# A53: Вредоносные ссылки в запросах и извлечённом контенте (Malicious URL in prompt or retrieved content)

> Модель может обработать, пересказать или включить в ответ ссылку, ведущую на фишинговый ресурс, вредоносное программное обеспечение или канал вывода данных. Ссылка в ответе корпоративного ассистента воспринимается сотрудником как проверенная.

- Канонический HTML: [/threats/a53-malicious-url-in-prompt-or-retrieved-content](https://ai-first.tech/threats/a53-malicious-url-in-prompt-or-retrieved-content)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность языковых моделей

## Как проявляется риск

Адрес попадает в систему вместе с запросом пользователя или с контентом, найденным при поиске. Ссылка рассчитана либо на переход человека, либо на автоматическую загрузку самой системой. Автоматическое обращение по адресу раскрывает служебные сведения и может вызвать обратный запрос к внешнему серверу. Граница доверия нарушается, когда недоверенный адрес выводится в интерфейсе или открывается без проверки.

## Влияние на бизнес

- **Безопасность.** Пользователи попадают на фишинговые страницы и ресурсы с вредоносным программным обеспечением.
- **Данные.** Автоматическая загрузка по ссылке передаёт наружу метаданные и сведения из контекста.
- **Репутация.** Опасная ссылка, выданная официальным ассистентом, подрывает доверие к сервису.

## Где риск наиболее вероятен

- Ассистенты с поиском по внешним источникам
- Интерфейсы с отображением разметки и изображений
- Системы с автоматической загрузкой страниц по ссылкам
- Сводки почты и веб-страниц

## Кому и что решать

- **ИТ-директор.** Решить, где автоматическая загрузка внешних адресов действительно нужна, и отключить её для недоверенного контента.
- **Директор по кибербезопасности.** Обеспечить проверку репутации ссылок на входе и выходе модели и политику безопасности содержимого в интерфейсе.
- **Владелец бизнес-процесса.** Учитывать, что ссылки в ответах ассистента требуют тех же предосторожностей, что и ссылки в письмах.

## Признаки для службы мониторинга

- Ссылки на ранее не встречавшиеся домены в ответах
- Использование сервисов сокращения адресов
- События автоматической загрузки внешних ресурсов
- Подозрительная разметка или изображения с внешними адресами
- Адреса с параметрами, похожими на фрагменты переписки

## Меры защиты

- **Правила работы со ссылками** (организационная). Закрепить, в каких сценариях ассистент вправе показывать и открывать внешние адреса.
- **Проверка репутации адресов** (техническая). Сверять ссылки с репутационными источниками до показа пользователю и до обращения системы.
- **Отключение автоматической загрузки** (техническая). Запретить автоматическое обращение по ссылкам из недоверенного контента, чтобы исключить обратные запросы.
- **Политика безопасности содержимого** (техническая). Ограничить в интерфейсе загрузку изображений и ресурсов перечнем разрешённых источников.
- **Переписывание ссылок и предупреждения** (техническая). Направлять переходы через проверяющий сервис и предупреждать пользователя о внешнем адресе.
- **Учёт исходящих обращений** (мониторинг). Журналировать ссылки в ответах и сетевые запросы AI-сервисов, выделяя неизвестные домены.

## Вопросы команде и поставщику

- Открывает ли наша AI-система внешние ссылки автоматически?
- Проверяются ли адреса в ответах до показа пользователю?
- Может ли интерфейс загрузить изображение с произвольного сервера?
- Видим ли мы, к каким доменам обращаются AI-сервисы?

## Показатели контроля

- Доля ссылок в ответах, прошедших проверку репутации
- Число автоматических обращений к доменам вне разрешённого перечня
- Число сценариев с включённой автоматической загрузкой

## Первые 30 дней

- Выявить сценарии с автоматической загрузкой внешних адресов
- Включить политику безопасности содержимого в интерфейсах ассистентов
- Подключить проверку репутации ссылок на выходе модели

## Классы решений

- Межсетевой экран для LLM
- Веб-безопасность
- Шлюз AI

## Сопоставления

- OWASP: LLM01
- MITRE: ATLAS: Prompt Injection
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [Google Cloud: Model Armor](https://cloud.google.com/security/products/model-armor) — Runtime-защита prompts, responses и agents.
- [arXiv: EchoLeak: Zero-Click Prompt Injection in Microsoft 365 Copilot](https://arxiv.org/abs/2509.10540) — Публичный case study enterprise copilot.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.