--- title: "Wszystko, co czyta agent, może mu wydawać polecenia" url: "https://predictes.com/pl/blog/wszystko-co-czyta-agent-moze-mu-wydawac-polecenia" description: "Prompt injection rzadko przychodzi przez okno czatu. Przychodzi w mailu, zgłoszeniu albo na stronie, którą agent miał przeczytać, a obrona jest architektoniczna." --- # Wszystko, co czyta agent, może mu wydawać polecenia 17 kwietnia 2026·3 min czytania·predictes Większość zespołów testuje prompt injection, wpisując do okna czatu „zignoruj poprzednie instrukcje” i sprawdzając, czy agent odmówi. To rozsądny pierwszy test i celuje w najmniej prawdopodobnego napastnika. Osoba przy klawiaturze już ma dostęp; niewiele zyska, nakłaniając agenta, żeby z niego skorzystał. Napastnikiem, który się liczy, jest autor tekstu, który agent dostał do przetworzenia: przychodzącego maila, PDF-u od dostawcy, zgłoszenia serwisowego, strony z wyników wyszukiwania. Wszystko, co czyta agent, ktoś napisał, a każdy z tych autorów dostaje głos w tym samym kanale co Wasze instrukcje. OWASP Top 10 for LLM Applications wprost opisuje tę pośrednią odmianę obok bezpośredniej — i to właśnie ona trafia na produkcję. ## Powierzchnia czytania jest większa, niż ktokolwiek spisał **Każde zewnętrzne źródło to cudzy tekst.** Poczta przychodząca, zgłoszenia, wgrane dokumenty, wyniki wyszukiwania, notatki w CRM wpisane przez klientów, nazwy plików, zaproszenia w kalendarzu. Jeśli obcy może tam wpisać słowa, obcy może przez to zwrócić się do Waszego agenta. **Ukryty tekst nadal jest tekstem.** Akapity białe na białym, teksty alternatywne obrazów, metadane dokumentu, komentarze w arkuszu. Człowiek, który przeglądał dokument, ich nie widział; model czyta je z tą samą wagą co resztę. **Wyniki narzędzi też się liczą.** Pole rekordu wypełnione przez klienta jest niezaufane, choć pobrał je Wasz własny kod. Nie ma znaczenia, kto wykonał wywołanie. Znaczenie ma, kto napisał treść. **Inni agenci również.** W systemie wieloagentowym podsumowanie, które agent pomocniczy zwraca po przeczytaniu strony, jest tą stroną, tylko sparafrazowaną. Przejście przez inny model nie czyni tekstu bardziej wiarygodnym — utrudnia jedynie dostrzeżenie, skąd pochodzi. ## Trzy składniki — i jeden trzeba usunąć Prompt injection zamienia się w incydent, gdy w jednym kontekście spotykają się trzy rzeczy: niezaufana treść, dostęp do czegoś, co warto ukraść albo zmienić, i możliwość działania na zewnątrz — wysłania, opublikowania, pobrania adresu URL, zapisu tam, gdzie czytają inni. Dowolne dwie da się opanować. Wszystkie trzy razem to gotowa ścieżka eksfiltracji, która czeka tylko, aż ktoś napisze instrukcje. Wykrywanie wstrzykniętych poleceń warto robić, ale jest ono probabilistyczne: filtry i klasyfikatory obniżają skuteczność ataku, nie zamykając drzwi. Niezawodny ruch projektowy jest strukturalny. Żaden pojedynczy kontekst nie może mieć wszystkich trzech. Z kanałem wyjściaBez kanału wyjścia Automatyzacja wewnętrznaZaufane wejście, prawdziwe działania. Wystarczą zwykłe limity i logi. Niebezpieczny narożnikRozdzielcie agenta albo każde działanie na zewnątrz poddajcie zatwierdzeniu. Niska ekspozycjaNiewiele do wstrzyknięcia i nie ma dokąd tego wysłać. Analiza tylko do odczytuAgenta da się wprowadzić w błąd, ale niczego nie wyniesie. Sprawdzajcie wnioski. Tylko zaufane daneNiezaufane treści Zakładamy, że agent sięga do danych wartych ochrony. Bez tego niewiele jest do ukradzenia. ## Projekt, w którym żaden kontekst nie ma wszystkich trzech **Oddzielcie czytanie od działania.** Jeden komponent czyta niezaufany materiał i zwraca wyłącznie ustrukturyzowane pola — kategorię, kwotę, numer zamówienia — sprawdzone względem schematu. Komponent, który planuje i wywołuje narzędzia, nigdy nie widzi surowego tekstu. Swobodny tekst, który musi przejść dalej, podróżuje jako cytowana wartość i nigdy nie jest ponownie czytany jako polecenie. **Oznaczajcie skażone sesje.** Gdy do kontekstu trafi niezaufana treść, orkiestrator oznacza sesję, a narzędzia wychodzące są od tej chwili niedostępne albo wymagają zatwierdzenia. To reguła w kodzie. Nie zależy od tego, czy model cokolwiek zauważy. **Zamknijcie ciche kanały.** Eksfiltracja rzadko wygląda jak mail do napastnika. Wygląda jak wyrenderowany obrazek, którego adres niesie dane w parametrach zapytania, pomocny link, w który użytkownik ma kliknąć, pobranie adresu złożonego z prywatnych danych, komentarz w publicznym zgłoszeniu. Pobrania wychodzące idą przez listę dozwolonych adresów, odpowiedzi agenta nie renderują zdalnych obrazów, a linki prowadzą wyłącznie do znanych domen. **Pokazujcie zatwierdzającemu skutek, a nie opowieść.** Gdy zmanipulowany agent prosi o zatwierdzenie, uzasadnienie, które pisze, też powstało pod wpływem napastnika. Zatwierdzający powinien widzieć dokładnego odbiorcę, kwotę i treść, wyrenderowane przez kod z samego wywołania narzędzia, a nie relację agenta o tym, dlaczego wszystko jest w porządku. ## Testujcie powierzchnię czytania, a nie okno czatu Podłóżcie instrukcje tam, gdzie podłożyłby je prawdziwy napastnik: w testowym mailu, w PDF-ie, w polu zgłoszenia, na stronie w serwisie, który agent może przeglądać. Potem sprawdźcie, co agent zrobił, a nie co powiedział. Zachowajcie te przypadki w zestawie ewaluacyjnym, żeby aktualizacja modelu albo zmiana promptu, która z powrotem otwiera lukę, wyszła na testach, a nie w rejestrze incydentów. ## Uczciwe stanowisko Żaden dostępny dziś model nie oddziela niezawodnie poleceń od danych, a planowanie tak, jakby miał to robić następny, to zakład, którego nikt nie powinien zawierać na koszt danych klienta. Zaprojektować można to, co się stanie, gdy zawiedzie: co agent miał w zasięgu i dokąd mógł to wysłać. Tę mapę — co agent czyta, do czego sięga i dokąd może wysyłać — rysujemy jako pierwszą przy [inżynierii agentów AI](https://predictes.com/pl/services/ai-agents-engineering), zanim ktokolwiek wybierze model. - agenci AI - prompt injection - eksfiltracja danych - architektura ## Czytaj dalej - [Dostawca wycofał model. Co dalej z Waszym systemem](https://predictes.com/pl/blog/dostawca-wycofal-model-co-dalej-z-waszym-systemem) - [Baza operacyjna i lakehouse: dwie pamięci systemu AI-native](https://predictes.com/pl/blog/baza-operacyjna-i-lakehouse-dwie-pamieci-systemu-ai-native)