בעמוד הזה
מה זה Prompt Injection?
מערכות AI שמבוססות על מודל שפה (LLM) מקבלות טקסט ומחליטות לפיו מה לענות ומה לעשות. NIST מגדיר Prompt Injection כמתקפה שמנצלת את החיבור בין קלט לא מהימן לבין ההוראות שכתב גורם מהימן יותר, כמו מפתח האפליקציה. במילים פשוטות: התוקף מחביא הוראות בתוך הטקסט, והמודל מבצע אותן כאילו הגיעו ממי שמותר לו לתת הוראות.
OWASP מבחינה בין שני סוגים. בהזרקה ישירה, המשתמש עצמו כותב למערכת הוראות שמשנות את ההתנהגות שלה. בהזרקה עקיפה, ההוראות מגיעות ממקור חיצוני שהמערכת קוראת, כמו אתר, קובץ או מייל, והן לא חייבות להיות גלויות לעין אנושית. ה-NCSC הבריטי מסביר למה קשה לחסום את זה: מודל שפה לא מבדיל בין "נתונים" לבין "הוראות", ולכן ייתכן שלבעיה לא יהיה פתרון מלא, כמו שיש להזרקת SQL. מה שאפשר לעשות הוא להקטין את הסיכוי שמתקפה תצליח ואת הנזק שהיא גורמת. על הסיכונים הרחבים של AI בארגון: אבטחת מידע בשימוש בבינה מלאכותית.
דוגמה מהשטח
קובץ הוראות בתיקיית ההורדות. באוקטובר 2026 דיווח האתר Help Net Security על מחקר של חברת Forever Security: אתר אינטרנט יכול לשמור קובץ בתיקיית ההורדות של המשתמש בלי אישור, ואם זה קובץ AGENTS.md, קובץ ההוראות שסוכני קוד של AI בנויים לקרוא ולציית לו, סוכן שנפתח באותה תיקייה עלול לבצע את מה שכתוב בו. אצל אחד מלקוחות החברה נמצא קובץ כזה, שניסה לגרום לסוכן הקוד Codex של OpenAI להתקין חבילת npm זדונית. בבדיקות החוקרים, Codex ביצע את ההוראות והריץ את הקוד ביותר מ-90% מהניסיונות. איש לא הקליד הוראה זדונית: היא הגיעה בתוך קובץ שהסוכן קרא.
Prompt Injection מול הזרקת SQL ומול Jailbreak
| Prompt Injection | הזרקת SQL | Jailbreak | |
|---|---|---|---|
| מה מנוצל | המודל לא מבדיל בין הוראות לבין טקסט שהוא קורא | הקוד מחבר קלט של משתמש לשאילתה למסד הנתונים | ניסיון לגרום למודל להתעלם לגמרי מכללי הבטיחות שלו |
| מאיפה מגיעה המתקפה | ישירות מהמשתמש, או בעקיפין מאתר, מקובץ או ממייל | שדה קלט באתר או באפליקציה | הוראות שהמשתמש כותב למודל |
| אפשר לחסום לגמרי? | לפי OWASP וה-NCSC לא ברור שיש פתרון מלא, ולכן מצמצמים את הסיכוי ואת הנזק | כן, בעיקר בשאילתות עם פרמטרים | OWASP רואה בו סוג של Prompt Injection, שדורש עדכון שוטף של מנגנוני הבטיחות של המודל |
מקורות
- OWASP Gen AI Security Project: LLM01:2025 Prompt Injection
- NIST CSRC Glossary: prompt injection (NIST AI 100-2 E2025)
- NIST AI 100-2 E2025: Adversarial Machine Learning, A Taxonomy and Terminology of Attacks and Mitigations (מרץ 2025)
- NCSC (בריטניה): Prompt injection is not SQL injection (it may be worse) (8.12.2025)
- Help Net Security: AI coding agents fall for malicious instructions planted in the Downloads folder (26.10.2026)
רכיבים מרכזיים
איך זה עובד
- מיפוי מערכות ה-AI
אילו צ'אטבוטים, עוזרים וסוכנים פועלים בארגון, ומה כל אחד מהם קורא: מיילים, מסמכים או אתרים.
- צמצום הרשאות
לתת לכל מערכת רק את הגישה שהיא צריכה, ולהחזיק את המפתחות והפעולות בקוד ולא בידי המודל.
- הפרדת תוכן חיצוני
לסמן ולבודד טקסט שמגיע ממקורות לא מהימנים, כדי להקטין את ההשפעה שלו על ההוראות.
- אישור אנושי
לדרוש אישור של אדם לפני פעולות רגישות, כמו שליחת מייל, העברת כסף או התקנת תוכנה.
- בדיקות תקיפה
לבדוק את המערכת כאילו המודל הוא משתמש לא מהימן, ולבחון אם גבולות ההרשאה מחזיקים.
שאלות נפוצות
האם Prompt Injection רלוונטי גם לארגון שלא פיתח מערכת AI?
כן. גם ארגון שרק משתמש בעוזר AI או בסוכן שקורא מיילים, מסמכים או אתרים חשוף להזרקה עקיפה, כי ההוראות הזדוניות מגיעות בתוך התוכן שהכלי קורא. הסיכון גדל ככל שלכלי יש יותר הרשאות, למשל גישה למייל, לקבצים או יכולת לבצע פעולות.
האם אפשר למנוע Prompt Injection לגמרי?
לפי OWASP לא ברור שיש שיטה שמונעת אותה לחלוטין, וה-NCSC הבריטי מעריך שייתכן שלא יהיה לה פתרון מלא, כמו שיש להזרקת SQL. לכן הגישה המקובלת היא להקטין את הסיכוי ואת הנזק: הרשאות מינימליות, סינון קלט ופלט, הפרדת תוכן חיצוני ואישור אנושי לפעולות רגישות.
מה ההבדל בין Prompt Injection ל-Jailbreak?
לפי OWASP, Jailbreak הוא סוג של Prompt Injection: ניסיון לגרום למודל להתעלם לגמרי מכללי הבטיחות שלו. Prompt Injection רחב יותר, וכולל כל הוראה שמשנה את התנהגות המערכת, למשל גרימה לסוכן לשלוח מידע החוצה או לבצע פעולה שלא התבקשה.
האם RAG או אימון נוסף של המודל פותרים את הבעיה?
לא. לפי OWASP, שיטות כמו RAG (שליפת מידע ממאגר ידע) ו-fine-tuning משפרות את הדיוק של התשובות, אבל מחקרים מראים שהן לא מונעות לגמרי Prompt Injection.
איך בודקים אם מערכת AI בארגון חשופה?
OWASP ממליצה על בדיקות חדירה וסימולציות תקיפה קבועות, שבהן מתייחסים למודל כאל משתמש לא מהימן ובודקים אם גבולות ההרשאה ובקרות הגישה מחזיקים. כדאי להתחיל במערכות שקוראות תוכן חיצוני ויכולות לבצע פעולות.