Prompt injection: Den største AI-sikkerhedsrisiko forklaret for 2026

Prompt injection er en sårbarhed, hvor en angriber manipulerer en stor sprogmodel gennem omhyggeligt udformet input, så den opfører sig på måder, dens udviklere aldrig havde tiltænkt. Fordi de fleste modeller behandler instruktioner og data sammen i én tekststrøm, kan en skadelig instruktion blande sig med legitimt indhold og stille og roligt overtage modellens adfærd. Det kan føre til lækkede data, forkerte svar eller uautoriserede handlinger.

Risikoen er blevet central i AI-sikkerheden: OWASP Top 10 for LLM-applikationer nævner prompt injection som den største trussel for 2025. For marketingfolk, iværksættere og SEO- og GEO-specialister er det vigtigt, fordi de samme sider, som en AI-assistent læser for at besvare et spørgsmål, kan blive en leveringskanal for disse angreb. Det gør indholdshygiejne til et sikkerhedsspørgsmål og ikke kun et kvalitetsspørgsmål.

Hvad er prompt injection?

En sårbarhed ved prompt injection opstår, når brugerprompts eller anden tekst, modellen læser, ændrer dens adfærd eller output på uventede måder. I modsætning til en traditionel softwareinjection, der rammer en parser, udnytter prompt injection noget mere grundlæggende: modellen behandler al den sprog, den modtager, som meningsfuldt, uden indbygget skelnen mellem pålidelige instruktioner og upålidelige data.

Netop det design gør angrebet muligt. Når du blander en systeminstruktion, en brugeranmodning og indhold hentet fra nettet i én prompt, har modellen ingen pålidelig måde at vide, hvilke dele den skal adlyde, og hvilke den blot skal læse. En angriber, der kontrollerer en del af den tekst, kan forsøge at smugle kommandoer ind. For at forstå det kræves et grundlæggende kendskab til prompt engineering og til, hvordan en LLM behandler input.

Direkte prompt injection

Direkte prompt injection, ofte kaldet jailbreaking, sker, når en bruger skriver en skadelig instruktion direkte ind i modellen. Det klassiske eksempel er en instruktionsoverskrivning, hvor man beder modellen ignorere sine tidligere instruktioner og afsløre sin skjulte systemprompt. Andre former er rollespilsjailbreaks, der lokker modellen ind i en persona med færre begrænsninger, kodningstricks, der skjuler nyttelasten, og samtaler, der gradvist eskalerer rettighederne.

Direkte injection er den hyppigste form, fordi angriberen blot bruger inputfeltet, som det er tænkt, men med fjendtligt indhold. Konsekvenserne spænder fra afsløring af en fortrolig systemprompt til omgåelse af sikkerhedsregler, og derfor hører det helt hjemme under de bredere bekymringer om AI-sikkerhed.

Indirekte prompt injection

Indirekte prompt injection er farligere og sværere at opdage. Her skjuler angriberen instruktioner i eksternt indhold, som modellen senere læser: en webside, en PDF, en e-mail, en værktøjsbeskrivelse eller en konfigurationsfil. Når AI'en behandler det forgiftede indhold, kan den ikke pålideligt skelne mellem information og indlejrede kommandoer. Den skjulte instruktion aktiveres, uden at brugeren nogensinde ser den.

Faren skalerer, fordi én forgiftet kilde kan kompromittere alle, der beder en AI om at behandle den. En dokumenteret sag involverede browseren Perplexity Comet, hvor forskere placerede usynlig tekst i et forumindlæg. Det fik assistenten til at lække en brugers engangskode til en angribers server. Efterhånden som AI-systemer henter fra flere kilder via retrieval augmented generation, vokser angrebsfladen med dem.

Sådan virker angreb med prompt injection

De fleste angreb følger en simpel logik: find et sted, hvor modellen indtager tekst, og placer der en instruktion, der strider mod modellens egentlige formål. Ved direkte angreb er stedet chatboksen. Ved indirekte angreb er det ethvert indhold, systemet automatisk læser uden at behandle det som potentielt fjendtligt. Sikkerhedsteams kalder det en indtagelsesflade.

Selve nyttelasten kan være almindelig eller skjult, da modellen ikke har brug for læsbar formatering for at forstå den. Instruktioner kan ligge i hvid tekst, i metadata, i alt-attributter eller gemt i et langt dokument. Når de er læst, kan de bede modellen om at udtrække data, omskrive et svar eller kalde et tilkoblet værktøj. Konsekvenserne afhænger derfor i høj grad af, hvad modellen har lov til at gøre.

