Один рядок коду, що може зламати 11 моделей штучного інтелекту
Новий метод злому — «sockpuppeting»
З’явився новий спосіб обійти захисні механізми в 11 провідних великих мовних моделей (Large Language Models, LLM) – так званий “sockpuppeting”. Суть методу полягає у використанні лише одного рядка коду, що робить атаку напрочуд простою та ефективною.
На відміну від складних кібернападів, тут зловмисники експлуатують API, які підтримують функцію «assistant prefill». Вони вставляють фальшиве повідомлення про підтвердження, яке змушує моделі виконувати заборонені запити без блокування.
Як працює атака
«Assistant prefill» — це офіційна функція API, яку розробники застосовують для формування специфічних відповідей від штучного інтелекту. Проте хакери вводять у роль асистента підставний текст із ввічливим підтвердженням, наприклад, «Звісно, ось як це зробити», після чого ШІ ігнорує внутрішні обмеження.
Оскільки ШІ треновані бути послідовними у відповідях, вони продовжують генерувати шкідливий контент замість автоматичного запуску захисних механізмів. Це створює нові ризики щодо безпеки таких систем.
Тестування вразливостей моделей
Фахівці з кібербезпеки компанії Trend Micro дослідили цю лазівку за допомогою “чорного ящика”, який не потребує оптимізації чи доступу до внутрішніх параметрів моделей.
З усіх протестованих моделей найбільш уразливою виявилась Gemini 2.5 Flash із показником успішності атаки 15,7%. Натомість GPT-4o-mini показала найвищий рівень захисту — всього 0,5% успішних атак.
Що відбувається під час атаки
- Моделі видають працюючий шкідливий код експлойтів;
- Відбувається витік конфіденційних системних підказок;
- Найефективнішою вважається багатокрокова налаштування персонажа, коли ШІ спочатку вважає себе необмеженим помічником, а потім отримує підроблене підтвердження.
Ще одна тактика — змінювання формулювання запросу, щоб приховати шкідливий намір під маскою безпечного завдання на форматування даних. Цей підхід теж допомагає уникнути стандартної фільтрації.
Різниця у захисті API провайдерів
Великий вплив на захищеність моделей має те, як різні провайдери обробляють assistant prefill:
- OpenAI та AWS Bedrock повністю блокують функцію assistant prefill, що значно скорочує вразливість;
- Google Vertex AI дозволяє використання prefill для окремих моделей, тож покладається лише на тренування безпеки самого ШІ.
Як підвищити безпеку
Для ефективного захисту командам з кібербезпеки радять впроваджувати перевірку правильності порядку повідомлень, блокуючи повідомлення з роллю асистента безпосередньо на рівні API. Це унеможливить спроби вставити шкідливі префікси.
Організації, які використовують власні сервери обробки ШІ, як-от Ollama або vLLM, мають заздалегідь налаштовувати таку перевірку, адже подібні платформи не гарантують автоматичне впорядкування повідомлень за замовчуванням.
Не менш важливим є включення атак на базі assistant prefill у стандартні перевірки та навчання з кіберзахисту штучного інтелекту, що дозволить вчасно виявляти й усувати можливі проблеми.
Слідкуйте за оновленнями у сфері кібербезпеки на Google News, LinkedIn та X. Зв’язуйтеся з нами для публікації ваших новин.
