# A51: Несанкционированное изменение шаблонов промптов (Prompt template tampering)

> Шаблоны промптов и текстовые политики определяют поведение ассистента так же, как программный код. Если их можно править без согласования, правила принятия решений и границы раскрытия информации меняются незаметно для бизнеса.

- Канонический HTML: [/threats/a51-prompt-template-tampering](https://ai-first.tech/threats/a51-prompt-template-tampering)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Управление AI

## Как проявляется риск

Шаблон хранится в системе управления контентом или в административной панели и редактируется в обход процесса выпуска изменений. Администратор правит текст без проверки вторым человеком. Ассистент начинает иначе трактовать правила или раскрывать лишнее, хотя модель и код приложения остались прежними. Граница доверия нарушается там, где конфигурация, по сути являющаяся кодом, не подчинена контролю изменений.

## Влияние на бизнес

- **Данные.** Ассистент начинает выдавать сведения, которые прежняя редакция шаблона запрещала раскрывать.
- **Право и комплаенс.** Установленные политики перестают соблюдаться, а организация не может показать, кто и когда изменил правила.
- **Операции.** Поведение ассистента меняется внезапно, и решения в процессе принимаются по другим правилам.

## Где риск наиболее вероятен

- Клиентские чат-боты с шаблонами в системе управления контентом
- Ассистенты, применяющие правила принятия решений
- Внутренние помощники с ограничениями на раскрытие данных
- Платформы, где промпты редактируют бизнес-пользователи

## Кому и что решать

- **ИТ-директор.** Перевести шаблоны промптов в режим управления как кодом: хранение версий, проверка и выпуск через общий процесс изменений.
- **Директор по кибербезопасности.** Обеспечить разграничение прав на редактирование шаблонов и журнал всех правок с привязкой к согласованию.
- **Владелец бизнес-процесса.** Назначить владельца каждого шаблона и согласовывать изменения правил ответа так же, как изменения регламента.

## Признаки для службы мониторинга

- Изменение шаблона без связанного согласования
- Резкая смена поведения ассистента без выпуска новой версии
- Правки в административной панели вне окна выпуска
- Расхождение действующего шаблона с утверждённой версией
- Ухудшение результатов автоматических проверок после правки

## Меры защиты

- **Согласование изменений шаблонов** (организационная). Ввести обязательную проверку правок вторым сотрудником и утверждение владельцем шаблона.
- **Реестр промптов с версиями и откатом** (техническая). Хранить утверждённые шаблоны в едином реестре с историей правок. Это даёт доказуемость и возврат к прежней редакции одним действием.
- **Разграничение прав на редактирование** (техническая). Оставить право правки шаблонов ограниченному кругу учётных записей.
- **Автоматические проверки перед выпуском** (техническая). Прогонять набор контрольных сценариев при каждом изменении шаблона, чтобы заметить ослабление политики до публикации.
- **Контроль правок и поведения** (мониторинг). Отслеживать изменения шаблонов и отклонения в ответах ассистента, оповещая о правках без согласования.

## Вопросы команде и поставщику

- Где хранятся шаблоны промптов и кто имеет право их менять?
- Проходит ли каждое изменение шаблона проверку и утверждение?
- Можем ли мы восстановить историю правок за любой период?
- Как быстро мы вернём прежнюю редакцию, если поведение ассистента изменилось?

## Показатели контроля

- Доля изменений шаблонов, прошедших согласование
- Доля шаблонов, покрытых автоматическими проверками
- Время отката к предыдущей утверждённой версии

## Первые 30 дней

- Составить перечень шаблонов и системных политик с владельцами
- Ограничить права на редактирование и включить журналирование правок
- Перенести значимые шаблоны в систему контроля версий

## Классы решений

- Платформа управления жизненным циклом LLM (LLMOps)
- Управление AI (AI Governance)
- Межсетевой экран для LLM

## Сопоставления

- OWASP: LLM09
- MITRE: ATLAS: AI Governance
- NIST: NIST AI RMF: Govern

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [OWASP: LLM07:2025 System Prompt Leakage](https://genai.owasp.org/llmrisk/llm072025-system-prompt-leakage/) — Утечки системных инструкций и границы контроля.
- [CISA: Joint Guidance on Deploying AI Systems Securely](https://www.cisa.gov/news-events/alerts/2024/04/15/joint-guidance-deploying-ai-systems-securely) — Безопасное внедрение AI-систем.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.