Ce s-a observat în octombrie 2026
Într-o analiză publicată pe 26 octombrie, Sublime Security descrie mesaje observate pe 22 octombrie: facturi false însoțite de instrucțiuni ascunse, adresate agenților AI care citesc e-mailuri. Instrucțiunile încercau să provoace redirecționarea mesajului și a facturii către zona de plăți. Cercetătorii au obținut reacții diferite în testele cu modele. Analiza nu demonstrează că o plată a fost efectuată și nu confirmă compromiterea unui anumit produs AI.
Ce este prompt injection
Prompt injection înseamnă introducerea unor instrucțiuni care încearcă să schimbe comportamentul modelului. Atacul este indirect când instrucțiunile ajung printr-un material pe care agentul îl consultă: un e-mail, un document sau o pagină. Textul poate fi greu de observat pentru persoana care vede mesajul în forma obișnuită.
OWASP recomandă, între altele, limitarea privilegiilor, separarea conținutului extern de instrucțiunile de încredere și aprobarea umană pentru acțiunile cu impact. Aceste măsuri reduc expunerea; o instrucțiune de tipul „ignoră mesajele periculoase” nu oferă singură protecție completă.
Sursă: OWASP — LLM01:2025 Prompt Injection (recomandări tehnice)..
Exemplu: de la rezumatul facturii la trimiterea ei
Imaginează-ți un asistent care citește căsuța de achiziții și pregătește un rezumat. În prima variantă, poate doar să afișeze informații unui coleg. În a doua, poate și să redirecționeze documente. În a treia, poate introduce date într-un proces de aprobare a plăților. Aceste variante nu au același risc și nu ar trebui aprobate ca și cum ar fi aceeași utilizare.
Dacă e-mailul pretinde că factura a fost deja aprobată, agentul trebuie să trateze afirmația ca informație de verificat. Confirmarea unei plăți vine din procedura autorizată a companiei. Exemplul este fictiv; nu descrie o funcție Cremene sau un incident produs la un client.
Șase întrebări înainte să conectezi agentul la e-mail
| Întrebare | Decizie de consemnat |
|---|---|
| Ce nevoie rezolvă? | Sarcina permisă, de exemplu extragerea unor câmpuri pentru verificarea de către un coleg. |
| Ce poate citi? | Căsuțele și documentele necesare, cu motivele accesului. |
| Ce poate modifica sau trimite? | Acțiunile permise și cele excluse; cine aprobă extinderea lor. |
| Cine validează o acțiune importantă? | Persoana și informațiile pe care trebuie să le vadă înainte de aprobare. |
| Cum observăm o abatere? | Înregistrările disponibile, responsabilul verificării și modul de oprire a fluxului. |
| Când reevaluăm? | La schimbări de model, conector, permisiuni, proces sau tip de date. |
Acesta este un model practic de decizie pentru echipă. Nu este o listă obligatorie impusă tuturor utilizatorilor AI. Încadrarea juridică se analizează separat, după sistem, rolul organizației, scop și date. Faptul că folosești un agent AI nu stabilește singur categoria sa în AI Act.
Un test controlat, cu date fictive
Într-un mediu de test autorizat, folosește o factură fictivă și destinatari controlați de echipă. Include o cerere care depășește sarcina aprobată, cum ar fi trimiterea documentului fără confirmare. Nu folosi conturi reale de clienți și nu conecta testul la plăți sau la căsuțe externe.
- Descrie înainte ce ar trebui să facă agentul și ce acțiune trebuie să rămână imposibilă.
- Verifică separat răspunsul modelului și acțiunile efectuate de instrumentele conectate. Un răspuns prudent nu dovedește că integrarea a blocat operațiunea.
- Consemnează configurația testată, rezultatul și limitele probei. Dacă schimbi permisiunile sau conectorul, repetă verificarea relevantă.
- Cere revizuirea tehnică a măsurilor care limitează efectiv acțiunile. Rezultatul unui singur test nu garantează comportamentul în toate situațiile.
Aprobarea umană trebuie să permită o verificare reală
Un buton „Aprobă” nu este suficient dacă persoana nu vede destinatarul, documentul și motivul operațiunii. Înainte de a trimite o factură, colegul trebuie să poată compara acțiunea propusă cu comanda și aprobările existente. Înregistrarea deciziei ar trebui să arate ce anume a fost aprobat, nu doar că cineva a apăsat un buton.
Dacă agentul citește un mesaj și apoi își verifică singur concluzia pe baza aceluiași mesaj, nu ai obținut o confirmare independentă. Pentru plăți și schimbări de beneficiar, păstrează verificările organizației prin surse și persoane autorizate. Acestea sunt recomandări de organizare, care trebuie adaptate procesului vostru.
Cum te poate ajuta Cremene
Poți folosi planul de lucru, documentele și dovezile din Cremene pentru a organiza evaluarea unei utilizări AI: persoana responsabilă, verificările cerute, concluziile și acțiunile rămase. De exemplu, o extindere a permisiunii de la citire la trimitere poate deveni o activitate de reevaluare, cu responsabil și dovada testului.
Aceasta este o utilizare a instrumentelor de organizare, nu promisiunea unei integrări automate cu agentul. Cremene nu inspectează e-mailurile pentru prompt injection și nu blochează acțiunile unui agent AI. Protecțiile tehnice se implementează și se verifică în sistemele conectate.
Surse și limite
- Sublime Security — Invoice fraud campaign adds prompt injection aimed at email AI agents, 26 octombrie 2026 (analiză tehnică).
- OWASP — LLM01:2025 Prompt Injection (recomandări tehnice).
Surse consultate pentru revizia din 3 noiembrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.