Vad är promptinjektion?
Promptinjektion är en attack där text som en språkmodell läser får den att följa instruktioner som varken användaren eller systemet har avsett.
En språkmodell tar emot instruktioner och innehåll i samma flöde av text. Den saknar en säker gräns mellan det den ska göra och det den bara ska läsa, och det är den svagheten som utnyttjas.
Vid direkt promptinjektion skriver användaren själv in instruktionerna, till exempel för att kringgå reglerna i systemprompten. Vid indirekt promptinjektion ligger instruktionerna gömda i ett mejl, en webbsida eller ett dokument som modellen läser för att lösa en uppgift.
NIST beskriver båda formerna i sin översikt över attacker mot AI-system. Brittiska NCSC bedömde i december 2025 att promptinjektion kanske aldrig går att åtgärda helt, på det sätt som SQL-injektion kunde.
Så fungerar det
Ett exempel. En AI-agent ska sammanfatta dagens mejl. Ett av dem innehåller en rad i vit text som ber modellen skicka de senaste avtalen till en extern adress. För modellen ser raden ut som vilken instruktion som helst, och om agenten får skicka mejl kan den göra det.
Angriparen behöver ingen åtkomst till systemet. Det räcker att placera text där modellen kommer att läsa den, i en delad fil, på en webbsida eller i ett formulär.
Därför spelar det roll
Risken växer med det modellen får göra. En assistent som bara svarar kan ge ett felaktigt svar som någon granskar. En agent som använder verktygsanrop kan utföra en handling innan någon hinner reagera, och det som läcker är ofta just det som modellen redan hade tillgång till.
Att tänka på
Filter och tydliga instruktioner minskar risken utan att ta bort den. Det som håller är gränser utanför modellen, som minsta behörighet, godkännanden och loggning.
Pröva systemet medvetet. Med red teaming går det att se hur modellen reagerar på försök att lura den, innan någon utomstående gör det.
Vad det betyder för er
Utgå från att en modell någon gång kan luras. Begränsa vad den kan nå och göra, och låt en människa godkänna det som inte går att ångra.
Vanliga frågor
Kan promptinjektion drabba en AI som bara svarar på frågor?
Ja. Den kan få modellen att ge vilseledande svar eller återge sådant den inte borde. Skadan blir ofta större när modellen också kan utföra handlingar.
Går det att filtrera bort attackerna?
Filter fångar många försök men långt ifrån alla. Därför behöver skyddet också bygga på vad modellen får nå och göra.
Hur hänger promptinjektion ihop med dataläckage?
En lyckad attack kan få modellen att föra uppgifter vidare till fel mottagare. Läs mer om dataläckage.
Källor: NIST AI 100-2 E2025 om attacker mot AINCSC om promptinjektion (2025)
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad