Mamy nową technikę ataku na sztuczną inteligencję! PuzzleMask wykorzystuje nienaganną, naturalną prozę, by bez trudu ominąć systemy filtrujące wiodących dostawców AI, obnażając krytyczną lukę w architekturze zabezpieczeń wdrażanej w przedsiębiorstwach na całym świecie – ostrzegają stojący za odkryciem analitycy Check Point Research.
Do tej pory branża cyberbezpieczeństwa uczyła systemy ochronne rozpoznawania typowych oznak manipulacji – podejrzanego formatowania, emotikon czy zakodowanych ciągów znaków. PuzzleMask całkowicie zmienia reguły gry. Narzędzie ukrywa instrukcje łamiące zasady bezpieczeństwa wewnątrz płynnego, eleganckiego tekstu, który dla filtrów ochronnych wygląda jak niewinny wiersz lub fragment opowiadania.
W testach przeprowadzonych przez Check Point Research cztery wiodące systemy filtrujące – w tym Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard oraz Llama-Guard3 – nie zdołały wykryć zagrożenia ani razu, co dało napastnikom 100% skuteczności w 23 próbach.
Asymetria mocy – gdy mądry model ulega ukrytemu poleceniu
W nowoczesnych wdrożeniach biznesowych powszechnie stosuje się dwuetapową architekturę („gatekeeper-to-target”), składającą się z:
-
Modelu-strażnik (Gatekeeper): Szybkiego i taniego modelu AI, którego zadaniem jest błyskawiczna weryfikacja na wejściu, czy zapytanie użytkownika jest bezpieczne.
-
Modelu docelowego (Target): Zaawansowanego, kosztownego systemu wyposażonego w funkcje głębokiego wnioskowania oraz dostęp do narzędzi korporacyjnych i baz danych.
PuzzleMask bezwzględnie wykorzystuje przepaść technologiczną między tymi dwoma modułami. Model-strażnik, pozbawiony rozbudowanych mechanizmów analitycznych, uznaje tekst za nieszkodliwy. Z kolei potężny model docelowy (w testach: zaawansowany model wnioskujący gpt-5-thinking z interpreterem kodu) potrzebował ponad minuty głębokiego namysłu i wykonania skryptów, aby odtworzyć i zrealizować złośliwe polecenie – robiąc to aż w 94% przypadków (17 na 18 prób).
Eksperci Check Pointa podkreślają, że PuzzleMask nie jest tzw. jailbreakiem (techniką nakłaniania modelu do zignorowania własnych zasad etycznych). To atak na zewnętrzną tarczę ochronną. Gdy strażnik zostanie zaślepiony, jedyną barierą pozostaje wewnętrzny osąd modelu docelowego.
Realne zagrożenie dla procesów biznesowych
W erze, w której przedsiębiorstwa integrują autonomicznych agentów AI i asystentów (copilotów) z krytycznymi bazami danych, systemami ERP czy firmową pocztą, konsekwencje są alarmujące. Złośliwe instrukcje mogą zostać przemycone w pozornie nieszkodliwym dokumencie PDF, wiadomości e-mail od klienta czy formularzu na stronie WWW.
– PuzzleMask uderza w fundamentalne założenie wielu współczesnych strategii bezpieczeństwa AI: przekonanie, że niebezpieczne zapytania są łatwe do rozpoznania. Nasze badania pokazują, że groźne instrukcje można ukryć w całkowicie zwyczajnym tekście. W dobie agentów AI mających dostęp do procesów biznesowych i poufnych danych, zespoły security muszą przestać polegać wyłącznie na weryfikacji danych na wejściu – komentuje Eli Smadja, Head of Research w Check Point Research.
Jak firmy mogą się bronić?
Check Point Research odpowiedzialnie zgłosił szczegóły techniki twórcom modeli: Anthropic, Meta oraz OpenAI. Badacze zwracają uwagę, że jedynymi modelami, które oparły się atakowi, były systemy klasy Opus od Anthropic – prawdopodobnie dlatego, że monitorują proces wnioskowania w czasie rzeczywistym.
Aby zneutralizować to ryzyko, organizacje powinny wdrożyć wielowarstwową strategię obrony, pozwalające na:
-
Weryfikację zachowania, a nie tylko wejścia: przejście od prostej cenzury zapytań do monitorowania procesów myślowych modelu oraz działań podejmowanych przez narzędzia;
-
Parafrazowanie treści: przepuszczanie zewnętrznych dokumentów przez moduł parafrazujący przed ich przetworzeniem, co niszczy ukrytą strukturę ataku;
-
Zaostrzenie reguł strażników: wyczulenie modeli weryfikujących na specyficzne, samoodwołujące się konstrukcje lingwistyczne.
