DeepKeep odkrywa “InkJect”, nowy atak na AI, który ukrywa niebezpieczne polecenia wewnątrz obrazów

Ponieważ przedsiębiorstwa szybko przyjmują multimodalny AI zdolny do zrozumienia zarówno tekstu, jak i obrazów, badacze bezpieczeństwa odkrywają, że te potężne nowe możliwości wprowadzają równie zaawansowane nowe powierzchnie ataku. Izraelska firma bezpieczeństwa AI DeepKeep ujawniła wcześniej nieudokumentowaną technikę wizualnej iniekcji promptu o nazwie InkJect, demonstrując, że ukryte polecenia osadzone wewnątrz pozornie nieszkodliwych obrazów mogą manipulować wiodącymi modelami języka i wizji (VLM), omijając wiele zabezpieczeń zaprojektowanych do powstrzymania tradycyjnych ataków iniekcji promptu.

Według badań DeepKeep, podatność dotyczy kilku z najbardziej zaawansowanych multimodalnych modeli używanych dzisiaj, w tym OpenAI GPT-5.2 i GPT-5.4 Mini, a także Anthropic Claude Sonnet 4.6 i Claude Opus 4.5. Odkrycia ujawniają znaczącą ślepe pole w bezpieczeństwie AI: podczas gdy branża zainwestowała znacznie w ochronę interakcji opartych na tekście, o wiele mniej uwagi poświęcono warstwie rozumowania wizualnego, która coraz częściej napędza nowoczesne systemy AI.

Nowa ewolucja iniekcji promptu

Tradycyjne ataki iniekcji promptu próbują manipulować modelem AI za pomocą starannie spreparowanego tekstu, który zastępuje jego oryginalne instrukcje. W ciągu ostatnich dwóch lat czołowi dostawcy AI zainwestowali znacznie w zabezpieczenia, które wykrywają te ataki przed tym, jak modele będą mogły na nie zareagować.

InkJect idzie całkowicie inną drogą. Zamiast komunikowania się bezpośrednio za pomocą tekstu, atakujący ukrywają niebezpieczne polecenia wewnątrz obrazów, które stają się częścią normalnego przepływu pracy AI. Te obrazy mogą być przechowywane w publicznych repozytoriach GitHub, stronach dokumentacji, zasobach projektowych, diagramach lub innych zasobach wizualnych, do których asystenci kodowania AI i agenci autonomiczni rutynowo uzyskują dostęp podczas wykonywania prawidłowych zadań. Z perspektywy użytkownika nic nie wydaje się niezwykłe. AI po prostu przetwarza obraz jako kolejny element informacji kontekstowej, nieświadome, że zawiera również ukryte polecenia.

Wykorzystywanie zdolności AI do “widzenia”

To, co sprawia, że InkJect jest szczególnie skuteczny, to fakt, że atakuje jedną z najnowszych możliwości w nowoczesnych systemach AI: zrozumienie wizualne.

Modele języka i wizji wykonują zaawansowaną optyczną rozpoznawalność znaków jako część interpretacji obrazów, pozwalając im czytać tekst osadzony w diagramach, zrzutach ekranu, fotografiach i projektach interfejsu. DeepKeep odkrył, że te możliwości często przewyższają te tradycyjnych narzędzi bezpieczeństwa opartych na OCR, używanych do inspekcji przesyłanych obrazów.

Badacze zademonstrowali, że niebezpieczne polecenia mogą być ukryte za pomocą takich technik, jak biały tekst na białym tle, ekstremalnie niski kontrast liter, odkształcenie perspektywy i odkształcone typografie. Podczas gdy istniejące skanery bezpieczeństwa często nie rozpoznawały tych ukrytych poleceń, same modele AI interpretowały je bez problemu. Tworzy to niebezpieczne niezgodność, w której oprogramowanie bezpieczeństwa wnioskuje, że obraz jest nieszkodliwy, podczas gdy AI cicho wyodrębnia i wykonuje polecenia niewidoczne zarówno dla skanera, jak i użytkownika.

