Το prompt injection AI γίνεται η τελευταία κρυφή απειλή

Οι επιτιθέμενοι εκμεταλλεύονται όλο και περισσότερο το generative AI ενσωματώνοντας κακόβουλες προτροπές σε μακροεντολές και αποκαλύπτοντας κρυφά δεδομένα μέσω prompt injection. Η αλλαγή στις τακτικές των χάκερ — όπως σημειώθηκε σε πρόσφατη μελέτη για την Κατάσταση της Ασφάλειας Αρχείων από την OPSWAT — απαιτεί από τις επιχειρήσεις να επεκτείνουν τον ίδιο τύπο προστασίας που ήδη εφαρμόζουν στις γραμμές παραγωγής λογισμικού και στα περιβάλλοντα AI, σύμφωνα με ειδικούς στην ασφάλεια AI που ερωτήθηκαν από το CSO.

Δείτε επίσης: Οι χάκερ GhostRedirector παραβιάζουν Windows Servers με κακόβουλο IIS Module

Ο Dane Sherrets, αρχιτέκτονας καινοτομιών στην πλατφόρμα bug bounty HackerOne, δήλωσε ότι η ενσωμάτωση κακόβουλων προτροπών σε μακροεντολές είναι ένα πρωταρχικό παράδειγμα του πώς οι δυνατότητες του generative AI μπορούν να στραφούν εναντίον των ίδιων των συστημάτων.

Μεμονωμένα παραδείγματα εκμεταλλεύσεων και κακόβουλου λογισμικού που καταχρώνται το generative AI άρχισαν να εμφανίζονται μόλις φέτος. Για παράδειγμα, οι ερευνητές της Aim Security ανακάλυψαν πρόσφατα το EchoLeak (CVE-2025-32711), μια ευπάθεια zero-click που ανακαλύφθηκε στο Microsoft 365 Copilot και περιγράφηκε ως η πρώτη τέτοια επίθεση σε έναν πράκτορα AI. Σε απάντηση στην ευπάθεια, η Microsoft πρότεινε την εφαρμογή επιδιορθώσεων, τον περιορισμό της πρόσβασης στο Copilot, την απογύμνωση κρυφών μεταδεδομένων από κοινόχρηστα αρχεία και την ενεργοποίηση των ενσωματωμένων ελέγχων ασφαλείας AI.

Μια άλλη παρόμοια επίθεση, το CurXecute (CVE-2025-54135), επέτρεψε την απομακρυσμένη εκτέλεση κώδικα μέσω prompt injection σε περιβάλλοντα ανάπτυξης λογισμικού. «Οι επιτιθέμενοι θα συνεχίσουν να βρίσκουν νέους τρόπους να ενσωματώνουν τα prompt injection τους σε μέρη που δεν είναι ορατά για τον χρήστη αλλά επεξεργάζονται από το LLM παρ’ όλα αυτά», δήλωσε ο Itay Ravia, επικεφαλής έρευνας στην Aim Labs.

Το κακόβουλο λογισμικό «Skynet», που ανακαλύφθηκε τον Ιούνιο του 2025, περιλάμβανε μια προσπάθεια prompt injection εναντίον εργαλείων ασφάλειας με βάση το AI. Η τεχνική σχεδιάστηκε για να χειραγωγήσει τα συστήματα ανάλυσης κακόβουλου λογισμικού AI ώστε να δηλώσουν ψευδώς ότι δεν ανιχνεύθηκε κακόβουλο λογισμικό σε ένα δείγμα μέσω μιας μορφής «Jedi mind trick». Οι ερευνητές στην Check Point θεωρούν ότι το κακόβουλο λογισμικό ήταν πιθανότατα ένα πείραμα απόδειξης της έννοιας από προγραμματιστές κακόβουλου λογισμικού.

Δείτε ακόμα: GeoServer: Κρίσιμη ευπάθεια επιτρέπει απομακρυσμένη εκτέλεση κώδικα

Ο Ensar Seker, CISO στην εταιρεία πληροφοριών απειλών SOCRadar, περιέγραψε την κατάχρηση συστημάτων generative AI μέσω prompt injection ως μια εξέλιξη στις τακτικές παράδοσης κακόβουλου λογισμικού. «Δεν πρόκειται μόνο για την απόθεση ενός φορτίου πλέον· πρόκειται για τη δημιουργία δυναμικών οδηγιών που μπορούν να χειραγωγήσουν τη συμπεριφορά κατά την εκτέλεση, και στη συνέχεια να κρύψουν ή να κωδικοποιήσουν αυτές τις οδηγίες ώστε να αποφύγουν τα παραδοσιακά εργαλεία σάρωσης», δήλωσε.

Η άμυνα ενάντια σε αυτούς τους τύπους επιθέσεων περιλαμβάνει έναν συνδυασμό τεχνικών διαδικασιών άμυνας και ελέγχων πολιτικής, όπως:

• Εκτέλεση βαθιάς επιθεώρησης οποιουδήποτε αρχείου που εισέρχεται σε ένα επιχειρηματικό περιβάλλον, ειδικά από μη αξιόπιστες πηγές.
• Εφαρμογή πολιτικών που απομονώνουν την εκτέλεση μακροεντολών — για παράδειγμα, το sandboxing εφαρμογών ή την προστατευμένη προβολή της Microsoft.
• Αξιολόγηση εργαλείων απολύμανσης και ανασυγκρότησης περιεχομένου (CDR).
• Απολύμανση οποιαδήποτε είσοδου (προτροπές) σε συστήματα generative AI.
• Εφαρμογή πρωτόκολλων για την επικύρωση των εξόδων AI.

Δείτε επίσης: Ευπάθειες διορθώθηκαν στον επεξεργαστή κώδικα AI Cursor

Ο Seker της SOCRadar υποστήριξε ότι οι επιχειρήσεις θα πρέπει να αντιμετωπίζουν τις γραμμές παραγωγής AI με τον ίδιο τρόπο που χειρίζονται τις γραμμές παραγωγής CI/CD επεκτείνοντας τις αρχές zero-trust στις ροές εργασίας ανάλυσης δεδομένων και AI. Στην πράξη, αυτό σημαίνει την εισαγωγή προστατευτικών κιγκλιδωμάτων, την επιβολή επαλήθευσης εξόδων και τη χρήση συμφραζόμενων φίλτρων για να μπλοκάρουν μη εξουσιοδοτημένες οδηγίες από το να εκτελούνται ή να ενεργούν από συστήματα βασισμένα σε LLM.