Mi ez, üzleti nyelven
Az AI-eszközeid nem tesznek különbséget aközött, amit te mondasz nekik, és aközött, amit elolvasnak. Ha az asszisztens összefoglalja a beérkező leveleidet, akkor a levél szövege ugyanúgy utasításként viselkedhet, mint a te kérésed.
Ez nem elméleti. Nézd meg, mi volt a hordozó a dokumentált eseteknél:
| Mikor | Mi volt a hordozó | Mi szivárgott |
|---|---|---|
| 2025. június | beérkező e-mail egy irodai asszisztensben | a rendszer által elérhető céges adat |
| 2025. június | ügyfélszolgálati ticket | az adat a publikus ticketválaszban |
| 2025. szeptember | lead-adat egy webes űrlapból | ügyféladat, képhivatkozáson keresztül |
| 2025. október | egy kép (a szövegét képbe rejtve) | böngésző-agentek e-mail-címeket adtak ki |
| 2026. január | beérkező e-mail | pénzügyi, jogi és egészségügyi adat egy támadói űrlapra |
| 2026. május | e-mail külső képpel | a kép betöltése vitte ki az adatot |
Mind a hat esetben a hordozó olyasmi volt, amit a cég naponta fogad: e-mail, ticket, űrlap, kép. Nem kellett hozzá betörés. Az „idegen szöveg" nem egy hacker üzenete — az a bejövő üzleti kommunikáció.
A 2025 nyarán felfedezett, legismertebb ilyen sérülékenységet a hivatalos nyilvántartás így írja le: parancsbeillesztés, amely lehetővé teszi, hogy jogosulatlan támadó információt szivárogtasson ki hálózaton keresztül. A gyártó a saját besorolásában kritikusnak minősítette.
Mennyibe kerül — az első pénzben kifejezett szám
Egy 2026-os, 602 megsértett szervezetet vizsgáló felmérés először bontotta költségre az AI-hoz kapcsolódó incidenstípusokat:
| Incidenstípus | Átlagos szivárgási költség |
|---|---|
| adat kinyerése a modellből | 6,07 millió dollár |
| prompt injection | 5,89 millió dollár |
| AI-munkaterhelést érintő felhő-félrekonfigurálás | 5,25 millió dollár |
| (összehasonlításul: a globális átlag) | 4,99 millió dollár |
A jelentés magyarázata arra, miért drágább az átlagnál: ha a modell megromlik, vele romlik minden üzleti folyamat, ami rá támaszkodik.
A kontextus, ami nélkül a szám félrevezet: AI-t érintő szivárgást a vizsgált szervezetek 21%-a jelentett — nem a többség. Viszont ezek 92%-ánál hiányzott a megfelelő hozzáférés-szabályozás. A jelentés saját összegzése az okokról a legfontosabb mondat az egész témában: a kiváltó okok jellemzően strukturálisak voltak — kapcsolódó felületek, alkalmazások és felhőbeállítások hibái —, ami irányítási, nem modellkockázati problémára utal.
Üzleti nyelven: a baj nem attól lett, hogy rossz modellt választottak, hanem attól, hogy az agent túl sok mindenhez fért hozzá.
Van-e teljes megoldás? Nincs — és ezt a kutatók mondják
Ez a rész azért fontos, mert a piac az ellenkezőjét árulja.
A Google DeepMind csapata 2025-ben nyolc védekezést mért három támadástípussal, és a saját tanulmányukban ezt írják: az adverzáriális tanítás nem teszi immúnissá a modellt, és a sikeres támadások továbbra is lehetségesek, különösen nagyobb támadói ráfordítás, új technikák vagy célzott kihasználás esetén. Ezt szerintük egy mélységi védelmi stratégia egyik rétegének kell tekinteni, nem megoldásnak.
A legjobb ismert architekturális megoldás szerzői (ugyanabból a körből, egy svájci egyetemmel közösen) maguk írják le, hogy a rendszerük nem véd a mellékcsatornás támadások ellen, és nem véd az olyan támadások ellen, amelyek nem az adatáramlást manipulálják — például ha a támadó azt éri el, hogy az asszisztens mást foglaljon össze, mint ami a levélben áll, vagy adathalász linket ajánljon.
Az egyik incidenst feltáró kutatócsoport még általánosabban fogalmaz: ez nem egy adott szoftver kódhibája, hanem architekturális probléma, amit rendszerszinten kell kezelni — és a legmodernebb, biztonságra hangolt modellek is sérülékenyek rá.
És a legrövidebb megfogalmazás, a terület legismertebb szakmai listájának hivatalos szövegéből: a modellek működésének valószínűségi természete miatt nem világos, hogy létezik-e bolondbiztos megelőzési módszer a prompt injectionre. Ez a lista 2023 óta minden kiadásában az első helyen tartja a prompt injectiont — egy megoldott probléma nem marad három éven át listavezető.
Amit viszont mérve lehet: a rétegzés működik
A DeepMind-mérés legtanulságosabb számai:
| Elrendezés | Támadási sikerráta |
|---|---|
| régebbi modell, védelem nélkül, szokásos teszten | 92% |
| adverzáriálisan finomhangolt modell, szokásos teszten | 18% |
| ugyanaz a finomhangolt modell, adaptív támadáson (a támadó ismeri a védelmet) | 94,6% |
| ugyanaz + egy külső figyelmeztető réteg, adaptív támadáson | 6,2% |
Két dolog olvasható ki ebből.