Niebezpieczna iniekcja pośrednia

W przeciwieństwie do wielu ataków cybernetycznych, które wymagają bezpośredniego dostępu do systemu docelowego, InkJect opiera się na tym, co badacze opisują jako pośrednią iniekcję promptu. Zamiast przesyłania złośliwego obrazu bezpośrednio do aplikacji AI, atakujący po prostu umieszcza obraz w publicznie dostępnym repozytorium lub zasobie online.

Później, gdy deweloper prosi asystenta AI o utworzenie funkcji przy użyciu tego repozytorium lub analizy jego zawartości, model automatycznie pobiera obraz jako część swojego normalnego przepływu pracy. Ukryte polecenia są przetwarzane wraz z prawidłowymi zasobami projektu bez tego, że deweloper zdaje sobie sprawę, że dodatkowe polecenia weszły do rozmowy.

Ten sposób ataku jest szczególnie niepokojący, ponieważ nowoczesne agenci AI coraz częściej pobierają zewnętrzne zasoby w sposób autonomiczny. Każde publiczne repozytorium, strona dokumentacji lub udostępniony zasób potencjalnie staje się kolejnym kanałem, przez który złośliwe polecenia mogą dotrzeć do systemu AI.

Prosta prośba o kodowanie z poważnymi konsekwencjami

DeepKeep zilustrował wpływ, używając scenariusza rozwoju oprogramowania, który wydaje się całkowicie rutynowy.

Deweloper polecił asystentowi AI wygenerowanie podstawowej strony informacyjnej. Nieświadomy deweloper, jeden z odniesionych obrazów zawierał ukryte polecenia. Zamiast wyprodukowania tylko żądanej strony, AI cicho dodało w pełni funkcjonalny system logowania członków wraz z poświadczeniami administratora i logiką uwierzytelniania backendu.

Strona funkcjonowała dokładnie tak, jak oczekiwano, dając deweloperowi żadnego powodu, by podejrzewać, że dodatkowy kod został wstawiony. Bez szczegółowej inspekcji bezpieczeństwa, nieautoryzowany backdoor mógłby łatwo zostać wdrożony do produkcji, zapewniając atakującym dostęp administracyjny, o który nikt świadomie nie prosił.

Demonstracja podkreśla, jak iniekcja promptu wizualnego różni się od wcześniejszych ataków na AI. Zamiast wpływania tylko na odpowiedzi chatbota, ukryte polecenia wizualne mogą manipulować generowanym kodem, wprowadzać luki w zabezpieczeniach, zmieniać autonomiczne przepływy pracy i potencjalnie naruszać systemy przedsiębiorstw.

Dlaczego istniejące zabezpieczenia AI pomijają atak

Badania podkreślają słabość architektoniczną w dzisiejszym krajobrazie bezpieczeństwa AI. Większość komercyjnych zabezpieczeń została zaprojektowana wokół inspekcji interakcji tekstowych przed dotarciem do modelu. W rezultacie organizacje stały się coraz bardziej skuteczne w wykrywaniu złośliwych instrukcji pisanych.

Wejścia wizualne często podążają za całkowicie innym potokiem przetwarzania.

DeepKeep odkrył, że kilka modeli pionierskich odrzuciło identyczne ataki, gdy zostały przedstawione jako tekst, ale zaakceptowało je, gdy te same polecenia zostały osadzone wewnątrz obrazu. Skutecznie atakujący mogą ominąć ochronę, po prostu zmieniając medium, przez które polecenia są dostarczane.

Ponieważ multimodalny AI staje się standardowym interfejsem dla aplikacji przedsiębiorstw, ta różnica staje się coraz bardziej istotna. Systemy bezpieczeństwa nie mogą już zakładać, że niebezpieczne polecenia docierają tylko za pomocą tekstu.

