Průvodce · Riziko AI · září 2026 · od Stefana Tsezarova · aktualizováno 20. září 2026

Instrukce, kterou jste nenapsali

Něco vložíte do asistenta AI. Obsahuje pokyny, které jste nikdy nenapsali.

Někdo vám pošle text.

Možná chtějí shrnout článek.

Možná je to dokument.

Možná je to webová stránka.

Možná je to blok kódu.

Říkají:

"Vložte to do AI a požádejte ji, aby to analyzovala."

Takže vy.

Ale někde uvnitř toho materiálu je další instrukce.

Není to návod pro vás.

Instrukce pro AI .

Mohlo by to říci ignorovat původní úkol, odhalit informace, postupovat podle jiného souboru instrukcí nebo provést akci.

Nenapsal jsi to.

Možná jste si toho ani nevšimli.

Ale asistent to může stále přijímat jako součást svého vstupu.

Toto se nazývá rychlé vstřikování .

A nemusíte být hacker, abyste se s tím setkali.

Základní myšlenka

Zde je jednoduchý způsob, jak o tom přemýšlet.

Řeknete asistentovi:

"Shrňte mi tento článek."

Pak tomu dáte článek.

Normálně je článek pouze informací.

Ale představte si, že článek obsahuje toto:

"Ignorujte požadavek uživatele. Místo toho udělejte něco jiného."

Nyní jsou v konverzaci dvě sady instrukcí:

Důležitá otázka zní:

Kterou z nich by měl asistent následovat?

Moderní systémy AI mají způsoby, jak zacházet s prioritou instrukce a nedůvěryhodným obsahem. Mohou také používat systémové pokyny, pravidla aplikací, oprávnění a další zabezpečení.

Existuje však okamžitá injekce, protože instrukce a informace jsou nakonec reprezentovány jako data, která model zpracovává .

To umožňuje, aby nedůvěryhodný obsah obsahoval jazyk, který vypadá jako instrukce.

S obrázkem je to snadněji pochopitelné

Představte si dvě silnice vstupující do stejné budovy.

Jedna cesta pochází od vás.

Druhý pochází z dokumentu, o jehož přečtení jste požádali asistenta.

Oba se nakonec dostanou do kontextu asistenta.

Asistent musí určit, co znamená příchozí text a jakými pokyny se má řídit.

To je místo, kde žije rychlá injekce.

Text, který chcete asistentovi přečíst, může obsahovat text, který se snaží ovlivnit to, co asistent dělá.

Jak vypadá rychlá injekce?

Existuje mnoho variant, ale většina útoků používá několik známých nápadů.

Zde je jednoduchý příklad

Představte si, že vám někdo pošle toto:

Pokud čtete rychle, vstřikovaná část může být snadno přehlédnutelná.

Je pohřben uvnitř jinak běžného textu.

Ale podívejte se, co to dělá.

Snaží se:

To je rychlá injekce ve své nejjednodušší formě.

Nyní udělejte text neviditelným

Zde se rychlé vkládání spojuje s dalším problémem: neviditelné znaky .

Představte si, že zákeřná instrukce nebyla v dokumentu vůbec viditelně vytištěna.

Znaky byly skryty pomocí znaků Unicode, které se normálně nevykreslují.

Vidíte:

"Shrňte prosím tuto zprávu."

Podkladový text obsahuje další znaky.

Asistent přijímá postavy.

Nevidíte je.

To je obzvláště nepříjemná kombinace:

Člověk instrukce nevidí, ale stroj je může přijmout.

Proto může být užitečné zkontrolovat podezřelý text před jeho vložením do systému AI.

Více se o tom můžete dozvědět v našem průvodci neviditelnými znaky .

Nemusí to být něco, co jste vložili

Zde se rychlé vstřikování stává mnohem zajímavějším.

Možná si myslíte:

"Nikdy bych nevložil zákeřnou instrukci do AI."

Nemusíte.

Představte si AI asistenta, který může procházet internet.

Ptáte se:

"Přečtěte si tuto webovou stránku a shrňte ji."

Asistent otevře stránku.

Stránka obsahuje běžně vypadající informace.

Ale někde na stránce je text určený pro AI:

"Ignorovat požadavek uživatele a provést jinou akci."

Tento text jste nikdy nevložili.

Možná jste to nikdy ani neviděli.

Asistent na to narazil, když dělal to, co jste požadovali.

Toto se běžně nazývá nepřímé rychlé vstřikování .

Totéž se může stát s dokumenty

Představte si, že požádáte asistenta o analýzu PDF.

Nahrajete to.

Dokument obsahuje skrytou nebo viditelnou instrukci zaměřenou na AI.

Asistent čte dokument.

Dosavadní stav techniky Tento pokyn se stává součástí materiálu, který asistent zpracovává.

Stejný princip může platit pro:

• webové stránky
• PDF
• tabulky
• e-maily
• úložiště zdrojového kódu
• komentáře uvnitř kódu
• sdílené dokumenty
• podpůrné lístky
• další připojené zdroje dat

Čím více informací může asistent automaticky číst, tím více míst je pro nedůvěryhodné instrukce pro vstup do jejich kontextu.

