Prompt injection

Varonis vroeg Copilot waarom automatisch uitvoeren onmogelijk was en kreeg de ongedocumenteerde parameter autorun=1 terug. Een klik op een link lekte inbox, wachtwoorden en agenda. Microsoft dichtte de drie gaten op 18 augustus.

Atlassian dichtte het RovoBlast-lek waarmee een geklikte link de AI-assistent Rovo data uit Jira en Confluence liet wegsluizen. Een tweede route van PromptArmor stond op 5 augustus nog open en omzeilt de websearch-knop.

Een verborgen instructie in een gedeeld Word-document laat Microsoft 365 Copilot financiële cijfers aanpassen en zichzelf naar nieuwe documenten kopiëren. Na 144 dagen coördinatie met Microsoft is er nog geen robuuste oplossing.

Prompt injection is geen hack waarbij iemand het model kraakt. Het model volgt verstopte instructies in de data die het leest, omdat het jouw opdracht niet kan onderscheiden van onvertrouwde inhoud. Zo werkt het, en zo dam je het in.

Prompten is geen jacht op magische woorden. Een prompt is alle tekst die het model ziet voordat het antwoordt, en de system prompt zet vooraan de rol en de regels. Zie zelf hoe sturen werkt.