# A04: Внедрение инструкций без участия пользователя в AI-ассистентах (Zero-click prompt injection in enterprise copilots)

> Сотрудник не совершает явного опасного действия, а ассистент уже обрабатывает внешний контент рядом с внутренними данными. Случай EchoLeak описан как пример такого внедрения в промышленной LLM-системе, где специально подготовленное письмо могло привести к удалённому выводу данных без аутентификации.

- Канонический HTML: [/threats/a04-zero-click-prompt-injection-in-enterprise-copilots](https://ai-first.tech/threats/a04-zero-click-prompt-injection-in-enterprise-copilots)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Корпоративный ассистент автоматически включает внешнее письмо в контекст поиска или ответа. Затем он формирует ответ с внутренними данными, которые могут попасть в канал, контролируемый злоумышленником. Граница доверия нарушена самой интеграцией: внешнее и внутреннее смешиваются без решения человека. Обучение пользователей здесь не помогает, защита должна быть архитектурной.

## Влияние на бизнес

- **Данные.** Внутренние сведения выводятся за периметр без какого-либо действия сотрудника.
- **Право и комплаенс.** Утечка затрагивает обязательства по защите конфиденциальной информации.
- **Безопасность.** Привычные меры, рассчитанные на ошибку пользователя, не срабатывают.

## Где риск наиболее вероятен

- Ассистенты офисных пакетов с доступом к почте
- Корпоративный поиск по внутренним и внешним источникам
- Автоматические сводки входящих писем
- Ассистенты, отображающие ссылки и изображения в ответах

## Кому и что решать

- **ИТ-директор.** Пересмотреть интеграции ассистента: какие внешние источники попадают в контекст автоматически и можно ли это отключить.
- **Директор по кибербезопасности.** Обеспечить разделение контекста, фильтрацию вывода и непрерывное состязательное тестирование.
- **Владелец бизнес-процесса.** Оценить, какие данные подразделения доступны ассистенту, и сократить этот объём до необходимого.

## Признаки для службы мониторинга

- Внешняя почта обрабатывается ассистентом автоматически, без запроса сотрудника
- Фиксируются неожиданные сетевые обращения при формировании ответа
- В ответах появляются ссылки или изображения, ведущие на внешние адреса
- В одном ответе смешаны внутренние и внешние источники
- Ассистент обращается к внутренним документам вне темы запроса

## Меры защиты

- **Разделение контекста запроса** (техническая). Обрабатывать внешние письма отдельно от внутренних данных, чтобы они не встречались в одном ответе.
- **Доступ с учётом происхождения данных** (техническая). Ограничивать доступ к внутренним источникам, когда в контексте присутствует внешний контент.
- **Строгая политика загрузки содержимого** (техническая). Запретить интерфейсу ассистента обращаться к неразрешённым внешним адресам при показе ответа.
- **Фильтрация вывода и минимальные права** (техническая). Удалять из ответов внешние ссылки и изображения, сократить доступ ассистента.
- **Непрерывное состязательное тестирование** (организационная). Включить проверку сценариев без участия пользователя в постоянную программу тестирования.
- **Контроль сетевых обращений ассистента** (мониторинг). Отслеживать исходящие запросы при формировании и показе ответов и оповещать о нетипичных адресах.

## Вопросы команде и поставщику

- Какой внешний контент ассистент обрабатывает без действия сотрудника?
- Могут ли внешние и внутренние данные оказаться в одном ответе?
- Способен ли ответ ассистента вызвать обращение к внешнему адресу?
- Что поставщик ассистента сделал для защиты от этого класса рисков?

## Показатели контроля

- Число источников, попадающих в контекст автоматически
- Число ответов с заблокированными внешними ссылками
- Доля сценариев без участия пользователя в программе тестирования

## Первые 30 дней

- Запросить у поставщика описание обработки внешней почты
- Ограничить автоматическое включение внешних писем в контекст
- Включить фильтрацию ссылок и изображений в ответах

## Классы решений

- Шлюз AI
- Межсетевой экран для LLM
- Защита от утечек данных для AI
- Защита AI-агентов

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [arXiv: EchoLeak: Zero-Click Prompt Injection in Microsoft 365 Copilot](https://arxiv.org/abs/2509.10540) — Публичный case study enterprise copilot.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.