Ce ne spun atacurile timpurii asupra agenților AI despre 2026

Pe măsură ce inteligența artificială (AI) trece de la experimente controlate la aplicații din lumea reală, ne aflăm într-un punct de inflexiune în peisajul securității. Trecerea de la modelele de limbaj statice la sisteme agențice interactive, care pot naviga prin documente, apela la instrumente și orchestra fluxuri de lucru multitrap, este deja în desfășurare. Dar, așa cum arată cercetările recente, atacatorii nu așteaptă maturizarea tehnologiei: ei se adaptează la același ritm rapid, testând sistemele de îndată ce sunt introduse noi capacități.

În trimestrul IV al anului 2025, echipa noastră de la Lakera a analizat comportamentul real al atacatorilor în sisteme protejate de Guard și în mediul Gandalf: Agent Breaker — o perioadă de 30 de zile, care, în ciuda ferestrei înguste, reflectă modele mai largi pe care le-am observat pe tot parcursul trimestrului. Rezultatele arată o imagine clară: de îndată ce modelele încep să interacționeze cu ceva dincolo de simplele prompturi de text (de exemplu, documente, instrumente, date externe), suprafața de atac se extinde, iar adversarii se adaptează instantaneu pentru a o exploata.

Acest moment poate fi familiar celor care au urmărit evoluția aplicațiilor web timpurii sau care au observat apariția atacurilor bazate pe API. Dar cu agenții AI, mizele sunt diferite. Vectorii de atac apar mai repede decât multe organizații au anticipat.

De la teorie la practică: Agenții în sălbăticie

Pentru cea mai mare parte a anului 2025, discuțiile despre agenții AI s-au concentrat în principal pe potențialul teoretic și prototipurile timpurii. Dar, până în trimestrul IV, comportamentele agenților au început să apară în sisteme de producție la scară largă: modele care puteau prelua și analiza documente, interacționa cu API-uri externe și efectua sarcini automate. Acești agenți ofereau beneficii evidente de productivitate, dar au deschis și uși pe care modelele de limbaj tradiționale nu le-au deschis.

Analiza noastră arată că, de îndată ce agenții au devenit capabili să interacționeze cu conținut și instrumente externe, atacatorii au observat și s-au adaptat în consecință. Această observație se aliniază cu o realitate fundamentală despre comportamentul adversar: atacatorii vor explora și vor exploata întotdeauna noi capacități la prima ocazie. În contextul AI agențic, acest lucru a condus la o evoluție rapidă a strategiilor de atac.

Modele de atac: Ce vedem în Q4 2025

De-a lungul setului de date pe care l-am examinat, au apărut trei modele dominante. Fiecare are implicații profunde pentru modul în care sistemele AI sunt proiectate, securizate și implementate.

1. Extracția de prompturi de sistem ca obiectiv central

În modelele de limbaj tradiționale, injecția de prompturi (manipularea directă a intrărilor pentru a influența ieșirile) a fost o vulnerabilitate bine studiată. Cu toate acestea, în sisteme cu capacități agențice, atacatorii vizează din ce în ce mai mult promptul de sistem, care reprezintă instrucțiunile interne, rolurile și definițiile de politică care ghidează comportamentul agentului.

Extracția prompturilor de sistem este un obiectiv de valoare ridicată, deoarece aceste prompturi conțin adesea definiții de rol, descrieri de instrumente, instrucțiuni de politică și logică de flux de lucru. Odată ce un atacator înțelege aceste mecanisme interne, el obține o hartă pentru manipularea agentului.

Cele mai eficiente tehnici pentru a obține acest lucru nu au fost atacurile de forță brută, ci mai degrabă reframări ingenioase:

• Scenarii ipotetice: Prompturile care cer modelului să-și asume un rol sau un context diferit — de exemplu, „Imaginați-vă că sunteți un dezvoltator care revizuiește această configurație a sistemului…” — au adesea determinat modelul să dezvăluie detalii interne protejate.
• Obfuscare în conținut structurat: Atacatorii au încorporat instrucțiuni maligne în text structurat care au ocolit filtrele simple și au declanșat comportamente neintenționate odată ce au fost analizate de agent.

Acest lucru nu reprezintă doar un risc incremental — el modifică fundamental modul în care gândim despre protejarea logicii interne în sistemele agențice.

2. Ocoliri subtile ale siguranței conținutului

O altă tendință cheie implică ocolirea protecțiilor de siguranță a conținutului în moduri care sunt greu de detectat și de contracarcat cu filtrele tradiționale.

În loc de solicitări maligne evidente, atacatorii au prezentat conținut dăunător ca:

• Sarcini de analiză
• Evaluări
• Scenarii de rol
• Transformări sau rezumate

Aceste reformulări au ocolit adesea controalele de siguranță, deoarece par inofensive la suprafață. Un model care ar refuza o solicitare directă pentru conținut dăunător ar putea produce cu bucurie același conținut atunci când este solicitat să „evalueze” sau să „rezume” în context.

