A modell nem tesz különbséget aközött, amit te mondasz neki, és aközött, amit elolvas. Ha összefoglalót kérsz egy beérkező levélről, akkor a levél szövege ugyanúgy utasításként viselkedhet, mint a te kérésed. Nem téged kell megtéveszteni, hanem a modellt — és ehhez elég egy weboldal, egy e-mail vagy egy önéletrajz.
Ez nem elméleti kockázat. Dokumentált eseteknél a hordozó mindig olyasmi volt, amit egy cég naponta fogad: beérkező e-mail, ügyfélszolgálati jegy, webes űrlap, kép. Betörés nem kellett hozzá. És van rá ár is: egy 602 megsértett szervezetet vizsgáló 2026-os felmérésben a prompt injectiont érintő adatszivárgás átlagköltsége 5,89 millió dollár volt.
A leggyakoribb tévhit, hogy prompttal kijavítható. Nem javítható ki prompttal, és teljes megoldás sincs rá — ezt a legjobb kutatócsoportok maguk mondják ki. Ami mérhetően hat: a rétegzett védelem, és főleg az, hogy egy eltérített modell ne tudjon sokat tenni.
Az alapmechanizmusról a prompt injection alapjaicímű írás szól. A közvetlenül kapcsolódó fogalmak: least privilege, jailbreak és OWASP LLM Top 10.