Hvorfor prompt injection betyder noget: reelle konsekvenser

Konsekvenserne er alvorlige. Et vellykket angreb kan føre til udlevering af følsomme oplysninger, herunder personlige data og selve systemprompten, uautoriseret adgang til data, rettighedseskalering, forudindtaget eller forkert output og i tilkoblede systemer udførelse af vilkårlige kommandoer. Når modellen kan handle, ikke kun svare, kan en indlejret instruktion få konsekvenser i den virkelige verden.

Risikoen multipliceres med autonomi. Et AI-agent-setup, der browser, læser filer og kalder værktøjer, kan styres af skjulte instruktioner til at udføre skadelige handlinger på brugerens vegne. Værktøjsøkosystemer som Model Context Protocol giver mere kraft, men også nye indtagelsesflader, som værktøjsbeskrivelser, angribere kan forsøge at forgifte.

Hvorfor det er den største AI-risiko

OWASP placerer prompt injection øverst, fordi det er iboende i den måde, generativ AI behandler sprog på. Det er ikke en fejl, som en enkelt rettelse kan lukke. Organisationen påpeger, at det er uklart, om der findes en idiotsikker forebyggelse, givet modellernes stokastiske natur. Sårbarheden ligger med andre ord i det grundlæggende design af systemer, der tager imod instruktioner i naturligt sprog.

Indirekte injection gør rangeringen endnu mere berettiget, fordi den skalerer. Et enkelt dokument, en side eller en e-mail kan bære et angreb, der når alle brugere, hvis assistent læser det. Kombinationen af, at det i princippet ikke kan rettes, og at det i praksis kan udnyttes bredt, er grunden til, at forsvarere behandler det som en topprioritet og ikke som en kantsag.

Sådan forsvarer du dig mod prompt injection

Der findes ingen enkelt løsning, så forsvaret er lagdelt. Begræns modellen med klare rolleinstruktioner, og valider outputformatet strengt. Adskil og mærk eksternt indhold tydeligt, så systemet kan skelne pålidelige instruktioner fra upålidelige data, og brug filtrering af både input og output. Håndhæv princippet om mindst mulig adgang, så modellen kun kan røre ved det, den virkelig har brug for, og kræv menneskelig godkendelse ved handlinger med høj risiko.

Ud over modellen er forsvaret arkitektonisk: valider værktøjskald, før de udføres, overvåg for afvigende adfærd, og kør regelmæssige angrebstests for at finde svagheder, før angriberne gør det. For udgivere er den praktiske lektie at holde eget indhold rent. Oprydning i brugergenereret indhold og sikring af din side er en del af AI brand safety og beskytter både dine besøgende og de assistenter, der læser dine sider.

Udfordringer og begrænsninger

Den centrale udfordring er, at prompt injection ikke kan elimineres helt med de nuværende modeldesigns, kun afbødes. Filtre reducerer risikoen, men kan omgås med nye formuleringer eller kodning, og alt for aggressiv filtrering kan ødelægge legitim brug. Teams står derfor tilbage med en restrisiko, de skal styre, frem for at fjerne den.

Opdagelsen er også svær, især ved indirekte angreb, der gemmer sig i indhold, brugerne aldrig gennemser. Hukommelsessystemer kan endda videreføre en forgiftning på tværs af sessioner, så et enkelt vellykket angreb kan blive ved. Den realistiske holdning er forsvar i dybden kombineret med begrænsninger på, hvad modellen må gøre, så selv et vellykket angreb kun gør begrænset skade.

Konklusion

Prompt injection er den definerende sikkerhedsrisiko i AI-tidsalderen, fordi den udnytter, at modeller læser instruktioner og data som én ting. Den optræder i direkte form, hvor en bruger indtaster en skadelig prompt, og i indirekte form, hvor instruktioner gemmer sig i indhold, modellen senere læser. Den indirekte form er den farligste og den lettest skalerbare. Der findes ingen fuldstændig kur, kun lagdelt forsvar og stramme rettigheder.

For marketingfolk og udgivere er lektien, at rent og sikkert indhold beskytter de AI-systemer, der læser det. For at komme videre kan du koble det til AI-sikkerhed og AI brand safety. Kilder: OWASP GenAI Security Project og Lakera.