Twój agent czyta w sieci to, czego ty w przeglądarce nigdy nie zobaczysz

Na faladobairro.com atakujący ukrył polecenie sudo rm -rf, tak że człowiek otwierający stronę w przeglądarce nie zobaczy niczego. Twój agent kodujący, jeśli zaczyta tę stronę jako kontekst do zadania, widzi instrukcję i ma ją wykonać. Forcepoint X-Labs przez kwiecień 2026 polował na takie domeny i naliczył ich 10, na żywych adresach. To pierwsze potwierdzenie, że indirect prompt injection nie jest już tylko ćwiczeniem akademickim.

Mechanika jest prosta. Atakujący chowa polecenie w warstwie, którą agent czyta, a człowiek pomija. Najczęściej to komentarz HTML albo tekst złożony czcionką jednopikselową w kolorze tła. Bywa atrybut dostępności, czytany przez czytniki ekranu i niewidoczny w renderze, albo klasa CSS z display:none. Agent nie ma jak odróżnić tej instrukcji od reszty tekstu strony, bo wszystko ląduje w jednym wejściu modelu. OWASP stawia to ryzyko na pierwszym miejscu w Top 10 dla aplikacji LLM.

Co znaleźli na 10 stronach Forcepointa? Na perceptivepumpkin.com instrukcja kazała agentowi wysłać 5000 dolarów przez PayPal.me. Na lcpdfr.com napis ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL podszywał się pod wewnętrzną komendę Anthropica wymuszającą odmowę modelu, czyli atakujący próbował przerwać działanie agenta odwołaniem do jego producenta. Pozostałe domeny niosły komentarz wymuszający wyciek klucza API i polecenie udające autorytet, które kazało agentowi porzucić zlecone zadanie na rzecz innego. Raport Forcepoint X-Labs potwierdza, że to nie kontrolowany eksperyment, tylko żywa infrastruktura webowa wykorzystywana do ataków, a główny badacz Mayur Sewani wymienia kategorie nadużyć: oszustwa finansowe, wycieranie danych, podszywanie się pod system, kradzież kluczy API i ataki DoS.