Czym jest prompt injection w kontekście poczty e-mail?

To technika, w której ukryte w treści wiadomości lub załącznika polecenia próbują zmienić zachowanie asystenta AI przetwarzającego tę pocztę. Atakujący liczy na to, że model potraktuje je jak zwykłe instrukcje.

Dlaczego ukryte polecenia są trudne do zauważenia?

Mogą być zapisane w komentarzach HTML, w tekście niewidocznym dla oka dzięki CSS, w kodowaniu Base64 lub przy użyciu znaków zerowej szerokości. Człowiek widzi wtedy zwykły mail, a asystent odczytuje cały kod.

Czy znane są już ofiary tej kampanii?

W dostępnych materiałach nie potwierdzono żadnych ofiar ani szkód, a skali kampanii nie podano. Oznacza to, że ryzyko jest realne, ale jego zasięg pozostaje niejasny.

Jak chronić się przed takim atakiem w firmie?

Traktuj wyniki asystenta AI dotyczące poczty jako niezweryfikowane, nie pozwalaj mu samodzielnie wykonywać przelewów i zmieniać danych płatności oraz zawsze potwierdzaj takie zmiany innym kanałem kontaktu.

Phishing ukryty dla AI: polecenia w mailach i załącznikach

Kampania phishingowa kieruje tę samą wiadomość do człowieka i asystenta AI. Sprawdź, jak działają ukryte polecenia i jak chronić skrzynkę przed prompt…

Kampania phishingowa łącząca załącznik z ukrytymi poleceniami dla asystentów AI to atak, w którym jedna wiadomość e-mail ma wpływać jednocześnie na odbiorcę-człowieka i na model językowy, który pomaga mu w pracy z pocztą.

Jak działa phishing skierowany również do asystentów AI?

Wiadomość w tej kampanii wygląda zwyczajnie, ale jej treść zawiera elementy przeznaczone wyłącznie dla maszyny. Załącznik jest zabezpieczony hasłem, a hasło podano w samym tekście maila, co obniża czujność odbiorcy i pozwala ominąć część mechanizmów kontrolnych.

Ukryte instrukcje zapisano w kilku warstwach: w komentarzach HTML, w tekście niewidocznym dla użytkownika dzięki CSS, w zakodowanym fragmencie Base64 oraz w znakach zerowej szerokości. Człowiek tego nie zobaczy, ale asystent, który czyta surowy kod wiadomości, może to przetworzyć jako polecenie.

Cel ładunku jest dwojaki. Pierwszy to nakłonienie asystenta, by przedstawił mail jako autentyczny lub pilny. Drugi, poważniejszy, to przejęcie sterowania: zmiana poleceń asystenta, prośba o przelew albo wyciągnięcie danych.

Dlaczego zwykły filtr antyspamowy nie wystarcza?

Próbka opisana przez Barracudę była podszyta pod korespondencję wewnętrzną. Wskaźnik spamu zakwalifikował ją jako zaufaną, więc przeszła bez przeszkód. Z tego powodu sama ocena nadawcy i treści nie daje pełnej ochrony, gdy wiadomość trafia dalej do systemu, który ją analizuje.

Warto też zauważyć, że Od i Do wskazywały tę samą skrzynkę. To dodatkowy sygnał, że mechanizmy weryfikacji nagłówków nie zawsze wychwytują nietypowe konstrukcje.

Jakie przykłady ukrytych poleceń opisano?

Barracuda przedstawiła cztery przykłady. Należy je traktować jako techniki, a nie jako potwierdzone naruszenia.

Przykład	Ukryte polecenie	Potencjalne zagrożenie
Faktura	Zmiana danych płatności dostawcy	Przekierowanie przelewu
CV	Ocena 10/10 i natychmiastowa rozmowa	Manipulacja procesem rekrutacji
Bot wsparcia	Ujawnienie konfiguracji w trybie administratora	Wyciek wewnętrznych ustawień
Zatruta dokumentacja	Wstawienie eksfiltracji danych uwierzytelniających do kodu	Kradzież poświadczeń

Zestawienie pokazuje, że zagrożenie nie ogranicza się do poczty. Ten sam mechanizm może dotknąć rekrutacji, obsługi klienta i pracy programistów.

Czego nie wiadomo o tej kampanii?

Nie ma potwierdzonych ofiar ani szkód, a skala kampanii pozostaje nieznana. Domena pochodziła z sektora publicznego, ale jej nazwy nie podano.

Warto zwrócić uwagę na datowanie. Adres wpisu zawiera datę 7.10.2026, a na stronie widnieje znacznik zaktualizowania 6.10.2026. Rozbieżność nie została wyjaśniona, dlatego przy cytowaniu warto podawać obie daty. Omówienie w Infosecurity Magazine (Alessandro Mascellino) nosi datę 7.10.2026, a podsumowanie w The Hacker News pochodzi z 8.10.2026 i odsyła do oryginalnego wpisu Barracudy.

Jak zabezpieczyć asystentów AI przed ukrytymi poleceniami?

Najważniejsza zasada brzmi: treść od nadawcy, nawet pozornie wewnętrznego, nie powinna sterować asystentem bez kontroli. Oto kilka kroków, które można wdrożyć od razu:

Ogranicz uprawnienia asystenta. Nie pozwalaj mu wykonywać przelewów, zmieniać danych kontrahentów ani wysyłać danych bez potwierdzenia człowieka.
Przed przetwarzaniem usuń lub zneutralizuj elementy ukryte, takie jak komentarze HTML i tekst niewidoczny w CSS.
Zabezpiecz załączniki zabezpieczone hasłem. Nie otwieraj ich przez asystenta automatycznie.
Weryfikuj każdą zmianę danych płatności innym kanałem, na przykład telefonicznie, z wcześniej znanym numerem.
Ogranicz dostęp asystenta do danych uwierzytelniających i konfiguracji systemu.

Przy wdrażaniu AI w obsłudze poczty warto też dokumentować, jakie dane model widzi i jakie działania może wykonać.

Co to oznacza dla Ciebie?

Jeśli korzystasz z asystenta AI do sortowania poczty, streszczania maili lub obsługi faktur, potraktuj jego odpowiedzi jak wstępną sugestię, a nie decyzję. Szczególną ostrożność zachowaj przy wszelkich prośbach o płatność, zmianę danych i pilne działania. Najskuteczniejszą obroną jest prosta zasada: żadna zmiana finansowa nie powinna zostać wykonana wyłącznie na podstawie wiadomości e-mail, bez niezależnej weryfikacji.