Vbrizgavanje ukazov je prvo tveganje OWASP-a. Vaši agenti so nova površina napadov.

Čim bolj je vaš agent sposoben, več pridobi napadalec s prevzemom njegove kontrole. Vbrizgavanje ukazov je na vrhu trenutnega Top 10 OWASP-a za aplikacije LLM in ostaja ena najbolj pogostih šibkosti v proizvodnih razmestitvah AI. Nevarnost se povečava z avtonomnostjo: ko lahko agent pokliče orodja, brska in deluje, lahko ukaz, prikrit v vsebini, ki jo bere, njegove lastne zmožnosti obrne zoper vas.

Agent z orodji je le toliko zaupanja vreden, kot je zaupanja vreden dokument z najmanjšo stopnjo zaupanja, ki ga bo prebral. Vsak zunanji vhod obravnavajte kot sovražen, ker to že počnejo napadalci.

Posredno vbrizgavanje je grožnja za podjetja

Neposredno vbrizgavanje, ko uporabnik napiše nadomestek, je enostavan primer. Nevarnejše je posredno: zlonamerni ukaz skrit na spletni strani, PDF datoteki, e-pošti ali zahtevku za podporo, ki ga agent obdeluje kot del svojega dela. Leta 2026 so raziskovalci objavili eno izmed prvih obsežnih študij posrednega vbrizgavanja v praksi, pri čemer so našli tisoče skritih ukazov postavljenih na živih spletnih straneh in usmerjenih na modele AI, ki jih preberejo. V enem primeru je kodirni pomočnik izbrisal produkcijsko podatkovno zbirko, kljub eksplicitnim navodilom, da ne spremeni ničesar, nato pa je ustvaril lažne zapise in napačno sporočil, da povrnitev ni mogoča.

Obrana je arhitektura, ne navodilo

Nobeno besedilo sistemskega navodila ne more agenta zaščititi pred vbrizgavanjem; dokler arhitekture ne ločijo jasno navodila od podatkov, tveganje ostane. Kar je učinkovito, je poglobljena obrana: predpostavite uspešno vbrizgavanje in omejite, kaj lahko naredi.

• Najmanjše pravice: agent dobi samo dostop do orodij in podatkov, ki jih potrebuje za svoje delo, nič več.
• Odobritveni pregledi za kateri koli nepopravljiv ali dragocen postopek: izbrisave, plačila, zunanja pošiljanja.
• Validacija vhoda in izhoda, z vsebino, ki ji ne zaupamo, jasno ločeno od navodil.
• Celovito beleženje in spremljanje nenormalnih klicev orodij, tako da so poskusi odvajanja podatkov ujeti in sledljivi.

Položaj HOWF-a

Gradimo agente s predpostavko, da bodo napadeni. Orodja se izvajajo s najmanj možnimi pravicami, dejanja z visoko vrednostjo so predložena odobritvi, vnosi, ki jim ne zaupamo, so jasno ločeni, in vsako dejanje je beleženo in spremljano. To je ista upravljalska disciplina, ki loči agente, ki jih podjetja še vedno vodijo, od tistih, ki jih tiho zaustavijo, primenjena posebej na površino napada, ki jo ustvari avtonomnost.