3 miliarde de pagini. Cu 32% mai multe atacuri.
Ani la rând, prompt injection a fost un subiect de conferință. Cercetătorii demonstrau atacuri ingenioase în medii controlate. Echipele de securitate dădeau din cap, își notau și se întorceau la patch-urile pentru vulnerabilitățile reale.
Perioada aia s-a terminat.
Echipa Threat Intelligence de la Google tocmai a publicat primul studiu empiric la scară mare despre prompt injection în lumea reală. Au scanat lunar între 2 și 3 miliarde de pagini web indexate, căutând payload-uri de prompt injection indirect ascunse în site-uri. Ce au găsit: o creștere de 32% a încercărilor malițioase de prompt injection între noiembrie 2025 și februarie 2026.
Nu laboratoare de cercetare. Nu provocări CTF. Site-uri reale. Payload-uri reale. Care așteaptă să le citească agentul tău AI.
Cum arată de fapt atacurile
Prompt injection indirect funcționează prin instrucțiuni ascunse în conținutul pe care îl consumă agenții AI. Când un asistent AI navighează pe o pagină web, rezumă un document sau procesează un email, instrucțiunile ascunse sunt tratate drept comenzi.
Google a împărțit ce a găsit în câteva categorii: manipulare SEO, glume inofensive, încercări de a descuraja crawlerele AI și payload-uri cu adevărat malițioase. Cele malițioase sunt cele care contează.
Un payload documentat de Google conținea o tranzacție PayPal completă: un link PayPal.me, o sumă fixă de 5.000 de dolari și instrucțiuni pas cu pas pentru procesarea plății. Era gândit pentru agenți AI cu capabilități de plată integrate. Agenți de browser cu credențiale salvate. Asistenți financiari cu acces la portofel. Unelte agentice autorizate să facă tranzacții.
Atacul nu trebuie să spargă nimic. Agentul face exact ce a fost autorizat să facă. Doar că își primește instrucțiunile din sursa greșită. Logurile tranzacțiilor arată identic cu operațiunile legitime. Nicio autentificare anormală. Niciun brute force. Doar un agent care urmează instrucțiunile găsite pe o pagină web.
Un al doilea caz a folosit injecție în meta taguri combinată cu un cuvânt-cheie de persuasiune ca să redirecționeze acțiuni financiare spre un link de donație Stripe. Altă tehnică, același rezultat: agentul AI mută banii unde vrea atacatorul.
Nici Anthropic n-a scăpat
Dacă ți se pare că implementarea ta AI e prea mică să fie țintă, ia în calcul asta: chiar Claude.ai, de la Anthropic, a fost vulnerabil la un atac înlănțuit de prompt injection și exfiltrare de date.
Atacul, numit „Claudy Day" de cercetătorii de la Oasis Security, a înlănțuit trei vulnerabilități:
-
Prompt injection invizibil prin parametrii URL. Anumite taguri HTML puteau fi puse într-un URL Claude.ai, invizibile în caseta de text, dar procesate complet de model când utilizatorul apăsa Enter.
-
Exfiltrare de date prin Files API. Sandboxul Claude restricționează traficul de ieșire, dar permite conexiuni spre api.anthropic.com. Punând o cheie API controlată de atacator în promptul ascuns, cercetătorii i-au cerut lui Claude să caute în istoricul conversațiilor, să scrie datele sensibile într-un fișier și să-l urce în contul atacatorului.
-
Open redirect pe claude.com. Asta făcea ca URL-ul malițios să arate ca un link Anthropic legitim, perfect de distribuit prin Google Ads țintite pe utilizatorii Claude.
O sesiune Claude implicită, așa cum vine din cutie. Fără unelte personalizate, fără configurații exotice. Cel mai axat pe siguranță laborator AI din industrie, iar sistemul lor de producție era vulnerabil la un lanț de prompt injection.
Anthropic a reparat problema de injecție. Dar ideea rămâne: dacă sistemul de producție al Anthropic a avut golul ăsta, ce se întâmplă cu agenții tăi AI interni, pe care nu i-a auditat nimeni?
De ce se înrăutățește
Cercetătorii Google au făcut o observație importantă: nu au văzut atacuri deosebit de sofisticate. Payload-urile găsite erau relativ simple. Dar contează direcția curbei.