Az egyik: a rétegzés tényleg hat. 94,6%-ról 6,2%-ra — de csak a modellszintű javítás és a külső védelem együtt. Egyik önmagában nem elég.
A másik, és ez üzletileg fontosabb: ugyanaz a modell 18% és 94,6% között mozog attól függően, hogyan mérik. A kutatók saját, önkritikus mondata szerint ha nem végeztek volna adaptív támadásokat, tévesen arra jutottak volna, hogy a modell robusztusabb, mint amilyen valójában.
Fordítsuk le annak, aki „AI-biztonsági" terméket készül venni: egy gyártó, aki csak statikus tesztkészleten méri a saját szűrőjét, rendszeresen ötször-hatszor jobb eredményt fog kapni, mint amit valódi támadóval szemben elérne. Ha a gyártó nem írja le, hogy adaptív támadással mért, a száma nem mond semmit.
Két további mért adat, ami a szokásos ígéreteket árnyalja:
- A tartalomszűrő gyenge. Egy szűrő 10%-os hamis riasztási rátára kalibrálva: a legjobb támadás még mindig több mint 90%-ban átment.
- A védelemnek ára van a hasznosságban. A legjobb architekturális megoldás a mérésben a feladatok 77%-át oldotta meg bizonyítható biztonsággal, szemben a védelem nélküli rendszer 84%-ával. Aki azt ígéri, hogy a védelem ingyen van, téved.
A csapda, ami minden védelem végén ott van
A fenti architekturális megoldás szerzői külön kiemelik a „felhasználói fáradtság" problémáját. A rendszer ugyanis a biztonsági szabályt sértő műveleteket a gyakorlatban nem blokkolja, hanem felhasználói megerősítést kér.
A legjobb ismert technikai védelem is egy emberi jóváhagyó gombnál végződik. Aki naponta ötvenszer nyomja meg, az nem véd semmit.
Ez nem érv a jóváhagyás ellen. Érv amellett, hogy ritka legyen. Hogy hova érdemes tenni, arról az ember a folyamatbancímű írás szól részletesen.
Öt döntés, amit egy tízfős cég is meg tud hozni
A szakirodalom egy egyszerű modellt használ: három összetevő kell egy sikeres adatszivárgáshoz — hozzáférés privát adathoz, kitettség nem megbízható tartalomnak, és lehetőség kifelé kommunikálni. Bármelyik kettő önmagában biztonságos. Ebből következik az öt döntés:
1. Ne adj az agentnek egyszerre hozzáférést a postafiókhoz és a nyílt internethez. Ha összefoglalót írat a beérkező levelekből, akkor ne tudjon utána semmit kiküldeni. A 2025 júniusi és a 2026 januári eset is pontosan ez volt.
2. Szerepkör-alapú hozzáférés és többfaktoros hitelesítés az AI-integrációkra is. Az agent ne a cégvezető jogosultságával fusson. Ez az egyetlen pont, amire kemény szám van: az AI-t érintő incidensek 92%-ánál ez hiányzott.
3. Emberi jóváhagyás minden pénzt, szerződést vagy külső kommunikációt érintő lépéshez — de ritkán. Lásd a felhasználói fáradtságot.
4. A bejövő tartalom nem utasítás. Ügyfélticket, e-mail, PDF, weboldal, naptármeghívó — ezek adatok. Ha a rendszer végrehajthatja őket utasításként, az maga a hiba.
5. Naplózd, mit csinált az agent, és nézd is meg. A szivárgási költség 63%-a a felderítésből, az eszkalációból és az elvesztett üzletből jön — ezen a felderítési idő javít.
A leghasznosabb keretmondat, amit a terület szakmai közössége megfogalmazott: ne olyan modellt próbálj építeni, amit nem lehet átverni; építsd köré a rendszert úgy, hogy amikor átverik — és át fogják —, ne törjön el semmi fontos.
Mit ne csinálj
Ne vegyél szűrőt megoldásként. A mért adat szerint 10%-os hamis riasztás mellett is több mint 90%-ban átment a támadás. Rétegnek jó, megoldásnak nem.
Ne dőlj be a nagy számugrásnak. 92%-ról 18%-ra — ez igaz, csak nem adaptív támadáson. Kérdezd meg a gyártót, hogyan mért.
Ne ess pánikba sem. Az AI-t érintő szivárgás a vizsgált szervezetek egyötödét érintette, nem a többségét. A probléma ritka és drága, nem gyakori és katasztrofális.
Amit érdemes elvinni
A prompt injection nem hibás kód, hanem architekturális tulajdonság: a gép nem tud különbséget tenni az utasítás és az elolvasott szöveg között. Teljes megoldás nincs, és ezt a legjobb kutatócsoportok maguk mondják ki.
Ami van: a rétegzés mérhetően hat, a hozzáférés-szabályozás a legjobban megtérülő egyetlen lépés, és a három összetevő szétválasztása — privát adat, idegen tartalom, kimenő csatorna — egy tízfős cégnél is meghozható döntés.
A mechanizmus technikai részleteiről a prompt injection alapjaiszól, az agentek jogosultságainak szűkítéséről pedig a legkevesebb jogot kapó agent.