# A08: Утечка системных инструкций (System Prompt Leakage)

> Системные инструкции ассистента могут быть раскрыты пользователю вместе с логикой продукта и внутренними правилами. OWASP подчёркивает: системные инструкции не должны быть местом хранения секретов и единственным средством защиты.

- Канонический HTML: [/threats/a08-system-prompt-leakage](https://ai-first.tech/threats/a08-system-prompt-leakage)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Пользователь добивается от ассистента раскрытия скрытых инструкций, шаблонов, внутренних категорий или подсказок о политике. Модель не хранит эти сведения отдельно от остального контекста и может их воспроизвести. Граница доверия нарушена ошибочным допущением, что скрытое от интерфейса недоступно пользователю. При неудачной архитектуре вместе с инструкциями раскрываются секреты и учётные данные.

## Влияние на бизнес

- **Данные.** Раскрываются логика продукта, шаблоны и внутренние контексты.
- **Безопасность.** Знание правил упрощает их обход, а секреты в инструкциях дают прямой доступ к системам.
- **Репутация.** Публикация внутренних инструкций показывает клиентам неприглядные детали настройки.

## Где риск наиболее вероятен

- Клиентские ассистенты с подробными инструкциями
- Продукты, где логика зашита в инструкции
- Ассистенты с правилами разграничения внутри текста инструкций
- Решения партнёров на общей платформе

## Кому и что решать

- **ИТ-директор.** Принять правило: инструкции считаются потенциально публичными, разграничение доступа реализуется в коде и инфраструктуре.
- **Директор по кибербезопасности.** Обеспечить отсутствие секретов в инструкциях и детерминированные средства контроля вне модели.
- **Владелец бизнес-процесса.** Оценить, какой ущерб нанесёт публикация инструкций, и убрать из них лишнее.

## Признаки для службы мониторинга

- Пользователи просят показать системные инструкции
- Ответы содержат формулировки внутренних правил
- В ответах появляются фрагменты шаблонов или скрытых политик
- Ассистент перечисляет внутренние категории или служебную логику
- Тексты инструкций обнаружены в открытых источниках

## Меры защиты

- **Никаких секретов в инструкциях** (техническая). Убрать из системных инструкций ключи, пароли и адреса. Их раскрытие перестаёт вести к компрометации.
- **Детерминированный контроль вне модели** (техническая). Реализовать проверки прав и ограничений в коде приложения, а не в тексте инструкций.
- **Маскирование служебных фрагментов** (техническая). Удалять из ответов совпадения с текстом инструкций и шаблонов.
- **Минимальные права ассистента** (техническая). Ограничить доступ ассистента, чтобы знание его инструкций не давало новых возможностей.
- **Ревизия содержимого инструкций** (организационная). Ввести обязательный просмотр инструкций перед выпуском на предмет лишних сведений.
- **Отслеживание запросов на раскрытие** (мониторинг). Фиксировать обращения с просьбой показать инструкции и ответы с их фрагментами.

## Вопросы команде и поставщику

- Что содержится в системных инструкциях наших ассистентов?
- Есть ли там секреты или учётные данные?
- Какая защита останется, если инструкции опубликуют?
- Кто проверяет инструкции перед выпуском?

## Показатели контроля

- Доля ассистентов с проведённой ревизией инструкций
- Число секретов, найденных в инструкциях
- Число ответов с замаскированными служебными фрагментами

## Первые 30 дней

- Собрать системные инструкции всех ассистентов
- Удалить из них секреты и заменить скомпрометированные
- Перенести проверки доступа из инструкций в код

## Классы решений

- Межсетевой экран для LLM
- Шлюз AI
- Безопасная конфигурация

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM07:2025 System Prompt Leakage](https://genai.owasp.org/llmrisk/llm072025-system-prompt-leakage/) — Утечки системных инструкций и границы контроля.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.