Amikor az adat utasítássá válik

Képzelj el egy AI-agentet, amelynek az a dolga, hogy kódot nézzen át. Fájlokat olvas. Hibát keres. Javaslatot ad. Parancsokat futtat. Pont ezért hasznos. Csakhogy ugyanebből jön a probléma is. Mert ha az agent elolvassa a projekt tartalmát, és közben nem tudja biztosan megkülönböztetni, mi adat és mi utasítás, akkor egy támadó elrejthet neki egy parancsot magában a tartalomban. És az agent végrehajthatja. Na, itt már nem egyszerűen hibáról beszélünk. Itt egy mechanizmust látunk.

Mit sugall elsőre?

Könnyű erre azt mondani: „Az AI-t feltörték.” De ez túl egyszerű kép. Az érdekesebb kérdés az, hogy hogyan jut el egy ártatlannak tűnő fájl vagy szöveg a cselekvésig. A modern kódoló agentek nemcsak olvasnak. Fájlokat módosíthatnak, shell-parancsokat futtathatnak, külső eszközöket használhatnak és több lépést hajthatnak végre. Ez adja az erejüket — és ugyanez növeli a támadási felületet is.

De valójában miről szól?

Arról, hogy az agenteknél új biztonsági kérdés jelenik meg: Ki beszél az AI-hoz? Mert nem csak a felhasználó. Beszél hozzá: egy README, egy kódfájl, egy komment, egy issue, egy weboldal, egy eszköz válasza. Ha ezek valamelyike olyan szöveget tartalmaz, amit az agent utasításként értelmez, kialakulhat az úgynevezett prompt injection. A probléma szerkezete nagyon egyszerű: külső tartalom → agent elolvassa → utasításként értelmezi → eszközt használ → valódi hatás Ezért veszélyesebb az agentikus környezet, mint egy sima chatbot. Egy chatbot rossz esetben furcsát mond. Egy agent ugyanebből a hibából már parancsot is futtathat.

Hol a határ?

Egy proof-of-concept nem azt jelenti, hogy minden Claude Code- vagy Codex-használat automatikusan veszélyes. A különböző agentrendszerek eltérő jogosultsági, sandbox- és engedélyezési megoldásokat használnak. A kutatások és biztonsági anyagok inkább azt mutatják meg, hogy az utasítás és adat összekeveredése strukturális támadási felület, különösen akkor, ha az agent külső tartalmat olvas és közben eszközhasználati joggal is rendelkezik. Tehát: prompt injection ≠ automatikus rendszerfeltörés de: prompt injection + hozzáférés + végrehajtási jog = valódi kockázat. És valójában miről szól ez nekünk? Arról, hogy az agentek korszakában már nem elég azt kérdezni: „Mit tud az AI?” Azt is kérdeznünk kell: „Ki adhat neki utasítást?” Mert ha egy rendszer képes cselekedni, akkor az egyik legfontosabb határ nem az intelligenciája lesz. Hanem az utasítási joga.

Mit vigyél magaddal?

Ha egy AI-agent kódot, webet vagy dokumentumokat olvas, kérdezd meg: Melyik tartalmat tekinti adatnak? Melyiket utasításnak? Mit tehet utána? És mihez kell még emberi jóváhagyás?

Források