Dlaczego przedsiębiorstwa powinny zwrócić uwagę

Czas badań DeepKeep odzwierciedla znacznie większą zmianę zachodzącą w całym AI przedsiębiorstw. Prognozy branżowe sugerują, że multimodalne systemy zdolne do zrozumienia obrazów, dokumentów, wideo i tekstu staną się standardem we wszystkich dziedzinach, takich jak rozwój oprogramowania, usługi finansowe, opieka zdrowotna, produkcja, obsługa klienta i automatyzacja biznesu.

W przeciwieństwie do chatbotów konsumenckich, wiele systemów AI przedsiębiorstw działa z podniesionymi uprawnieniami. Pobierają dokumentację własnościową, piszą oprogramowanie, wykonują kod, wywołują interfejsy API, współpracują z infrastrukturą chmurową, analizują dokumenty poufne i coraz częściej podejmują decyzje w imieniu użytkowników. Ukryte polecenia osadzone w treści wizualnej reprezentują więc znacznie więcej niż akademicką ciekawość – wprowadzają nową kategorię ryzyka bezpieczeństwa przedsiębiorstw, które mogą wpływać na rzeczywiste systemy.

Podejście DeepKeep do bezpieczeństwa AI

Założona w 2021 roku DeepKeep skupiła się wyłącznie na zabezpieczaniu AI przez cały jego cykl życia, od oceny i testowania modelu po wdrożenie i ochronę w czasie wykonywania. Zamiast koncentrować się wyłącznie na dużych modelach języka, platforma firmy jest zaprojektowana do zabezpieczania multimodalnych systemów AI, autonomicznych agentów AI, aplikacji wizji komputerowej i wdrożeń AI przedsiębiorstw.

Ich platforma bezpieczeństwa łączy wiele warstw ochrony, w tym zapórę ogniową AI, która monitoruje inferencję w czasie rzeczywistym, automatyczne testy penetracyjne AI, które proaktywnie wyszukują podatności przed wdrożeniem, skaner agenta AI, który analizuje autonomiczne przepływy pracy w celu wykrycia ścieżek eksploatacji, możliwości skanowania modelu, które oceniają łańcuchy dostaw AI pod kątem ryzyka bezpieczeństwa, oraz AI Lens, który zapewnia organizacjom wgląd w to, jak pracownicy i aplikacje używają AI w całym przedsiębiorstwie.

Podczas gdy organizacje kontynuują integrację AI z krytycznymi procesami roboczymi, strategia DeepKeep odzwierciedla rosnące uznanie, że zabezpieczanie AI wymaga ochrony każdego etapu, jak modele otrzymują, przetwarzają i reagują na informacje – a nie tylko filtrowanie promptów wprowadzanych przez użytkowników.

Następna granica bezpieczeństwa AI

InkJect prawdopodobnie zostanie zapamiętany jako coś więcej niż tylko kolejna technika iniekcji promptu. Podkreśla, jak szybka ewolucja multimodalnego AI fundamentalnie zmienia krajobraz bezpieczeństwa cybernetycznego.

Podczas gdy modele stają się coraz bardziej zdolne do “widzenia”, rozumowania, pobierania informacji i działania w sposób autonomiczny, atakujący naturalnie będą szukać nowych sposobów na wykorzystanie każdej modalności, którą te systemy rozumieją. Obrazy, diagramy, pliki PDF, strony internetowe i inne zasoby wizualne mogą wszystkie stać się pojazdami dla ukrytych poleceń, których istniejące narzędzia bezpieczeństwa mogą nigdy nie wykryć.

DeepKeep odpowiedzialnie ujawnił swoje odkrycia firmom OpenAI i Anthropic, dając im okazję do wzmocnienia ochrony przed tym nowo zidentyfikowanym wektorem ataku. Czy InkJect stanie się pierwszym przykładem znacznie szerszej klasy multimodalnych ataków iniekcji promptu, pozostaje nieznane, ale jego odkrycie służy jako terminowy przypomnienie, że bezpieczeństwo AI musi ewoluować równie szybko, jak sam AI. Podczas gdy modele uczą się rozumieć świat wizualny z coraz większą finezją, ich obrona będzie wymagać systemów bezpieczeństwa zdolnych do tego samego.