Przewodnik · Ryzyko AI · wrzesień 2026 · Stefan Tsezarov · aktualizacja 20 września 2026

Instrukcja, której nie napisałeś

Wklejasz coś do asystenta AI. Zawiera instrukcje, których nigdy nie napisałeś.

Ktoś wysyła Ci fragment tekstu.

Być może chcą podsumowania artykułu.

Może jest to dokument.

Może jest to strona internetowa.

Być może jest to blok kodu.

Mówią:

„Wklej to do AI i poproś o analizę.”

Więc tak.

Ale gdzieś w tym materiale znajduje się inna instrukcja.

To nie jest instrukcja dla ciebie.

Instrukcja dla AI .

Może to oznaczać zignorowanie pierwotnego zadania, ujawnienie informacji, wykonanie innego zestawu instrukcji lub wykonanie działania.

Nie napisałeś tego.

Być może nawet tego nie zauważyłeś.

Asystent może jednak nadal odbierać je jako część swoich danych wejściowych.

Nazywa się to natychmiastowym wtryskiem .

I nie musisz być hakerem, aby się z tym spotkać.

Podstawowa idea

Oto prosty sposób myślenia o tym.

Mówisz asystentowi:

„Podsumuj dla mnie ten artykuł”.

Następnie dajesz mu artykuł.

Zazwyczaj artykuł jest jedynie informacją.

Ale wyobraźcie sobie, że artykuł zawiera to:

„Zignoruj żądanie użytkownika. Zamiast tego zrób coś innego.”

Obecnie w rozmowie znajdują się dwa zestawy instrukcji:

Ważnym pytaniem staje się:

Za którym asystentem powinien podążać?

Nowoczesne systemy AI mają sposoby radzenia sobie z priorytetem instrukcji i niezaufaną treścią. Mogą także korzystać z instrukcji systemowych, reguł aplikacji, uprawnień i innych zabezpieczeń.

Jednakże istnieje natychmiastowe wstrzykiwanie, ponieważ instrukcje i informacje są ostatecznie reprezentowane jako dane przetwarzane przez model .

Dzięki temu niezaufana treść może zawierać język przypominający instrukcję.

Łatwiej to zrozumieć na podstawie obrazu

Wyobraźmy sobie dwie drogi prowadzące do tego samego budynku.

Jedna droga pochodzi od ciebie.

Drugi pochodzi z dokumentu, o przeczytanie którego poprosiłeś asystenta.

Obydwa ostatecznie docierają do kontekstu asystenta.

Asystent musi określić, co oznacza przychodzący tekst i jakich instrukcji powinien przestrzegać.

Tutaj właśnie sprawdza się szybki zastrzyk.

Tekst, o przeczytanie którego prosisz asystenta, może zawierać tekst, który próbuje wpłynąć na to, co robi asystent.

Jak wygląda szybki zastrzyk?

Istnieje wiele odmian, ale większość ataków wykorzystuje kilka znanych pomysłów.

Oto prosty przykład

Wyobraź sobie, że ktoś wysyła Ci to:

Jeśli czytasz szybko, wstrzyknięty fragment można łatwo przeoczyć.

Jest ukryty w zwykłym tekście.

Ale spójrz, co robi.

Próbuje:

Jest to natychmiastowy zastrzyk w najprostszej formie.

Teraz uczyń tekst niewidocznym

W tym miejscu szybkie wstrzyknięcie łączy się z innym problemem: niewidoczne znaki .

Wyobraź sobie, że złośliwa instrukcja w ogóle nie została wydrukowana w dokumencie.

Znaki zostały ukryte przy użyciu znaków Unicode, które nie są normalnie renderowane.

Widzisz:

„Proszę podsumować ten raport.”

Tekst bazowy zawiera dodatkowe znaki.

Asystent odbiera znaki.

Nie widzisz ich.

To szczególnie niewygodna kombinacja:

Człowiek nie widzi instrukcji, ale maszyna może ją otrzymać.

Dlatego przydatne może być sprawdzenie podejrzanego tekstu przed umieszczeniem go w systemie AI.