Două forțe se întâlnesc. Sistemele AI devin mai capabile, deci ținte mai valoroase. Un agent AI care poate naviga pe web, trimite emailuri, executa comenzi și procesa plăți e o țintă mult mai valoroasă decât unul care doar răspunde la întrebări. În același timp, atacatorii încep să-și automatizeze operațiunile cu AI agentic, ceea ce scade costul unui atac.
Ținte mai valoroase plus atacuri mai ieftine înseamnă escaladare rapidă. Creșterea de 32% s-a petrecut în doar patru luni. Google avertizează că vor crește și amploarea, și sofisticarea.
Iar suprafața de atac se lărgește. Unit 42 de la Palo Alto Networks a documentat constatări similare: agenții AI care consumă conținut web nesigur fără o graniță strictă între date și instrucțiuni transformă fiecare pagină citită într-un posibil vector de atac.
Ce înseamnă pentru conformitatea cu EU AI Act
Dacă organizația ta folosește sisteme AI în UE, asta nu e doar o problemă de securitate. E o problemă de conformitate.
Articolul 15 din EU AI Act cere ca sistemele AI cu risc ridicat să atingă un „nivel adecvat de acuratețe, robustețe și securitate cibernetică". Robustețea include explicit rezistența la „încercările unor terți neautorizați de a-i modifica utilizarea, rezultatele sau performanța prin exploatarea vulnerabilităților sistemului".
Prompt injection e exact asta: un terț neautorizat care exploatează o vulnerabilitate ca să modifice rezultatele și performanța sistemului. Dacă sistemul tău AI e cu risc ridicat conform Anexei III și e vulnerabil la prompt injection, ai un gol de conformitate.
Articolul 9 (managementul riscului) cere identificarea și analiza „riscurilor cunoscute și previzibile în mod rezonabil". După ce Google a publicat date care arată un salt de 32% al atacurilor de prompt injection pe miliarde de pagini web, prompt injection nu mai e doar un risc „previzibil în mod rezonabil". E o amenințare documentată, măsurată și în creștere. Dacă nu testezi pentru ea, sistemul tău de management al riscului e incomplet.
Ce faci concret
Nu există un glonț de argint pentru prompt injection. Oricine îți vinde unul minte. Dar există straturi de apărare care reduc semnificativ riscul.
Validarea inputului la graniță. Înainte ca agentul tău AI să proceseze orice conținut extern, îl scanezi după tipare de injecție. Nu prinde tot, dar prinde atacurile nesofisticate, care sunt majoritatea celor găsite de Google.
Separare strictă între date și instrucțiuni. Agentul tău AI trebuie să deosebească datele pe care le citește de instrucțiunile pe care trebuie să le urmeze. E o decizie de arhitectură, nu un filtru.
Privilegiu minim pentru agenții AI. Un asistent AI care rezumă pagini web nu are nevoie de credențiale de plată. Un agent care scrie ciorne de emailuri nu are nevoie de acces la sistemul de fișiere. Payload-ul PayPal funcționează doar dacă agentul are capabilități de plată.
Monitorizare și logare. Articolul 12 din EU AI Act cere logare automată pentru sistemele AI cu risc ridicat. Chiar dacă nu poți preveni fiecare injecție, le poți detecta. Loghează ce citesc agenții, ce instrucțiuni au executat și semnalează anomaliile.
Testare de securitate regulată. Fă pentest pe sistemele AI cum faci pe aplicațiile web. Atacă-le în red team cu payload-uri de prompt injection. Fă-o înaintea unui atacator și documentează rezultatele pentru dosarul de conformitate.
Ajutăm firmele să construiască aceste straturi. Nu ca produs, ci ca muncă de implementare: auditul a ce pot accesa agenții tăi AI, testarea lor pe tipare de injecție cunoscute și construirea infrastructurii de logare și monitorizare pe care o cer atât securitatea, cât și conformitatea cu EU AI Act.
Dacă folosești sisteme AI în UE și nu le-ai testat pentru prompt injection, chestionarul nostru de evaluare a riscului e un punct bun de pornire ca să înțelegi unde te afli.
Despre DeviDevs: construim platforme de ML și sisteme AI securizate și ajutăm firmele să se conformeze cu EU AI Act. devidevs.com