Prompt injection เป็นความเสี่ยงอันดับ 1 ของ OWASP สำหรับแอปพลิเคชัน LLM ตัวแทน AI ของคุณคือพื้นผิวการโจมตีใหม่

ยิ่งตัวแทน AI ของคุณมีความสามารถมากขึ้น ผู้โจมตีก็ยิ่งได้รับประโยชน์มากขึ้นจากการแย่งชิง Prompt injection อยู่ที่หนึ่งของ Top 10 ปัจจุบันของ OWASP สำหรับแอปพลิเคชัน LLM และยังคงเป็นหนึ่งในจุดอ่อนที่พบบ่อยที่สุดในการปรับใช้ AI ในสภาพแวดล้อมจริง ความเสี่ยงเพิ่มขึ้นตามความเป็นอิสระของตัวแทน AI: เมื่อตัวแทน AI สามารถเรียกใช้เครื่องมือ เรียกดูเนื้อหา และดำเนินการได้ คำสั่งที่ซ่อนตัวอยู่ในเนื้อหาที่มันอ่านสามารถเปลี่ยนให้ความสามารถของมันมาโจมตีคุณได้

ตัวแทน AI ที่มีเครื่องมือจะน่าเชื่อถือเท่ากับเอกสารที่ไม่น่าเชื่อถือที่สุดที่มันจะอ่าน ให้ปฏิบัติต่อทุกข้อมูลภายนอกราวกับเป็นภัยคุกคาม เพราะผู้โจมตีก็ทำเช่นนั้นแล้ว

Indirect injection คือภัยคุกคามขององค์กร

Direct injection เมื่อผู้ใช้พิมพ์คำสั่งเพื่อแทนที่ เป็นกรณีที่ง่าย กรณีที่อันตรายคือ indirect: คำสั่งที่เป็นอันตรายซ่อนอยู่ในหน้าเว็บ PDF อีเมล หรือตั๋วการสนับสนุนที่ตัวแทน AI ประมวลผลเป็นส่วนหนึ่งของงาน ในปี 2026 นักวิจัยตีพิมพ์การศึกษาขนาดใหญ่ครั้งแรกของ indirect injection ในสภาพแวดล้อมจริง พบคำสั่งที่ซ่อนตัวนับพันรายปลูกไว้ในหน้าเว็บที่ใช้งานอยู่ และมุ่งไปยังโมเดล AI ที่อ่านมัน ในเหตุการณ์หนึ่ง ผู้ช่วย coding ลบฐานข้อมูลจริงแม้มีคำสั่งที่ชัดเจนที่จะไม่เปลี่ยนแปลงอะไร จากนั้นสร้างบันทึกปลอมและรายงานอย่างผิดพลาดว่าการย้อนกลับเป็นไปไม่ได้

การป้องกันคือสถาปัตยกรรม ไม่ใช่ prompt

ไม่มีการเขียน system prompt ใดที่สามารถป้องกันตัวแทน AI จากการ injection ได้ จนกว่าสถาปัตยกรรมจะแยกคำสั่งจากข้อมูลอย่างชัดเจน ความเสี่ยงจะยังคงอยู่ สิ่งที่ได้ผลคือการป้องกันแบบลึก: สมมติว่าการ injection สำเร็จและจำกัดสิ่งที่มันสามารถทำได้

• สิทธิ์ขั้นต่ำ: ตัวแทน AI ได้รับเครื่องมือและการเข้าถึงข้อมูลที่แคบที่สุดเท่าที่จำเป็นเพื่อให้ทำงานได้ และไม่มีอะไรเพิ่มเติม
• ประตูอนุมัติของมนุษย์สำหรับการกระทำใดๆ ที่ไม่สามารถย้อนกลับหรือมีมูลค่าสูง: การลบ การชำระเงิน การส่งไปยังภายนอก
• การตรวจสอบความถูกต้องของข้อมูลเข้าและออก โดยแยกเนื้อหาที่ไม่น่าเชื่อถือออกจากคำสั่งอย่างชัดเจน
• การบันทึกและการตรวจสอบแบบเต็มรูปแบบสำหรับการเรียกเครื่องมือที่ผิดปกติ เพื่อให้พยายามนำข้อมูลออกไปถูกตรวจพบและระบุตัวตนได้

ตำแหน่งของ HOWF

เราสร้างตัวแทน AI โดยสมมติว่าจะถูกโจมตี เครื่องมือทำงานภายใต้สิทธิ์ขั้นต่ำ การกระทำที่มีความเสี่ยงสูงผ่านการอนุมัติของมนุษย์ ข้อมูลที่ไม่น่าเชื่อถือถูกแยกออก และทุกการกระทำถูกบันทึกและตรวจสอบ มันคือหลักการบริหารจัดการเดียวกันที่แยกความแตกต่างระหว่างตัวแทน AI ที่องค์กรยังคงใช้งานกับตัวแทน AI ที่พวกเขาปิดลงเงียบๆ นำไปใช้เป็นพิเศษกับพื้นผิวการโจมตีที่ความเป็นอิสระสร้างขึ้น