Możesz dowiedzieć się więcej na ten temat w naszym przewodniku po niewidzialnych znakach niewidoczne znaki .

Nie musi to być coś, co wkleiłeś

W tym miejscu szybkie wstrzyknięcie staje się znacznie bardziej interesujące.

Można by pomyśleć:

„Nigdy nie wkleiłbym złośliwej instrukcji do sztucznej inteligencji”.

Nie musisz.

Wyobraź sobie asystenta AI, który może przeglądać Internet.

Pytasz:

„Przeczytaj tę witrynę internetową i podsumuj ją”.

Asystent otwiera stronę.

Strona zawiera zwyczajnie wyglądające informacje.

Ale gdzieś na stronie znajduje się tekst przeznaczony dla AI:

„Zignoruj żądanie użytkownika i wykonaj inną akcję.”

Nigdy nie wkleiłeś tego tekstu.

Być może nawet nigdy tego nie widziałeś.

Asystent napotkał to, robiąc to, o co prosiłeś.

Nazywa się to powszechnie pośrednim wtryskiem natychmiastowym .

To samo może się zdarzyć z dokumentami

Wyobraź sobie, że prosisz asystenta o analizę pliku PDF.

Przesyłasz to.

Dokument zawiera ukrytą lub widoczną instrukcję skierowaną do AI.

Asystent czyta dokument.

Ta instrukcja staje się częścią materiału przetwarzanego przez asystenta.

Ta sama zasada może mieć zastosowanie do:

• strony internetowe
• Pliki PDF
• arkusze kalkulacyjne
• e-maile
• Repozytoria kodu źródłowego
• komentarze wewnątrz kodu
• udostępnione dokumenty
• bilety pomocy technicznej
• inne podłączone źródła danych

Im więcej informacji asystent może automatycznie odczytać, tym więcej miejsc, w których niezaufane instrukcje mogą wejść w ich kontekst.

Dlaczego możliwości mają znaczenie

Natychmiastowy zastrzyk nie jest jednakowo niebezpieczny w każdej sytuacji.

Rozważmy czterech asystentów.

Asystent 1 — Może tylko rozmawiać

Złośliwa instrukcja może spowodować wygenerowanie niechcianej odpowiedzi.

Irytujące, ale ograniczone.

Asystent 2 — Może czytać Twoje pliki

Teraz asystent może mieć dostęp do informacji, których nie miałeś zamiar uwzględnić w rozmowie.

Asystent 3 — Może przeglądać lub wysyłać rzeczy

Teraz napotkane informacje mogą potencjalnie wpływać na działania obejmujące systemy zewnętrzne.

Asystent 4 — Może kontrolować ważne konta, dane uwierzytelniające lub narzędzia finansowe

Obecnie konsekwencje udanego zastrzyku mogą być znacznie poważniejsze.

Wstrzyknięty tekst nie uległ zmianie.

Zmieniło się to, co potrafi asystent.

To jeden z najważniejszych pomysłów, o którym należy pamiętać.

Im więcej sztuczna inteligencja może zrobić, tym ostrożniej należy traktować to, co czyta

Chatbot, który może jedynie odpowiadać na pytania, ma stosunkowo małą powierzchnię działania.

Agent AI podłączony do:

• Twój e-mail
• Twoje miejsce w chmurze
• swoją przeglądarkę
• swój kalendarz
• swój kod źródłowy
• systemy Twojej firmy
• narzędzia finansowe
• Portfele kryptowalut

ma znacznie większy.

Nie oznacza to, że systemy te są z natury niebezpieczne.

Oznacza to, że uprawnienia mają znaczenie .

Jeżeli asystent może podjąć działanie, instrukcja wpływająca na asystenta ma większe znaczenie, niż gdyby asystent mógł jedynie generować tekst.

Jak możesz się chronić?

Nie musisz rozumieć każdej techniki bezpieczeństwa AI.

Kilka nawyków ma duże znaczenie.

Czy skaner może wykryć każdy szybki zastrzyk?

