# A07: Внедрение инструкций через изображения, сканы и PDF (Multimodal prompt injection)

> Инструкции могут быть скрыты не только в тексте, но и в изображениях, сканах, скриншотах и PDF, которые анализирует мультимодальная модель. Риск особенно значим там, где AI обрабатывает счета, заявки и презентации.

- Канонический HTML: [/threats/a07-multimodal-prompt-injection](https://ai-first.tech/threats/a07-multimodal-prompt-injection)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Модель получает изображение или PDF для обычной бизнес-задачи. В файле присутствует скрытый текст, который человек не видит, а модель может принять за приказ. Граница доверия нарушается на этапе извлечения содержимого: всё распознанное попадает в контекст наравне с заданием. Проверки, рассчитанные на обычный текст, такой файл пропускают.

## Влияние на бизнес

- **Операции.** Документы обрабатываются с искажениями, ошибки попадают в учётные процессы.
- **Финансы.** Под скрытым влиянием оказываются решения по счетам и заявкам.
- **Безопасность.** Текстовые фильтры обходятся через файлы и медиа.

## Где риск наиболее вероятен

- Обработка счетов и первичных документов
- Разбор входящих заявок со сканами
- Анализ презентаций и скриншотов
- RAG по архивам PDF

## Кому и что решать

- **ИТ-директор.** Включить в конвейер обработки документов этап проверки и очистки до передачи файла модели.
- **Директор по кибербезопасности.** Обеспечить доверенное распознавание текста и проверку результатов модели.
- **Владелец бизнес-процесса.** Определить, какие документы от внешних отправителей обрабатываются автоматически, а какие требуют контроля сотрудника.

## Признаки для службы мониторинга

- В слое распознанного текста есть фрагменты, невидимые на изображении
- В документе найден белый текст на белом фоне
- Файл содержит обращённые к модели встроенные указания
- Видимое содержимое расходится с извлечённым текстом
- Результат обработки не соответствует типу документа

## Меры защиты

- **Проверка документов на входе** (техническая). Анализировать файлы на скрытые слои и невидимый текст до передачи модели.
- **Очистка содержимого файлов** (техническая). Удалять скрытые элементы и оставлять только то, что видит человек.
- **Доверенное распознавание текста** (техническая). Извлекать текст проверенным средством и сравнивать его с видимым изображением.
- **Проверка результата обработки** (техническая). Сверять вывод модели с ожидаемым форматом и бизнес-правилами, отделяя данные документа от инструкций.
- **Правила приёма внешних документов** (организационная). Установить допустимые форматы и источники, а также случаи обязательной ручной проверки.
- **Контроль расхождений распознавания** (мониторинг). Отслеживать файлы, где видимый и извлечённый текст различаются, и направлять их на разбор.

## Вопросы команде и поставщику

- Проверяются ли файлы на скрытый текст до модели?
- Чем распознаётся текст и доверяем ли мы этому средству?
- Какие решения принимаются по документам автоматически?
- Что происходит с файлом, в котором найдено расхождение?

## Показатели контроля

- Доля файлов, прошедших входную проверку
- Число документов с расхождением видимого и извлечённого текста
- Доля результатов, отклонённых проверкой формата

## Первые 30 дней

- Описать путь документа от получения до модели
- Добавить проверку на скрытый текст для внешних файлов
- Ввести ручной контроль операций по счетам

## Классы решений

- Межсетевой экран для LLM
- Защита документов для AI
- Защита RAG

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [Google Cloud: Model Armor](https://cloud.google.com/security/products/model-armor) — Runtime-защита prompts, responses и agents.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.