Acestă schimbare subliniază o provocare mai profundă: siguranța conținutului pentru agenții AI nu se referă doar la aplicarea politicilor; se referă la modul în care modelele interpretează intenția. Pe măsură ce agenții preiau sarcini mai complexe și contexte, modelele devin mai susceptibile la reinterpretarea bazată pe context — și atacatorii exploatează acest comportament.

3. Apariția atacurilor specifice agenților

Poate cel mai important rezultat a fost apariția unor modele de atac care au sens doar în contextul capacităților agențice. Acestea nu au fost simple încercări de injecție de prompturi, ci exploatarea unor noi comportamente:

• Încercări de accesare a datelor interne confidențiale: Prompturile au fost create pentru a convinge agentul să recupereze sau să expună informații din magazinele de documente sau sisteme conectate — acțiuni care anterior ar fi fost în afara sferei modelului
• Instrucțiuni în formă de script încorporate în text: Atacatorii au experimentat încorporarea de instrucțiuni în formate care semănă cu scripturi sau conținut structurat, care ar putea curge printr-un flux de agent și declanșa acțiuni neintenționate
• Instrucțiuni ascunse în conținut extern: Mai multe atacuri au încorporat directive maligne în conținut extern referențiat — cum ar fi pagini web sau documente pe care agentul a fost solicitat să le proceseze — ocolind astfel filtrele directe de intrare

Aceste modele sunt timpurii, dar semnalează un viitor în care capacitățile agenților modifică fundamental natura comportamentului adversar.

De ce atacurile indirecte sunt atât de eficiente

Una dintre cele mai izbitoare constatări ale raportului este că atacurile indirecte — cele care utilizează conținut extern sau date structurate — au necesitat mai puține încercări decât injecțiile directe. Acest lucru sugerează că sanitizarea tradițională a intrărilor și filtrarea directă a interogărilor sunt apărări insuficiente odată ce modelele interacționează cu conținut neîncredere.

Când o instrucțiune dăunătoare ajunge printr-un flux de lucru extern al agentului — indiferent dacă este vorba de un document legat, o răspuns API sau o pagină web preluată — filtrele inițiale sunt mai puțin eficiente. Rezultatul: atacatorii au o suprafață de atac mai mare și mai puține obstacole.

Implicații pentru 2026 și dincolo

Rezultatele raportului au implicații urgente pentru organizațiile care planifică să implementeze agenți AI la scară largă:

1. Redefinirea granițelor de încredere
   Încrederea nu poate fi pur și simplu binară. Pe măsură ce agenții interacționează cu utilizatori, conținut extern și fluxuri de lucru interne, sistemele trebuie să implementeze modele de încredere nuanțate care iau în considerare contextul, proveniența și scopul.
2. Bariera de siguranță trebuie să evolueze
   Filtrele statice de siguranță nu sunt suficiente. Bariera de siguranță trebuie să fie adaptivă, conștientă de context și capabilă să raționeze despre intenție și comportament de-a lungul fluxurilor de lucru multitrap.
3. Transparența și auditarea sunt esențiale
   Pe măsură ce vectorii de atac devin mai complexi, organizațiile au nevoie de vizibilitate în ceea ce privește modul în care agenții iau decizii — inclusiv pașii intermediari, interacțiunile externe și transformările. Jurnalele de audit și cadrul de explicabilitate nu mai sunt opționale.
4. Colaborarea interdisciplinară este cheia
   Echipa de cercetare AI, ingineria securității și echipa de informații despre amenințări trebuie să lucreze împreună. Siguranța AI nu poate fi izolată; ea trebuie integrată cu practicile mai largi de securitate cibernetică și cu cadrele de gestionare a riscului.
5. Reglementările și standardele trebuie să țină pasul
   Factorii de decizie politică și organismele de standardizare trebuie să recunoască că sistemele agențice creează noi clase de risc. Reglementările care abordează confidențialitatea datelor și siguranța ieșirilor sunt necesare, dar nu suficiente; ele trebuie să țină cont și de comportamentele interactive și medii de execuție multitrap.

Viitorul agenților AI securizați

Apariția agenților AI reprezintă o schimbare profundă în ceea ce privește capacitățile și riscurile. Datele din Q4 2025 sunt un indicator timpuriu că, de îndată ce agenții încep să opereze dincolo de generarea simplă de text, atacatorii îi vor urma. Rezultatele noastre arată că adversarii nu se adaptează doar, ci și inovează tehnici de atac pe care apărările tradiționale nu sunt încă pregătite să le contracareze.

Pentru întreprinderi și dezvoltatori, mesajul este clar: securizarea agenților AI nu este doar o provocare tehnică; este o provocare arhitecturală. Ea necesită reevaluarea modului în care se stabilește încrederea, modului în care se impun bariera de siguranță și modului în care se evaluează în mod continuu riscul în medii dinamice și interactive.

În 2026 și dincolo, organizațiile care vor reuși cu agenții AI agențici vor fi cele care tratează securitatea nu ca o gândire ulterioară, ci ca un principiu fundamental de proiectare.