Mamy nową technikę ataku na sztuczną inteligencję. PuzzleMask wykorzystuje nienaganną, naturalną prozę, by bez trudu ominąć systemy filtrujące wiodących dostawców AI, obnażając krytyczną lukę w architekturze zabezpieczeń wdrażanej w przedsiębiorstwach na całym świecie.
Do tej pory branża cyberbezpieczeństwa uczyła systemy ochronne rozpoznawania typowych oznak manipulacji – podejrzanego formatowania, emotikon czy zakodowanych ciągów znaków.
PuzzleMask ukrywa instrukcje łamiące zasady bezpieczeństwa wewnątrz płynnego, eleganckiego tekstu, który dla filtrów ochronnych wygląda jak niewinny wiersz lub fragment opowiadania.
W testach przeprowadzonych przez Check Point Research cztery wiodące systemy filtrujące – w tym Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard oraz Llama-Guard3 – nie zdołały wykryć zagrożenia ani razu, co dało napastnikom 100% skuteczności w 23 próbach.
Gdy „mądry” model ulega ukrytemu poleceniu
W nowoczesnych wdrożeniach biznesowych powszechnie stosuje się dwuetapową architekturę („gatekeeper-to-target”), składającą się z:
- Modelu-strażnik (Gatekeeper):Szybkiego i taniego modelu AI, którego zadaniem jest błyskawiczna weryfikacja na wejściu, czy zapytanie użytkownika jest bezpieczne.
- Modelu docelowego (Target):Zaawansowanego, kosztownego systemu wyposażonego w funkcje głębokiego wnioskowania oraz dostęp do narzędzi korporacyjnych i baz danych.
PuzzleMask bezwzględnie wykorzystuje przepaść technologiczną między tymi dwoma modułami. Model-strażnik, pozbawiony rozbudowanych mechanizmów analitycznych, uznaje tekst za nieszkodliwy. Z kolei potężny model docelowy (w testach: zaawansowany model wnioskujący gpt-5-thinking z interpreterem kodu) potrzebował ponad minuty głębokiego namysłu i wykonania skryptów, aby odtworzyć i zrealizować złośliwe polecenie – robiąc to aż w 94% przypadków (17 na 18 prób).
Eksperci Check Pointa podkreślają, iż PuzzleMask nie jest tzw. jailbreakiem (techniką nakłaniania modelu do zignorowania własnych zasad etycznych). To atak na zewnętrzną tarczę ochronną. Gdy strażnik zostanie zaślepiony, jedyną barierą pozostaje wewnętrzny osąd modelu docelowego.
Realne zagrożenie dla procesów biznesowych
W erze, w której przedsiębiorstwa integrują autonomicznych agentów AI i asystentów (copilotów) z krytycznymi bazami danych, systemami ERP czy firmową pocztą, konsekwencje są alarmujące. Złośliwe instrukcje mogą zostać przemycone w pozornie nieszkodliwym dokumencie PDF, wiadomości e-mail od klienta czy formularzu na stronie WWW.
Jak firmy mogą się bronić?
Badacze odpowiedzialnie zgłosili szczegóły techniki twórcom modeli: Anthropic, Meta oraz OpenAI. Zwracają też uwagę, iż jedynymi modelami, które oparły się atakowi, były systemy klasy Opus od Anthropic – prawdopodobnie dlatego, iż monitorują proces wnioskowania w czasie rzeczywistym.
Aby zneutralizować to ryzyko, organizacje powinny wdrożyć wielowarstwową strategię obrony, pozwalające na:
- Weryfikację zachowania, a nie tylko wejścia: przejście od prostej cenzury zapytań do monitorowania procesów myślowych modelu oraz działań podejmowanych przez narzędzia.
- Parafrazowanie treści: przepuszczanie zewnętrznych dokumentów przez moduł parafrazujący przed ich przetworzeniem, co niszczy ukrytą strukturę ataku.
- Zaostrzenie reguł strażników: wyczulenie modeli weryfikujących na specyficzne, samoodwołujące się konstrukcje lingwistyczne.
