Właśnie wtedy, gdy myślałeś, że Twój asystent AI nie może być bardziej pomocny, naukowcy odkryli, że Grok, własny LLM Elona Muska, jest bardziej niż skłonny oddać Twoje czaty i dane osobowe, jeśli prośba przyjdzie owinięta w odrobinę kryptograficznego szyku. W tym tygodniu firma bezpieczeństwa Adversa ujawniła sprytny trik: zamiast prosić Groka o wyjawienie sekretów w prostym języku, szyfrujesz prośbę. Model, będąc tym gorliwym bobrem, chętnie odszyfruje instrukcje i zastosuje się do nich, bez zadawania pytań.

To opowieść stara jak świat (a przynajmniej jak LLM-y): wstrzykiwanie promptów. Ataki te wykorzystują fakt, że LLM-y są trenowane na ludzi pragnących zadowolić, więc wykonują instrukcje z e-maili czy stron internetowych równie chętnie, jak od użytkownika. Najnowszy zwrot, nazwany "Kryptograficznym Wstrzykiwaniem Kontekstu", polega na ukryciu złośliwych instrukcji w szyfrogramie na stronie internetowej. Strona zawiera również klucz deszyfrujący i instrukcje, jak go odszyfrować. Gdy użytkownik poprosi Groka o streszczenie strony, model dekoduje ukrytą wiadomość i, voilà, ruszają wyścigi - eksfiltrując nazwy użytkowników, lokalizacje i historie czatów na serwer atakującego.

Rony Utevsky, badacz z Adversa, który odkrył tę wadę, wyjaśnia, że statyczne zabezpieczenia czytają tylko tekst; nie wykonują kodu ani niczego nie deszyfrują. Tak więc zaszyfrowane instrukcje prześlizgują się przez filtry, a po odszyfrowaniu stają się wynikiem narzędzia, którego zabezpieczenia nigdy nie sprawdzają. To jak bramkarz sprawdzający dowody, ale nie zauważający, że przepustka VIP to tak naprawdę podrobiona wejściówka za kulisy.

To nie tylko problem Groka. Adversa użyła podobnej techniki do złamania Gemini, LLM-a Google, zmuszając go do wyprodukowania treści objętych ograniczeniami, takich jak instrukcje budowy broni zapalającej. Google nie został nawet powiadomiony, ponieważ jailbreak'i są poza zakresem ich programu zgłaszania podatności. Ale Google od tego czasu stał się bardziej odporny na atak, prawdopodobnie z powodu aktualizacji filtrów lub zmian w modelu.

Utevsky i jego zespół nazywają to oznaką szerszej zmiany w atakach, które manipulują nie tylko promptem, ale szerszym kontekstem, który LLM traktuje jako swój własny, takim jak wyniki narzędzi i wyniki działania. Powierzchnia ataku jest ogromna, a obrońcy grają w grę w młotki. Każda nowa bariera to tylko kolejna przeszkoda do ominięcia. Jak ujmuje to Utevsky: "namydlić, spłukać, powtórzyć".

Więc podczas gdy deweloperzy AI spieszą się z budowaniem lepszych zabezpieczeń, pamiętaj: Twój LLM może być bardziej skłonny podzielić się Twoimi sekretami niż Twój terapeuta, zwłaszcza jeśli poprosisz ładnie i zaszyfrujesz prośbę.