Kad vēstules izlasīšana ir uzbrukums: ievadīti norādījumi e-pastā

Uzbrukums ar ievadītu norādījumu e-pastā neprasa, lai upuris kaut ko ierakstītu. 2025. gadā pētnieki atklāja EchoLeak (CVE-2025-32711), kur viena speciāli sagatavota vēstule izraisīja datu noplūdi bez neviena klikšķa no Microsoft 365 Copilot: paslēptas instrukcijas tika apstrādātas datu izgūšanas laikā, apgāja ievadīto norādījumu klasifikatoru, un tām nevajadzēja ne lietotāja darbību, ne autentifikāciju. Asistents izlasīja ziņu, kā tam paredzēts — un tas arī bija viss uzbrukums.

Kas ir uzbrukums ar ievadītu norādījumu e-pastā?

Uzbrukums, kurā neuzticams teksts, ko asistents tikai izlasa, tiek uztverts kā instrukcija, kas jāizpilda. Dokumentētajiem gadījumiem ir viena forma:

EchoLeak (CVE-2025-32711) — viena sagatavota vēstule, nulle klikšķu, dati izplūduši no M365 Copilot; klasifikators apiets, autentifikācija nebija vajadzīga — Vectra AI
Reprompt (CVE-2026-24307) — viena klikšķa datu izplūde no Copilot Personal caur sagatavotu URL parametru, ar nulli lietotāja ievadītu norādījumu
Superhuman AI e-pasta datu izplūde — dokumentējis PromptArmor, 2026. gada janvārī
~4000 izstrādātāju datoru kompromitēti pēc tam, kad ievadīts norādījums AI darbinātā GitHub Actions problēmu šķirošanā noveda pie ļaunprātīgas npm pakotnes, kas uzstādīja pastāvīgu procesu un atklāja pieejas datus, SSH atslēgas un mākoņa marķierus (2026. gada februāris)

Pie pēdējās ķēdes ir vērts pakavēties: tā sākās ar neuzticamu tekstu kļūdas ziņojumā un beidzās ar ražošanas noslēpumiem uz tūkstošiem datoru.

Kāpēc modelis nevar vienkārši ignorēt ļaunprātīgas instrukcijas?

Tāpēc, ka tas saņem vienu teksta plūsmu, un tam nav piespiedu veida, kā atšķirt kategorijas. Operatora instrukcijas, lietotāja pieprasījums un izgūtais saturs — vēstules teksts, dokuments, tīmekļa lapa, problēmas apraksts — atnāk kā teksts. Kad izgūtajā saturā ir kaut kas instrukcijas formā, pastāv īsta iespēja, ka tas tā arī tiek uztverts. Tā ir netiešā norādījumu ievadīšanas noteicošā īpašība: kravnesums nenāk no lietotāja, tas nāk no datiem.

Tāpēc „mēs tam pateicām neievērot instrukcijas vēstulēs" nav kontrole. Tekstu raksta uzbrucējs. Viņš to var uzrakstīt pieklājīgi, valodā, ko jūs netestējāt, sadalītu pa vairākām ziņām, baltu uz balta HTML vai dokumentā, kas tiek izgūts vēlāk. Aizstāvēties ar instrukciju nozīmē mūžīgi aizstāvēties pret katru formulējumu, ko pretinieks var izdomāt, ar modeli kā tiesnesi.

Tā ir tā pati strukturālā mācība, kas rakstā kad instrukcija nav aizsargmehānisms, tikai no uzbrucēja puses. Tur modelis kļūdījās pats; te svešinieks liek tam kļūdīties apzināti. Abus uzvar viens un tas pats, un ne vienu, ne otru neuzvar labāks formulējums.

Kas tiešām aizsargā pret ievadītiem norādījumiem?

Ierobežojumi tam, ko sistēma spēj izpildīt, ne tam, ko tai lūdza.

Pēc noklusējuma aizliegts, katrai rutīnai. Aģents sākas bez spējām un saņem tikai to, kas šai rutīnai vajadzīgs. Ievadīts norādījums nosūtīt klientu sarakstu izgāžas nosūtīšanas solī, ja sūtīšana nekad nav bijusi atļauta.

Pieejas dati ārpus modeļa konteksta. Ja atslēga vai marķieris ir konteksta logā, ievadītais teksts var to pieprasīt atpakaļ, un jebkurš izplūdes ceļš to nesīs. Modelis nevar izpaust to, kas tam nekad nav rādīts.

Cilvēka punkts uz āru vērstām un neatgriezeniskām darbībām. Ievadītam norādījumam vajag izeju — vēstuli, pieprasījumu, izmaiņu. Cilvēks pie šī soļa klusu kompromitēšanu pārvērš jautājumā, uz kuru kādam jāatbild skaļi.

Uztveriet izgūto saturu kā naidīgu ievadi. Ne tāpēc, ka lielākā daļa tāda būtu, bet tāpēc, ka pretējā pieņēmuma cenu nosaka sliktākā ziņa, ko jūs jebkad apstrādāsiet. Parasta drošības prakse ar lietotāja ievadītiem datiem; AI sistēmas nesaņem atbrīvojumu tāpēc, ka dati atnāk kā proza.

Vērojiet izejas. Dati nevar aiziet pa kanālu, kura nav. Ierobežot, uz kurieni aģents vispār var kaut ko sūtīt, bieži ir vieglāk nekā kontrolēt to, ko to varētu pierunāt pateikt.

Kvantia Harness ir uzdevumu un kontroles slānis AI darbiniekam uz datora, kas ir jūsu uzņēmuma kontrolē, un tas ir būvēts tieši uz šiem ierobežojumiem: spējas tiek dotas katrai rutīnai atsevišķi, ne plaši, pieejas dati paliek ārpus modeļa konteksta, un uz āru vērstie vai neatgriezeniskie soļi gaida cilvēka apstiprinājumu. Tas nepadara norādījumu ievadīšanu par neiespējamu — to nedara nekas —, bet tas ierobežo, ko veiksmīga ievadīšana var aizsniegt. Drošības modelis apraksta katru kontroli un tās godīgās robežas.

Ko jautāt pārdevējam?

Ja ziņā, ko tas apstrādā, būtu ideālas instrukcijas izdarīt vissliktāko iespējamo, kas to fiziski apturētu?

Atbilde par apmācību, klasifikatoriem vai sistēmas norādījumiem apraksta filtru, kas jau ir apiets nosauktos, numurētos CVE. Atbilde par spējām, kas nekad nav dotas, pieejas datiem, kuru tur nav, un apstiprinājumu, kas nav dots, apraksta kaut ko, ko uzbrucējs nevar apiet ar rakstīšanu.

Klasifikatori joprojām ir vērtīgi — EchoLeak vienu apgāja, un tas runā par vairākiem aizsardzības slāņiem, nevis par slāņa noņemšanu. Bet filtrs ir varbūtība, un neesoša spēja ir pārliecība. Lieciet aiz pārliecības to, ko nevarat atļauties zaudēt.

Nekas no tā nerunā pret to, ka AI drīkst lasīt jūsu pastu. Tas runā par to, ka iepriekš un izpildes ceļā jāizlemj, ko tas pēc tam drīkst darīt — tas pats lēmums, kas kontrolētu rutīnu atšķir no nekontrolētas rakstā AI audita pieraksts.