Как браузер незаметно меняет запросы к нейросети

Диалог с нейросетью может измениться еще до того, как запрос попадет к модели. Расширение браузера, имеющее доступ к содержимому страницы, может прочитать введенный текст, изменить его или добавить скрытую инструкцию. О такой схеме, известной как Man-in-the-Prompt, «Газете.ру» рассказала специалист по информационной безопасности компании «Киберпротект» Екатерина Киприянова.

По ее словам, пользователь при этом находится на настоящем сайте ИИ-сервиса: запрос уходит, ответ приходит, привычных признаков поддельной страницы нет. Но модель получает уже измененный текст и может, например, предложить подставленную ссылку или включить в ответ сведения, о которых пользователь не спрашивал. Взламывать сам сервис для этого не требуется. Есть и риск утечки: расширение с подходящими правами может получить доступ к фрагментам документов, переписке или коду, которые человек вставил в запрос. Если измененный ответ использовать без проверки, неверная инструкция может попасть в рабочий документ, ссылка — в переписку, а небезопасный код — в программный продукт.

Киприянова отметила, что особенно серьезные последствия возможны при использовании ИИ-агента. В отличие от обычного чат-бота он может работать с файлами, почтой и другими сервисами, а иногда выполнять действия от имени пользователя. Подмененная инструкция в такой ситуации влияет уже не только на текст ответа.

Эксперт советует проверить установленные в рабочем браузере расширения, удалить ненужные и посмотреть, какие разрешения запрашивают оставшиеся. Если простому дополнению нужен доступ ко всем посещаемым сайтам, стоит выяснить зачем. В запросы к ИИ лучше не вставлять лишние персональные и конфиденциальные данные, а полученные ссылки, код и рабочие инструкции проверять перед использованием, заключила Киприянова.