# A03: Косвенное внедрение инструкций через почту, календарь и документы (Indirect Prompt Injection via email, calendar and documents)

> Исследования Promptware показали, что косвенное внедрение инструкций может попадать в ассистента через письма, приглашения календаря и общие документы. Корпоративный ассистент способен отправить письмо, изменить событие или раскрыть информацию без ведома пользователя.

- Канонический HTML: [/threats/a03-indirect-prompt-injection-via-email-calendar-and-documents](https://ai-first.tech/threats/a03-indirect-prompt-injection-via-email-calendar-and-documents)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Ассистент резюмирует письмо или календарное событие по обычной просьбе сотрудника. Внутри объекта есть скрытая инструкция, и модель воспринимает её как часть контекста. Доверие нарушается на стыке: объект создан внешним отправителем, а обрабатывается с правами сотрудника. Поскольку ассистент подключён к почте, календарю и файлам, последствием становится реальное действие в рабочих системах.

## Влияние на бизнес

- **Операции.** От имени сотрудника отправляются письма и меняются события, которых он не планировал.
- **Данные.** Содержимое переписки и документов раскрывается посторонним.
- **Репутация.** Партнёры получают сообщения, созданные ассистентом под чужим влиянием.

## Где риск наиболее вероятен

- Ассистенты в почте и календаре
- Сводки по входящей корреспонденции
- Работа с общими документами от внешних контрагентов
- Агенты, планирующие встречи

## Кому и что решать

- **ИТ-директор.** Ограничить набор действий ассистента в офисных системах минимально необходимым для каждой роли.
- **Директор по кибербезопасности.** Обеспечить классификацию входящих объектов как недоверенных, подтверждение действий человеком и неизменяемый журнал.
- **Владелец бизнес-процесса.** Определить операции, которые ассистент не выполняет без явного согласия сотрудника.

## Признаки для службы мониторинга

- Ассистент выполняет действие сразу после чтения внешнего письма или приглашения
- Сводка содержит странные или не относящиеся к объекту утверждения
- В документе или событии найден скрытый текст с командами
- Фиксируются вызовы инструментов, не связанные с просьбой пользователя
- Событие календаря изменено без участия владельца

## Меры защиты

- **Классификация недоверенного контента** (техническая). Автоматически помечать письма, приглашения и файлы от внешних отправителей. К ним применяется ограниченный режим обработки.
- **Подтверждение действий человеком** (техническая). Требовать согласия сотрудника на отправку, изменение и пересылку. Скрытая инструкция не превращается в действие.
- **Минимальные права инструментов** (техническая). Выдавать каждому инструменту только необходимые полномочия, чтобы ограничить возможный ущерб.
- **Политика безопасных действий ассистента** (организационная). Утвердить перечень разрешённых, ограниченных и запрещённых операций для ассистента в офисных системах.
- **Неизменяемый журнал действий** (мониторинг). Фиксировать все действия ассистента с указанием объекта, после чтения которого они произошли.

## Вопросы команде и поставщику

- Какие действия ассистент может выполнить в почте и календаре без подтверждения?
- Различает ли он объекты от внешних и внутренних отправителей?
- Можно ли по журналу восстановить причину каждого действия?
- Кто утверждал перечень разрешённых операций?

## Показатели контроля

- Доля действий ассистента, выполненных с подтверждением человека
- Число вызовов инструментов после обработки внешних объектов
- Доля инструментов с пересмотренными правами доступа

## Первые 30 дней

- Составить перечень действий ассистента в почте, календаре и файлах
- Включить подтверждение для отправки и изменения
- Проверить полноту и защищённость журнала действий

## Классы решений

- Защита AI-агентов
- Шлюз AI
- Межсетевой экран для LLM

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [arXiv: Invitation Is All You Need! Promptware Attacks Against LLM-Powered Assistants](https://arxiv.org/abs/2508.12175) — Исследование indirect prompt injection через почту, календарь и документы.
- [arXiv: Lessons from Defending Gemini Against Indirect Prompt Injections](https://arxiv.org/abs/2505.14534) — Непрерывная adversarial evaluation indirect prompt injection.
- [arXiv: AI Agents and Indirect Prompt Injections: Public Competition](https://arxiv.org/abs/2603.15714) — Публичная competition по red teaming AI agents.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.