Nu mai e un articol de cercetare
Timp de doi ani, prompt injection a fost un subiect de conferință. Cercetătorii îl demonstrau pe scenă, publicul dădea din cap, iar apoi toată lumea se întorcea la pus în producție agenți AI fără nicio validare a inputului.
Etapa aia s-a încheiat.
În aprilie 2026, echipa Threat Intelligence de la Google a publicat rezultatele scanării a 2-3 miliarde de pagini web indexate pe lună, în căutarea unor payload-uri de prompt injection indirect. A găsit o creștere de 32% a activității malițioase de prompt injection între noiembrie 2025 și februarie 2026. Nu demonstrații de concept. Nu provocări CTF. Payload-uri reale, pe site-uri reale, care țintesc agenți AI reali.
În aceeași săptămână, Forcepoint X-Labs și-a publicat propriile constatări: 10 payload-uri de prompt injection indirect verificate pe site-uri live, de la fraudă financiară și distrugere de date la furt de chei API și denial-of-service pe AI. Un payload conținea instrucțiuni complete pentru o tranzacție PayPal, cu o sumă de 5.000 de dolari și ghidaj pas cu pas pentru agenții AI cu acces la plăți. Altul încerca să forțeze asistenții de programare să execute rm -rf / prin accesul la shell.
Dacă agenții tăi AI navighează pe web, procesează emailuri sau preiau orice conținut extern, lucrează deja pe teritoriu ostil.
Cum arată de fapt atacurile
Mecanica e simplă, și tocmai de aceea funcționează.
Atacatorii ascund instrucțiuni în pagini web obișnuite. Textul e invizibil pentru oameni. Înalt de un pixel. Colorat la fel ca fundalul. Marcat cu display: none. Dar agenții AI care citesc pagina văd fiecare cuvânt.
Google a documentat câteva categorii din scanarea pe miliarde de pagini:
Fraudă financiară. Un link PayPal.me cu o sumă fixă și instrucțiuni explicite pentru agent să finalizeze tranzacția. Țintește agenții de browser cu credențiale de plată salvate sau uneltele agentice legate de portofele digitale. Decrypt a scris despre payload-ul concret: includea instrucțiuni pas cu pas gândite pentru agenții care pot procesa plăți.
Exfiltrare de date. Lanțul de atac Claudy Day a demonstrat-o chiar pe Claude.ai, produsul Anthropic. Trei vulnerabilități înlănțuite: prompt injection invizibil prin parametrii URL, exfiltrare de date prin Files API de la Anthropic și un open redirect pe claude.com. Un atacator putea rula o reclamă Google cu un URL claude.com aparent legitim, care căuta pe ascuns în istoricul conversațiilor victimei și îl urca în contul atacatorului. Dacă poate fi vulnerabil cel mai axat pe siguranță laborator AI, nici implementarea ta internă nu e imună.
Distrugerea infrastructurii. Forcepoint a găsit un payload care le cerea asistenților AI de programare să execute ștergerea forțată, recursivă a fișierelor și directoarelor. O singură vizită pe pagină, făcută de un agent cu acces la shell, putea șterge un mediu de dezvoltare.
Deturnarea atribuirii. Cu impact mai mic, dar grăitor: instrucțiuni ascunse care le cer agenților AI să atribuie conținutul paginii unui anumit consultant și să-i recomande utilizatorului să-l contacteze. SEO transformat în armă prin prompt injection.
De ce se înrăutățește, nu se îmbunătățește
Cercetătorii Google au notat ceva important: sofisticarea atacurilor actuale e încă relativ scăzută. Cele mai multe payload-uri folosesc tehnici simple de ascundere în HTML. Concluzia lor a fost că tendința ascendentă arată că amenințarea se maturizează și va crește atât ca amploare, cât și ca complexitate.
Se potrivește cu economia. Agenții AI devin mai capabili și ținte mai valoroase. În același timp, atacatorii își automatizează propriile operațiuni cu AI agentic, ceea ce scade costul atacurilor. Unit 42 de la Palo Alto a confirmat tiparul din propria cercetare: prompt injection indirect prin web, țintit pe agenți AI, nu mai e o speculație.
