Prompt injection: atacul care nu are nevoie de niciun clic

Software-ul clasic ține instrucțiunile separate de date. Codul este cod, intrarea este intrare, iar un document nu poate da un ordin. Un model lingvistic nu are această graniță. Tot ce primește ajunge ca text, iar un text care arată ca o instrucțiune poate fi urmat ca atare.

Aceasta este prompt injection, iar OWASP o plasează pe primul loc în Top 10 pentru aplicații LLM, ediția 2025, ca LLM01.

Cazul care a făcut problema concretă

La 12 iunie 2025, The Hacker News a raportat o vulnerabilitate „zero-click” care permitea atacatorilor să „exfiltrate sensitive data from Microsoft 365 (M365) Copilot's context sans any user interaction”. A fost găsită de Aim Security, a primit identificatorul CVE-2025-32711 și scorul 9,3.

Lucrarea academică o descrie într-o singură propoziție: „EchoLeak (CVE-2025-32711), a zero-click prompt injection vulnerability in Microsoft 365 Copilot that enabled remote, unauthenticated data exfiltration via a single crafted email.”

„Zero-click” înseamnă exact ce spune. Victima nu a deschis un atașament și nu a aprobat nimic. Asistentul a citit mesajul ca parte din munca lui obișnuită, iar instrucțiunea ascunsă în el a fost executată asupra datelor la care asistentul avea deja acces.

Microsoft a remediat problema pe server, în actualizarea Patch Tuesday din iunie 2025, și a declarat că „There is no evidence that the shortcoming was exploited maliciously in the wild.” Reacția a fost rapidă, iar rezultatul a fost bun. Lecția nu este că produsul era slab, ci că suprafața de atac apare oriunde un asistent citește text în care nu poate avea încredere și poate ajunge la date de încredere.

Combinația periculoasă nu este un model inteligent. Este un model care citește ce trimit străinii și poate ajunge la ce ar trebui să vadă doar angajații.

De ce retrieval-ul crește miza

Retrieval-augmented generation există pentru a da modelului documentele companiei. Aceasta este funcția. Înseamnă însă și că fiecare document indexat este intrare pentru model, iar un document indexat poate fi scris de cineva din afara companiei: factura unui furnizor, un proiect de contract primit pe email, un CV.

Lista OWASP acoperă și consecințele, nu doar atacul: dezvăluirea informațiilor sensibile la LLM02, autoritatea excesivă la LLM06, scurgerea promptului de sistem la LLM07 și slăbiciunile vectorilor și ale embeddings la LLM08.

On-premise nu rezolvă asta

Trebuie spus direct, pentru că în piață se sugerează constant opusul. Inferența locală protejează limita datelor. Împiedică trimiterea unui document către un serviciu extern în funcționarea normală. Nu împiedică un document malițios să dirijeze modelul.

Un model local care poate citi folderul comun și poate trimite email are aceeași problemă structurală ca unul găzduit. Perimetrul s-a mutat; confuzia dintre instrucțiune și conținut nu.

Ce schimbă implementarea locală este calea de ieșire. O instrucțiune injectată tot are nevoie de un drum în afară, iar drumul folosit de EchoLeak a fost o cerere către exterior. Un sistem fără conectivitate outbound lasă acelei instrucțiuni mult mai puține locuri unde să trimită ceva.

Ce reduce efectiv riscul

• Menține conținutul recuperat separat structural de instrucțiuni și tratează orice document ca fiind nesigur
• Acordă modelului cele mai înguste permisiuni la tool-uri care încă permit realizarea sarcinii
• Aplică drepturile de acces ale utilizatorului la momentul retrieval-ului, nu după generare
• Validează rezultatele înainte ca alt sistem să acționeze pe baza lor
• Limitează unde se poate conecta sistemul, ca o injecție reușită să nu aibă unde trimite datele
• Testează adversarial, cu documente scrise special pentru a ataca propriul asistent

Regula de sub toate acestea: nu acorda unui sistem AI mai multă autoritate decât cere sarcina. Un model care citește documente este un risc. Un model care citește documente, trimite mesaje, interoghează sistemul financiar și execută cod este o cu totul altă categorie de problemă.