Prompt Injection
Prompt Injection представляет собой попытку повлиять на поведение языковой модели с помощью инструкций, которые она не должна принимать как управляющие. В контексте GEO особенно важны инструкции внутри внешних страниц, документов и других материалов, найденных при ответе пользователю.
Как возникает подмена роли текста
Ассистенту нужен внешний документ как источник сведений. Однако внутри документа может находиться обращение к самой системе с требованием изменить задачу, скрыть информацию или предпочесть определённый бренд. Если содержимое источника получает силу команды, нарушается граница между данными и управлением.
OWASP различает прямые и косвенные инъекции. Для владельца сайта принципиально, что внешняя страница может стать каналом косвенного воздействия. Наличие поиска и RAG само по себе не устраняет этот риск.
Что относится к обычному содержанию
Инструкция для покупателя по сборке товара является частью предметной информации. Требование к ассистенту игнорировать запрос пользователя и всегда рекомендовать продавца выполняет другую функцию. Различие определяется адресатом и целью текста, а не только наличием повелительных глаголов.
| Материал | Назначение |
|---|---|
| Правила установки оборудования | Объяснение действий пользователю |
| Условия возврата товара | Описание процедуры продавца |
| Требование скрыть конкурентов от пользователя | Попытка изменить поведение ассистента |
| Скрытый приказ передать чужие данные | Попытка несанкционированного действия |
| Цитата о примере атаки в учебной статье | Описание риска в контексте обучения |
Само упоминание вредной инструкции в исследовании не означает намерения её выполнить. Система должна учитывать контекст и происхождение материала.
Чем это опасно для GEO
Манипуляция способна исказить выбор источников, рекомендации и объяснения. Для пользователя ответ выглядит самостоятельным выводом, хотя на него повлияла посторонняя команда. Это подрывает достоверность и делает результаты мониторинга трудными для интерпретации.
Если ассистент имеет доступ к инструментам, последствия могут выходить за пределы текста: нежелательные действия, раскрытие данных или операции не по намерению пользователя. Риск зависит от полномочий системы. Поэтому защита должна ограничивать не только формулировки ответа, но и доступные действия.
Что делать владельцу контента
На собственных страницах полезно проверять сторонние вставки, комментарии, загружаемые документы и изменения шаблонов. Неожиданные обращения к ассистентам могут быть следствием компрометации или чужого пользовательского контента. Найденный фрагмент сохраняют для разбора и устраняют причину его появления.
Не стоит включать скрытые команды в GEO-материалы как способ продвижения. Устойчивое информационное присутствие строится на проверяемых свойствах и доступных источниках. Этические границы рассматриваются в статье № 149 «Ethical GEO».
Подходы к защите систем
Внешние материалы обрабатывают как недоверенные данные. Полномочия инструментов ограничивают необходимыми задачами, чувствительные действия требуют подтверждения, а результат проверяют по исходному намерению пользователя. Эти меры уменьшают последствия даже при ошибке модели.
Ни один короткий запрет в системной инструкции не следует считать универсальной защитой. Нужны несколько уровней контроля и проверка на разрешённых тестовых сценариях. Публикация уязвимости или её исследование должны происходить в согласованных границах.
Как отражать случай в аудите
Сохраняют источник, контекст обнаружения и наблюдаемый эффект. Само наличие подозрительной строки не доказывает успешное воздействие, а неожиданная рекомендация не доказывает инъекцию без проверки источников. Такой разбор помогает отделять обычную ошибку ответа от попытки управления извне.
Источники
Вопросы и ответы
Как возникает подмена роли текста?
Ассистенту нужен внешний документ как источник сведений. Однако внутри документа может находиться обращение к самой системе с требованием изменить задачу, скрыть информацию или предпочесть определённый бренд.
Что относится к обычному содержанию?
Инструкция для покупателя по сборке товара является частью предметной информации. Требование к ассистенту игнорировать запрос пользователя и всегда рекомендовать продавца выполняет другую функцию.
Чем это опасно для GEO?
Манипуляция способна исказить выбор источников, рекомендации и объяснения. Для пользователя ответ выглядит самостоятельным выводом, хотя на него повлияла посторонняя команда. Это подрывает достоверность и делает результаты мониторинга трудными для интерпретации.
Что делать владельцу контента?
На собственных страницах полезно проверять сторонние вставки, комментарии, загружаемые документы и изменения шаблонов. Неожиданные обращения к ассистентам могут быть следствием компрометации или чужого пользовательского контента.
Дата обращения к источникам: 22 октября 2026 года.