Инъекции в промпт в 2026 году: где возникает поверхность и что измеримо

Про инъекции в промпт обычно рассказывают на примере чата: пользователь пишет «забудь предыдущие инструкции». Это самый безобидный вариант, потому что пользователь атакует собственную сессию.

Настоящая поверхность возникает там, где в промпт попадает содержимое, которым распоряжается посторонний. У нас это происходит на каждом инструменте: чтобы объяснить результат проверки, мы передаём модели заголовки ответа чужого сайта, его DNS-записи, текст его страницы, содержимое его robots.txt.

Всё это пишет владелец проверяемого сайта, а не наш пользователь. Он может положить в заголовок ответа или в мета-тег любой текст — в том числе адресованный не человеку, а модели, которая этот текст будет читать.

Именно такой класс и стоит первым в перечне рисков для приложений с языковыми моделями, который ведёт OWASP. И у него есть неприятное свойство: надёжного технического решения не существует. Модель не различает «данные» и «инструкции» — для неё всё это один поток текста.

Распространённость инъекций не измерена никем. Ни один поставщик, ни один исследователь не публикует, какая доля запросов содержит попытку внедрения. Причина простая: чтобы это посчитать, надо уметь надёжно отличать попытку от обычного текста, а именно этого никто и не умеет.

Что измеримо — как часто модель отказывается отвечать. У нас это логируется, и за десять дней августа 2026 года на 9 474 живых обращения пришлось 36 отказов:

То есть примерно одно резюме статьи из сорока модель отклоняет. Все 36 случаев пришлись на одну поверхность и один язык, и формулировка отказа во всех одинакова.

Оговорка: отказ — не признак атаки. Гораздо чаще это срабатывание фильтра на безобидную техническую тему: текст про уязвимости, про блокировки, про обход ограничений выглядит для фильтра подозрительно независимо от намерения. Мы приводим эту величину не как меру атак, а как ту часть поведения модели, которую система обязана предусмотреть.

Об этом стоит рассказать, потому что ошибка типична и не очевидна.

Наша система получала от модели ответ и показывала его пользователю в блоке «ИИ-резюме». Когда модель отказывалась отвечать, она возвращала не ошибку, а обычный текстовый ответ — вежливую фразу о том, что тема не обсуждается. Для кода это был успешный ответ, и он честно отображался как результат анализа.

Пользователь видел в блоке разбора своей проверки фразу вида «я не могу обсуждать эту тему». Формально система работала правильно: запрос ушёл, ответ пришёл, ответ показан. Фактически в интерфейсе публиковался отказ под видом вывода.

Починка — распознавать отказ по тексту ответа до того, как он попадёт в кэш и на страницу, и в этом случае не показывать блок вовсе. Заодно такой вызов не должен списывать квоту: пользователь ничего не получил.

Общий урок шире инъекций: успешный ответ модели не означает полезный ответ. Всё, что приходит от языковой модели, проходит по коду как обычная строка, и никакой механизм не отличит содержательный вывод от вежливого отказа, кроме проверки, которую вы напишете сами.

Универсального решения нет, но набор мер, снижающих ущерб, известен и работает.

1. Считайте вывод модели ненадёжным по умолчанию. Не выполняйте его как команду, не подставляйте в запрос к базе, не переходите по ссылкам из него. Если модель предлагает действие — его должен подтвердить человек или отдельная проверка в коде.
2. Экранируйте вывод при показе. Мы отдаём из модели только размеченный минимум — выделение и моноширинный текст, — и превращаем его в разметку после экранирования. Модель физически не может вставить работающий тег.
3. Ограничьте, что модель вообще видит. Чем меньше постороннего текста попадает в промпт, тем меньше поверхность. Мы передаём разобранные значения, а не сырые страницы целиком, — и не потому, что так дешевле, а потому что так меньше чужого текста.
4. Отделяйте инструкции от данных явно. Это не защита, а гигиена: модель не гарантирует соблюдения границы, но чёткая структура промпта заметно снижает вероятность случайного смешения.
5. Не давайте модели прав больше, чем нужно. Если она не может ничего изменить, самая удачная инъекция даёт только испорченный текст. Это единственная мера, которая работает независимо от изобретательности нападающего.

Проверить, что ваш сайт отдаёт в заголовках и мета-тегах — то есть что увидела бы чужая модель, — можно в проверке заголовков.

Первоисточник по классификации рисков: перечень OWASP для приложений с языковыми моделями.