Suprafața de atac se lărgește pentru că firmele le tot dau agenților AI mai multe permisiuni. Procesare de plăți. Trimitere de emailuri. Execuție de cod. Acces la baze de date. Fiecare capabilitate nouă e un nou drum de exploatare, pe care îl poate declanșa o instrucțiune ascunsă pe o pagină web oarecare.
Ce faci săptămâna asta
Dacă folosești agenți AI care procesează conținut extern, iată pași concreți:
1. Auditează imediat permisiunile agenților. Listează fiecare unealtă, API și sistem la care au acces agenții tăi AI. Aplică privilegiul minim fără milă. Un agent care rezumă pagini web nu are nevoie de acces la PayPal. Un agent care scrie ciorne de emailuri nu are nevoie de acces la shell. Nici asta nu e opțional, conform cerințelor de management al riscului din Art. 9 al EU AI Act.
2. Curăță tot conținutul extern înainte de model. Elimină elementele HTML ascunse, textul invizibil și meta tagurile suspecte înainte să dai conținutul modelelor. Cercetarea Google arată că atacatorii folosesc trucuri CSS obișnuite. O curățare HTML de bază prinde cele mai multe payload-uri actuale.
from bs4 import BeautifulSoup
def sanitize_for_llm(html_content: str) -> str:
soup = BeautifulSoup(html_content, "html.parser")
# Remove hidden elements
for tag in soup.find_all(style=True):
style = tag.get("style", "").lower()
if any(s in style for s in [
"display:none", "display: none",
"visibility:hidden", "visibility: hidden",
"font-size:0", "font-size: 0",
"opacity:0", "opacity: 0",
]):
tag.decompose()
# Remove 1px elements
for tag in soup.find_all(attrs={"height": "1", "width": "1"}):
tag.decompose()
return soup.get_text(separator="\n", strip=True)3. Monitorizează acțiunile agenților, nu doar ce scriu. Loghează fiecare apel de unealtă, fiecare cerere API, fiecare interacțiune externă a agenților. Când un agent încearcă brusc o tranzacție PayPal pentru care n-a fost gândit niciodată, trebuie să o prinzi în timp real. Art. 12 din EU AI Act cere oricum această infrastructură de logare pentru sistemele cu risc ridicat.
4. Testează pentru prompt injection înainte de producție. Rulează teste cu input adversarial pe agenții tăi, cu tiparele de payload cunoscute din cercetările Google și Forcepoint. Dacă agentul tău urmează instrucțiunile ascunse pe o pagină de test, le va urma și pe una reală.
Cum abordează DeviDevs problema
Construim infrastructura de testare de securitate și de monitorizare care prinde aceste atacuri înainte să facă pagube. Testare de prompt injection pe arhitectura concretă a agentului tău. Documentație de management al riscului conform Art. 9, care tratează injecția indirectă ca vector de amenințare. Sisteme de logare conform Art. 12, care înregistrează fiecare acțiune a agentului pentru analiza de după incident.
Firmele care cheltuie peste 100.000 de dolari pe platforme de securitate pentru agenți AI tot au nevoie de cineva care să le testeze efectiv agenții pe payload-uri reale și să documenteze rezultatele pentru conformitate. Asta facem noi.
Nu știi cât de pregătite sunt sistemele tale AI pentru EU AI Act? Fă evaluarea de risc în 2 minute ca să afli.
Webul e acum o amenințare activă pentru AI-ul tău
Google a scanat miliarde de pagini și a găsit atacurile. Forcepoint a catalogat 10 tipuri de payload active. Chiar produsul Anthropic a fost lovit de un exploit înlănțuit. Dovezile nu lasă loc de interpretare.
Orice agent AI care citește conținut extern fără curățare și fără monitorizare e o țintă. Întrebarea nu e dacă prompt injection îți va afecta sistemele. Întrebarea e dacă vei detecta atacul când se întâmplă.
Despre DeviDevs: construim platforme de ML și sisteme AI securizate și ajutăm firmele să se conformeze cu EU AI Act. devidevs.com