# A02: Косвенное внедрение инструкций через веб-страницы (Indirect Prompt Injection via web pages)

> Вредоносная инструкция размещается во внешнем контенте, который AI читает как данные. Сотрудник получает искажённый вывод, а ассистент с инструментами может передать данные наружу или выполнить нежелательное действие.

- Канонический HTML: [/threats/a02-indirect-prompt-injection-via-web-pages](https://ai-first.tech/threats/a02-indirect-prompt-injection-via-web-pages)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Ассистент анализирует веб-страницу для пользователя. В ней есть скрытый текст, незаметный человеку, но доступный модели, и он пытается повлиять на её инструкции. Граница доверия ломается в момент, когда содержимое чужого сайта попадает в тот же контекст, что и задача пользователя. Дальше результат зависит от прав ассистента: от вводящей в заблуждение сводки до обращения к инструментам.

## Влияние на бизнес

- **Данные.** Сведения из рабочего контекста могут уйти во внешние каналы через инструменты ассистента.
- **Операции.** Решения принимаются на основе сводок, которыми манипулирует владелец внешней страницы.
- **Безопасность.** Ассистент выполняет действия, которых пользователь не запрашивал.

## Где риск наиболее вероятен

- Ассистенты с поиском в интернете
- AI-браузеры и помощники для чтения страниц
- Анализ конкурентов и рынка по открытым источникам
- RAG-системы, индексирующие внешние сайты

## Кому и что решать

- **ИТ-директор.** Решить, каким ассистентам разрешено читать внешний интернет и какие инструменты доступны им в этом режиме.
- **Директор по кибербезопасности.** Обеспечить отношение к внешнему контенту как к недоверенному и запрет действий, инициированных таким контентом.
- **Владелец бизнес-процесса.** Учитывать, что сводка по внешним источникам требует проверки перед использованием в решениях.

## Признаки для службы мониторинга

- Ответ ассистента не соответствует цели исходного запроса
- В ответе появляются ссылки на источники, которых пользователь не запрашивал
- Ассистент пытается отправить данные во внешний канал после чтения страницы
- В загруженной странице обнаружен скрытый текст, обращённый к модели
- Вызов инструмента следует сразу за обработкой внешнего контента

## Меры защиты

- **Учёт происхождения контента** (техническая). Помечать каждый фрагмент контекста источником, чтобы к внешним данным применялись строгие правила.
- **Разделение контекста по доверию** (техническая). Держать внешний контент отдельно от инструкций и внутренних данных, чтобы он оставался только материалом для анализа.
- **Запрет действий по недоверенному контенту** (техническая). Не выполнять операции с инструментами, если их источник — текст внешней страницы.
- **Политика недоверия внешним источникам** (организационная). Закрепить в правилах, что внешний контент считается недоверенным по умолчанию во всех AI-сценариях.
- **Контроль рискованных ответов** (мониторинг). Оценивать ответы на выходе и оповещать о попытках передачи данных во внешние каналы.

## Вопросы команде и поставщику

- Какие ассистенты читают внешние сайты и что они при этом могут делать?
- Отличает ли система внешний контент от внутреннего и от инструкций?
- Может ли текст страницы привести к вызову инструмента без подтверждения?
- Как обнаруживается попытка вывода данных через ассистента?

## Показатели контроля

- Доля фрагментов контекста с зафиксированным источником
- Число заблокированных действий, инициированных внешним контентом
- Число ответов, остановленных выходной проверкой

## Первые 30 дней

- Выявить ассистентов с доступом к интернету и перечислить их инструменты
- Отключить у них действия без подтверждения при работе с внешними страницами
- Настроить оповещения о передаче данных во внешние каналы

## Классы решений

- Межсетевой экран для LLM
- Защита RAG
- Шлюз AI

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [Google Cloud: Model Armor](https://cloud.google.com/security/products/model-armor) — Runtime-защита prompts, responses и agents.
- [arXiv: Lessons from Defending Gemini Against Indirect Prompt Injections](https://arxiv.org/abs/2505.14534) — Непрерывная adversarial evaluation indirect prompt injection.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.