Nie.

Każde narzędzie bezpieczeństwa, które obiecuje coś innego, zasługuje na sceptycyzm.

Natychmiastowe wstrzyknięcie nie jest pojedynczym stałym ciągiem znaków ani pojedynczym formatem technicznym.

Ludzie mogą formułować instrukcje na niezliczone sposoby.

Skaner może wyszukiwać znane wzorce i wskaźniki.

Potrafi zidentyfikować rzeczy, które zasługują na uwagę.

Może także wykrywać ukryte znaki i inne podejrzane struktury.

Jednak czysty wynik nie dowodzi, że tekst jest nieszkodliwy.

Oznacza to, że przeprowadzone kontrole nie wykazały tego, co miały wykryć.

Jest to o wiele bardziej użyteczny sposób myślenia o skanerze bezpieczeństwa.

Co czysty wynik mówi – a czego nie – mówi

Czysty skan może stwierdzić, że nie wykryto znanych wskaźników.

Nie może Ci powiedzieć:

• kto napisał tekst
• czy źródło jest godne zaufania
• co model AI ostatecznie zrobi z tekstem
• czy dostępna jest nowa lub nietypowa technika wstrzykiwania
• jakie uprawnienia ma aplikacja AI
• czy otaczająca aplikacja ma inne luki w zabezpieczeniach
• czy sama treść jest zgodna z prawdą

Istnieje jeszcze jedno ważne ograniczenie:

Wstrzyknięcia pośrednie są trudniejsze do sprawdzenia, ponieważ możesz nigdy nie zobaczyć materiału, zanim asystent go nie przetworzy.

Jest to problem związany z projektowaniem systemu, a nie coś, co skaner tekstu może całkowicie rozwiązać.

Dlaczego nie publikujemy działającego ataku

Można zauważyć, że przykłady tutaj są celowo proste.

Jest to zamierzone.

Aby zrozumieć tę koncepcję, nie jest potrzebny przetestowany atak na konkretny produkt AI.

Przydatną rzeczą do nauczenia się jest wzór:

Rzeczywiste systemy się zmieniają.

Zmieniają się mechanizmy obronne.

Ładunek, który działa w przypadku jednej aplikacji, może zawieść w przypadku innej.

Zatem celem tego przewodnika jest rozpoznanie, a nie przeprowadzenie gotowego ataku.

Nawyk, który warto budować

Szybkie wstrzyknięcie wydaje się skomplikowane, dopóki nie sprowadzi się go do jednego pytania:

„Kto napisał tę instrukcję i dla kogo właściwie jest ona przeznaczona?”

Jeśli to napisałeś, wiesz, skąd to pochodzi.

Jeśli czytasz dokument utworzony przez kogoś innego, zawarte w nim instrukcje mogą być przeznaczone dla ludzkiego czytelnika lub mogą być skierowane do sztucznej inteligencji przetwarzającej dokument.

To nie jest to samo.

Zatem zanim dasz AI coś do przeczytania, zwłaszcza AI, która może uzyskać dostęp do innych systemów, poświęć chwilę na zrozumienie, co to dajesz.

Nie zakładaj, że każda instrukcja zawarta w materiale jest instrukcją od Ciebie.

I pamiętaj:

Im więcej sztuczna inteligencja może zrobić, tym ważniejsze staje się kontrolowanie tego, na co może działać.

Artykuł ten służy wyłącznie celom edukacyjnym. Opisuje natychmiastowe wstrzykiwanie i pośrednie wstrzykiwanie natychmiastowe na poziomie koncepcyjnym i nie zapewnia przetestowanych ładunków ataku dla konkretnych systemów sztucznej inteligencji. Żaden automatyczny skaner nie gwarantuje wykrycia każdego możliwego szybkiego wstrzyknięcia.

Budowanie lub uruchamianie agenta AI? Może sam przeprowadzić tę samą kontrolę, zanim wykona instrukcje ze strony internetowej, pliku README lub wiadomości e-mail: sprawdza tylko do odczytu agentów (MCP) .