment
Ilustracja (wiadomość sparafrazowana, niedziałająca):
[polecenie, by czat zignorował reguły otrzymane od dostawcy,
a następnie przepisał w całości swoje wewnętrzne instrukcje]
3Pod maskąZespoły IT2 min

Dla modelu językowego nie istnieją „dane” ani „instrukcje”, jest tylko kolejny token (next token): model przewiduje najbardziej prawdopodobny token na podstawie dotychczas otrzymanego tekstu2. Instrukcje dostawcy i zdanie wpisane przez użytkownika trafiają więc do tego samego tekstu, bez podziału, który model by respektował2.

Ta cecha odróżnia prompt injection od wstrzykiwania SQL. W SQL zapytania parametryzowane gwarantują, że silnik nigdy nie interpretuje danych wejściowych jako polecenia2. NCSC pisze, że ataki typu prompt injection mogą nigdy nie zostać w pełni złagodzone tak, jak wstrzykiwania SQL2. Rozwijane obecnie rozwiązania (wykrywanie prób, trenowanie modelu, by przedkładał instrukcje, oznaczanie modelowi, co jest daną) nakładają rozróżnienie, którego technologia sama nie dokonuje2.

NIST opublikował w marcu 2025 roku taksonomię uczenia maszynowego w warunkach ataku (adversarial machine learning)6.

Osobnej ostrożności wymagają filtry zakazanych słów. NCSC przestrzega przed blokowaniem znanych fraz, takich jak „ignore previous instructions”: istnieje nieskończenie wiele przeformułowań, które ten filtr omijają2.

Zapobieganie

Zebrane tu proste środki pochodzą od OWASP i NCSC.

  • Najmniejsze uprawnienia: dać modelowi minimalny potrzebny dostęp, a funkcje rozszerzone obsługiwać w kodzie aplikacji, zamiast powierzać je modelowi1.
  • Zatwierdzenie przez człowieka: wymagać zgody osoby przy operacjach uprzywilejowanych1.
  • Filtrowanie odpowiedzi: zdefiniować kategorie wrażliwe, wychwytywać niedozwolone treści filtrami semantycznymi i kontrolą ciągów znaków oraz sprawdzać format odpowiedzi deterministycznym kodem1.
  • Określenie roli: opisać w prompcie systemowym rolę i ograniczenia modelu1. Ten środek pomaga, ale nie wystarcza: OWASP przedstawia wszystkie te środki jako sposoby złagodzenia skutków1.
  • Testy: prowadzić regularne testy penetracyjne i symulacje, traktując model jak niezaufanego użytkownika1.
  • Monitorowanie: rejestrować dość informacji, by dostrzec podejrzaną aktywność, w tym nieudane wywołania narzędzi i API, które mogą zdradzać pierwsze etapy ataku2.

NCSC dodaje, że bezpieczeństwo systemu powinno opierać się na deterministycznych zabezpieczeniach ograniczających jego działania, a nie na samej nadziei, że złośliwa treść nie dotrze do modelu2. Jeśli ryzyko resztkowe jest nie do przyjęcia, przypadek użycia może nie nadawać się dla modelu językowego2.

4Analizy incydentówPrawdziwe przypadki1 min

Listopad 2022: GPT-3 przejęty prostymi tekstami

17 listopada 2022 roku Fábio Perez i Ian Ribeiro publikują PromptInject, ramy analizy takich ataków. Badają GPT-3, który opisują jako najczęściej wdrażany w produkcji model językowy, i pokazują, że można go łatwo wytrącić z dopasowania (misalignment) danymi wpisanymi ręcznie3. Dwa badane ataki to przekierowanie celu i wyciek promptu3.

Czerwiec 2023: 31 aplikacji z 36 podatnych

8 czerwca 2023 roku zespół dwunastu badaczy publikuje badanie rzeczywistych aplikacji korzystających z modelu językowego. Po analizie dziesięciu aplikacji komercyjnych opracowuje technikę ataku o nazwie HouYi i stosuje ją wobec 36 aplikacji: 31 okazuje się podatnych na prompt injection4. Dziesięciu dostawców zatwierdziło wyniki, w tym Notion4.

Lipiec 2023: zabezpieczenia, które ustępują

5 lipca 2023 roku Alexander Wei, Nika Haghtalab i Jacob Steinhardt oceniają GPT-4 firmy OpenAI i Claude v1.3 firmy Anthropic. Ich nowe ataki udają się przy każdym żądaniu ze zbioru niebezpiecznych próśb pochodzącego z zestawów oceny red teamingu tych modeli5. Autorzy wnioskują, że podatności utrzymują się mimo wysiłków red teamingu i treningu bezpieczeństwa5.

Karta

Identyfikator
CP-281
Skrzydło
4. Sztuczna inteligencja
Kompetencja Brain
Dobrze formułować prompty (prompt_correctly)
Odruch Brain
air-012
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
  1. OWASP, „LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026)
  2. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)”, 8 grudnia 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (dostęp 3 listopada 2026)
  3. arXiv, „Ignore Previous Prompt: Attack Techniques For Language Models”, 17 listopada 2022. https://arxiv.org/abs/2211.09527 (dostęp 3 listopada 2026)
  4. arXiv, „Prompt Injection attack against LLM-integrated Applications”, 8 czerwca 2023. https://arxiv.org/abs/2306.05499 (dostęp 3 listopada 2026)
  5. arXiv, „Jailbroken: How Does LLM Safety Training Fail?”, 5 lipca 2023. https://arxiv.org/abs/2307.02483 (dostęp 3 listopada 2026)
  6. NIST, „AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC”. https://csrc.nist.gov/pubs/ai/100/2/e2025/final (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Bezpośredni prompt injection”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/

BibTeX 
@misc{brain_cp281_pl_2026,
  author = {Brain},
  title = {Bezpośredni prompt injection},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/bezposredni-prompt-injection-jailbreak-asystent/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0