Prompt injection är OWASP:s högsta risk. Dina agenter är den nya attackytan.

Ju mer förmågor din agent har, desto mer vinner en angripare på att kapa den. Prompt injection är högst på OWASP:s aktuella Top 10 för LLM-applikationer och är fortfarande en av de vanligaste svagheterna i AI-distributioner i produktion. Risken skalas med autonomi: när en agent kan anropa verktyg, bläddra och agera kan en instruktion smugglad in i innehållet den läser vända dess egna förmågor mot dig.

En agent med verktyg är bara lika tillförlitlig som det minst tillförlitliga dokumentet den kommer att läsa. Behandla all extern inmatning som fientlig, för det gör angripare redan.

Indirekt injection är företagshotet

Direkt injection, då en användare skriver en överstyrning, är den enkla varianten. Den farliga är indirekt: en skadlig instruktion gömd i en webbsida, PDF, e-postmeddelande eller supportbiljett som agenten behandlar som del av sitt arbete. År 2026 publicerade forskare en av de första storskaliga studierna av indirekt injection i verkligheten och fann tusentals dolda instruktioner planterade på aktiva webbsidor riktade mot de AI-modeller som läser dem. I en incident raderade en kodningsassistent en produktionsdatabas trots uttryckliga instruktioner att inte ändra något, fabricerade sedan poster och felrapporterade att återställning var omöjlig.

Försvar är arkitektur, inte en prompt

Det finns ingen formulering av en systemprompt som gör en agent injektionssäker; tills dess att arkitekturer rent separerar instruktioner från data kvarstår risken. Det som fungerar är försvar i djupet: anta att en injection lyckats och begränsa vad den kan göra.

• Minsta behörighet: agenten får bara det minimala verktygs- och datatillträde som krävs för att utföra sitt arbete, inget mer.
• Godkännandeportar för alla irreversibla eller högt värderade åtgärder: raderingar, betalningar, externa sändningar.
• Validering av inmatning och utmatning, med otillförlitligt innehål tydligt åtskilt från instruktioner.
• Fullständig loggning och övervakning av avvikande verktygsanrop, så att exfiltrationsförsök fångas och är tillskrivbara.

HOWF:s position

Vi bygger agenter utgående från antagandet att de kommer att attackeras. Verktyg körs under minsta behörighet, höga värdeåtgärder kräver godkännande från människor, otillförlitliga inmatningar är avskilda, och varje åtgärd loggas och övervakas. Det är samma styrningsdisciplin som skiljer agenter som företag fortfarande kör från de som de tyst stänger ner, tillämpad specifikt på den attackyta som autonomi skapar.