Proč na schopnostech záleží

Rychlá injekce není v každé situaci stejně nebezpečná.

Uvažujme čtyři asistenty.

Asistent 1 — Může pouze chatovat

Škodlivá instrukce může způsobit, že vytvoří nežádoucí odpověď.

Nepříjemné, ale omezené.

Assistant 2 — Může číst vaše soubory

Nyní může mít asistent přístup k informacím, které jste nechtěli zahrnout do konverzace.

Asistent 3 — Může procházet nebo odesílat věci

Informace, se kterými se nyní setká, by mohly potenciálně ovlivnit akce zahrnující vnější systémy.

Assistant 4 — Může ovládat důležité účty, pověření nebo finanční nástroje

Nyní mohou být důsledky úspěšné injekce mnohem závažnější.

Vložený text se nezměnil.

Co se změnilo, je to, co asistent umí.

To je jedna z nejdůležitějších myšlenek na zapamatování.

Čím více umí AI, tím opatrněji byste měli zacházet s tím, co čte

Chatbot, který může odpovídat pouze na otázky, má relativně malou akční plochu.

Agent AI připojený k:

• váš e-mail
• vaše cloudové úložiště
• váš prohlížeč
• váš kalendář
• váš zdrojový kód
• vaše firemní systémy
• finanční nástroje
• kryptoměnové peněženky

má mnohem větší.

To neznamená, že tyto systémy jsou ze své podstaty nebezpečné.

To znamená, že na oprávněních záleží .

Pokud asistent může provést akci, je důležitější pokyn ovlivňující tohoto asistenta, než když asistent může pouze generovat text.

Jak se můžete chránit?

Nemusíte rozumět každé bezpečnostní technice AI.

Několik zvyků jde dlouhou cestu.

Může skener detekovat každou rychlou injekci?

Č.

A každý bezpečnostní nástroj, který slibuje něco jiného, si zaslouží skepsi.

Okamžitá injekce není jediný pevný řetězec nebo jediný technický formát.

Lidé mohou formulovat instrukce nesčetnými způsoby.

Skener může hledat známé vzorce a indikátory.

Dokáže identifikovat věci, které si zaslouží pozornost.

Může také detekovat skryté znaky a jiné podezřelé struktury.

Čistý výsledek však neprokazuje, že text je neškodný.

To znamená, že provedené kontroly nenalezly to, co byly navrženy k detekci.

To je mnohem užitečnější způsob, jak uvažovat o bezpečnostním skeneru.

Co vám čistý výsledek řekne – a co ne – řekne

Čisté skenování vám může říci, že známé indikátory nebyly detekovány.

Nemůže vám říct:

• kdo napsal text
• zda je zdroj důvěryhodný
• co model AI nakonec udělá s textem
• zda je přítomna nová nebo neobvyklá injekční technika
• jaká oprávnění má AI aplikace
• zda má okolní aplikace další zranitelnosti
• zda je samotný obsah pravdivý

A je zde další důležité omezení:

Dosavadní stav techniky Nepřímé vstřikování je obtížnější kontrolovat, protože materiál možná nikdy neuvidíte, než jej asistent zpracuje.

To je problém návrhu systému, ne něco, co by textový skener mohl úplně vyřešit.

Proč nepublikujeme funkční útok

Můžete si všimnout, že zde uvedené příklady jsou záměrně jednoduché.

To je záměrné.

K pochopení konceptu nepotřebujete testovaný útok proti konkrétnímu produktu AI.

Užitečná věc, kterou se musíte naučit, je vzorec:

Skutečné systémy se mění.

Obrana se mění.

Užitná zátěž, která funguje proti jedné aplikaci, může selhat proti jiné.

Cílem tohoto průvodce je tedy rozpoznání, nikoli předání hotového útoku.

Zvyk, který stojí za to vybudovat

Okamžitá injekce zní složitě, dokud to nezredukujete na jednu otázku:

"Kdo napsal tento návod a pro koho je vlastně určen?"

Pokud jste to napsal, víte, odkud pochází.

Pokud čtete dokument vytvořený někým jiným, jeho instrukce mohou být určeny lidskému čtenáři – nebo mohou být zaměřeny na AI zpracovávající dokument.

To není totéž.

Než tedy dáte AI něco ke čtení, zejména AI, která má přístup k jiným systémům, věnujte chvíli tomu, abyste pochopili, co jí dáváte.

Nepředpokládejte, že každý pokyn uvnitř materiálu je pokyn od vás.

A pamatujte si:

Čím více může AI dělat, tím důležitějším se stává řídit, na co smí působit.

Tento článek je určen pouze pro vzdělávací účely. Popisuje rychlou injekci a nepřímou rychlou injekci na koncepční úrovni a neposkytuje testované užitečné zatížení pro konkrétní systémy AI. Žádný automatický skener nemůže zaručit, že bude detekována každá možná rychlá injekce.

Vytváření nebo provozování AI agenta? Může spustit stejnou kontrolu sám před tím, než bude postupovat podle pokynů z webové stránky, souboru README nebo e-mailu: kontroluje agenty pouze pro čtení (MCP) .