# A52: Внедрение инструкций через загружаемые файлы (Prompt injection through uploaded files)

> Документы, которые пользователи загружают на анализ, могут содержать текст, воспринимаемый моделью как указания более высокого приоритета. Такой файл искажает ответ, провоцирует вызов инструментов или вынос данных.

- Канонический HTML: [/threats/a52-prompt-injection-through-uploaded-files](https://ai-first.tech/threats/a52-prompt-injection-through-uploaded-files)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Ассистент принимает файл формата DOCX, PDF, CSV или PPTX и включает его содержимое в контекст модели. Часть текста может быть скрыта от человека, но доступна системе при извлечении или распознавании. Модель не отличает содержание документа от распоряжений и следует внедрённым инструкциям (prompt injection). Граница доверия нарушается в момент, когда недоверенный файл смешивается с системными указаниями и получает влияние на ответ и действия.

## Влияние на бизнес

- **Данные.** Сведения из контекста ассистента или подключённых систем могут быть выведены за пределы организации.
- **Операции.** Искажённые выводы по документу попадают в рабочий процесс и нарушают его ход.
- **Безопасность.** Инструменты ассистента вызываются не по воле пользователя, а по содержимому файла.

## Где риск наиболее вероятен

- Анализ договоров и входящих документов от контрагентов
- Разбор резюме и анкет
- Обработка вложений обращений в службе поддержки
- Ассистенты с загрузкой таблиц и презентаций

## Кому и что решать

- **ИТ-директор.** Определить, какие типы файлов допустимы в AI-сценариях, и вынести их обработку в изолированную среду.
- **Директор по кибербезопасности.** Обеспечить проверку документов до передачи в модель и разделение инструкций и данных в архитектуре.
- **Владелец бизнес-процесса.** Решить, какие выводы по загруженным документам требуют проверки человеком перед использованием.

## Признаки для службы мониторинга

- Скрытый текст или слой распознавания, не совпадающий с видимым содержанием
- Фрагменты документа, обращённые к ассистенту, а не к читателю
- Аномалии в метаданных файла
- Вызовы инструментов сразу после загрузки документа
- Ответ, уходящий от исходного вопроса пользователя

## Меры защиты

- **Политика допустимых типов файлов** (организационная). Утвердить перечень форматов и источников документов для каждого сценария.
- **Проверка документов перед обработкой** (техническая). Сканировать файлы на скрытый текст и подозрительное содержимое до передачи в модель.
- **Изолированная обработка файлов** (техническая). Разбирать загруженные документы в изолированной среде без доступа к внутренним системам.
- **Разделение инструкций и данных** (техническая). Передавать содержимое файла как данные, не дающие права менять задачу или вызывать инструменты.
- **Проверка ответов и действий** (мониторинг). Контролировать выводы и вызовы инструментов после загрузки файла, выделяя отклонения от запроса пользователя.

## Вопросы команде и поставщику

- Какие файлы и из каких источников попадают в наши AI-сценарии?
- Проверяется ли документ до того, как его увидит модель?
- Может ли ассистент выполнить действие на основании текста из файла?
- Кто проверяет выводы по документам перед принятием решений?

## Показатели контроля

- Доля загружаемых файлов, прошедших проверку до обработки
- Число вызовов инструментов, инициированных после загрузки файла без подтверждения
- Доля сценариев с проверкой результата человеком

## Первые 30 дней

- Перечислить сценарии, где ассистент принимает файлы от пользователей и внешних сторон
- Ограничить допустимые форматы и отключить лишние инструменты в этих сценариях
- Провести тестирование защищённости на документах со скрытым содержимым

## Классы решений

- Защита документов для AI
- Защита RAG
- Межсетевой экран для LLM

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [Google Cloud: Model Armor](https://cloud.google.com/security/products/model-armor) — Runtime-защита prompts, responses и agents.
- [arXiv: Layered Security Framework Against Prompt Injection in RAG-Based Chatbots](https://arxiv.org/abs/2606.19660) — Defense-in-depth для RAG prompt injection.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.