प्रॉम्प्ट इंजेक्शन: 2026 का सबसे बड़ा AI सुरक्षा जोखिम, समझाया गया

प्रॉम्प्ट इंजेक्शन एक कमज़ोरी है, जिसमें हमलावर सावधानी से गढ़े गए इनपुट से किसी बड़े भाषा मॉडल में छेड़छाड़ करता है, और मॉडल ऐसे तरीके से व्यवहार करने लगता है जिसकी उसके डेवलपरों ने कभी कल्पना नहीं की थी। चूँकि ज़्यादातर मॉडल निर्देश और डेटा को टेक्स्ट की एक ही धारा में संसाधित करते हैं, एक दुर्भावनापूर्ण निर्देश वैध कंटेंट के बीच छिपकर चुपचाप मॉडल का व्यवहार अपने हाथ में ले सकता है, जिससे डेटा लीक हो सकता है, गलत आउटपुट आ सकता है या अनधिकृत कार्रवाइयाँ हो सकती हैं।

यह जोखिम AI सुरक्षा के केंद्र में आ गया है: LLM एप्लिकेशन के लिए OWASP Top 10 प्रॉम्प्ट इंजेक्शन को 2025 के लिए नंबर एक खतरा बताती है। मार्केटरों, संस्थापकों और SEO तथा GEO के विशेषज्ञों के लिए यह इसलिए मायने रखता है कि जिन्हीं पेजों को AI सहायक किसी सवाल का जवाब देने के लिए पढ़ता है, वही पेज इन हमलों का ज़रिया बन सकते हैं, और इसीलिए कंटेंट की सफ़ाई केवल गुणवत्ता का नहीं, सुरक्षा का भी मामला बन जाती है।

प्रॉम्प्ट इंजेक्शन क्या है?

प्रॉम्प्ट इंजेक्शन की कमज़ोरी तब पैदा होती है जब उपयोगकर्ता के प्रॉम्प्ट, या मॉडल जो दूसरा टेक्स्ट पढ़ता है, उसके व्यवहार या आउटपुट को अनचाहे तरीकों से बदल देते हैं। पारंपरिक सॉफ़्टवेयर इंजेक्शन के विपरीत, जो एक पार्सर को निशाना बनाता है, प्रॉम्प्ट इंजेक्शन एक अधिक मूलभूत चीज़ का फ़ायदा उठाता है: मॉडल उसे मिलने वाली हर भाषा को अर्थपूर्ण मानता है, और भरोसेमंद निर्देशों तथा अविश्वसनीय डेटा के बीच उसका कोई अंतर्निहित विभाजन नहीं होता।

हमला इसी डिज़ाइन की वजह से काम करता है। जब आप एक सिस्टम निर्देश, एक उपयोगकर्ता अनुरोध और वेब से लिया गया कंटेंट एक ही प्रॉम्प्ट में मिलाते हैं, तो मॉडल के पास यह जानने का कोई भरोसेमंद तरीका नहीं होता कि कौन सा हिस्सा उसे मानना है और कौन सा केवल पढ़ना है। जो हमलावर इस टेक्स्ट के किसी भी हिस्से को नियंत्रित करता है, वह आदेश चुपके से डालने की कोशिश कर सकता है। इसे समझने के लिए प्रॉम्प्ट इंजीनियरिंग और यह जानना ज़रूरी है कि एक LLM इनपुट को कैसे संसाधित करता है।

सीधा प्रॉम्प्ट इंजेक्शन

सीधा प्रॉम्प्ट इंजेक्शन, जिसे अक्सर जेलब्रेक कहा जाता है, तब होता है जब कोई उपयोगकर्ता सीधे मॉडल में कोई दुर्भावनापूर्ण निर्देश टाइप करता है। इसका क्लासिक उदाहरण निर्देश को पलटना है, जैसे मॉडल से कहना कि वह अपने पिछले निर्देश अनदेखा करे और अपना छिपा हुआ सिस्टम प्रॉम्प्ट बताए। दूसरे रूप हैं रोल-प्ले जेलब्रेक, जो मॉडल को कम प्रतिबंधों वाले किरदार में ढालते हैं, एन्कोडिंग की चालें, जो पेलोड को छिपाती हैं, और ऐसी बातचीत जो धीरे-धीरे विशेषाधिकार बढ़ाती है।

सीधा इंजेक्शन सबसे आम रूप है, क्योंकि हमलावर बस इनपुट फ़ील्ड का उपयोग वैसे ही करता है जैसे उसे करना चाहिए, बस उसमें शत्रुतापूर्ण कंटेंट डालकर। इसका असर गोपनीय सिस्टम प्रॉम्प्ट उजागर करने से लेकर सुरक्षा नियमों को दरकिनार करने तक होता है, और इसीलिए यह व्यापक AI सुरक्षा की चिंताओं के बीच ठीक से आता है।

अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन

अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन अधिक खतरनाक है और पहचानना कठिन। यहाँ हमलावर निर्देश उस बाहरी कंटेंट के अंदर छिपाता है जिसे मॉडल बाद में पढ़ेगा: एक वेब पेज, एक PDF, एक ईमेल, एक टूल का विवरण या एक कॉन्फ़िगरेशन फ़ाइल। जब AI उस दूषित कंटेंट को संसाधित करता है, तो वह जानकारी और अंतर्निहित आदेशों के बीच भरोसेमंद ढंग से फ़र्क नहीं कर पाता, और छिपा हुआ निर्देश उपयोगकर्ता को कभी दिखे बिना सक्रिय हो जाता है।

खतरा इसलिए बढ़ता है कि एक दूषित स्रोत उन सभी लोगों को प्रभावित कर सकता है जो किसी AI से उसे संसाधित करवाते हैं। एक दर्ज मामले में Perplexity Comet ब्राउज़र शामिल था, जहाँ शोधकर्ताओं ने एक फ़ोरम पोस्ट में अदृश्य टेक्स्ट डाला, जिसने सहायक को उपयोगकर्ता का वन-टाइम पासवर्ड हमलावर के सर्वर पर भेजने के लिए बहका दिया। जैसे-जैसे AI सिस्टम retrieval augmented generation के ज़रिए अधिक स्रोतों से जानकारी लेते हैं, हमले की सतह भी उनके साथ बढ़ती है।

प्रॉम्प्ट इंजेक्शन के हमले कैसे काम करते हैं

अधिकतर हमले एक सरल तर्क पर चलते हैं: कोई ऐसी जगह खोजो जहाँ मॉडल टेक्स्ट ग्रहण करता है, और वहाँ ऐसा निर्देश रख दो जो मॉडल के असली लक्ष्य से टकराए। सीधे हमलों में वह जगह चैट बॉक्स है। अप्रत्यक्ष हमलों में वह कोई भी कंटेंट है जिसे सिस्टम अपने आप पढ़ लेता है, बिना यह माने कि वह खतरनाक हो सकता है। सुरक्षा टीमें इसे इनजेशन सतह कहती हैं।

पेलोड खुद साधारण या छिपा हुआ हो सकता है, क्योंकि मॉडल को उसे पढ़ने के लिए इंसानों के लिए पठनीय फ़ॉर्मेटिंग की ज़रूरत नहीं होती। निर्देश सफ़ेद टेक्स्ट में, मेटाडेटा में, alt विशेषताओं में, या किसी लंबे दस्तावेज़ के भीतर दबे हो सकते हैं। एक बार पढ़ लिए जाने पर वे मॉडल से डेटा बाहर निकालने, जवाब फिर से लिखने, या किसी जुड़े टूल को चलाने के लिए कह सकते हैं, इसलिए नतीजे इस पर बहुत निर्भर करते हैं कि मॉडल को क्या करने की अनुमति है।

प्रॉम्प्ट इंजेक्शन क्यों मायने रखता है: असली असर

असर गंभीर होते हैं। सफल इंजेक्शन संवेदनशील जानकारी उजागर करने तक ले जा सकता है, जिसमें निजी डेटा और स्वयं सिस्टम प्रॉम्प्ट शामिल हैं, साथ ही अनधिकृत डेटा पहुँच, विशेषाधिकार बढ़ाना, पक्षपाती या गलत आउटपुट, और जुड़े सिस्टमों में मनमाने कमांड का निष्पादन। जब मॉडल केवल जवाब नहीं देता बल्कि कार्रवाई भी कर सकता है, तो एक इंजेक्ट किया गया निर्देश वास्तविक दुनिया में परिणाम ला सकता है।

स्वायत्तता के साथ जोखिम बढ़ जाता है। एक AI एजेंट्स सेटअप जो ब्राउज़ करता है, फ़ाइलें पढ़ता है और टूल चलाता है, उसे छिपे निर्देश उपयोगकर्ता की ओर से हानिकारक कदम उठाने की दिशा में मोड़ सकते हैं। Model Context Protocol जैसे टूल इकोसिस्टम ताकत तो जोड़ते हैं, लेकिन टूल के विवरण जैसी नई इनजेशन सतहें भी, जिन्हें हमलावर दूषित करने की कोशिश कर सकते हैं।

यह AI का नंबर एक जोखिम क्यों है

OWASP प्रॉम्प्ट इंजेक्शन को पहले स्थान पर इसलिए रखता है क्योंकि यह जेनेरेटिव AI के भाषा संसाधित करने के तरीके में ही निहित है, कोई ऐसा बग नहीं जिसे एक पैच बंद कर दे। संगठन बताता है कि इन मॉडलों की संभाव्य प्रकृति को देखते हुए यह स्पष्ट नहीं है कि कोई पूरी तरह भरोसेमंद रोकथाम मौजूद है या नहीं। दूसरे शब्दों में, यह कमज़ोरी उन सिस्टमों के मूल डिज़ाइन में है जो प्राकृतिक भाषा में निर्देश लेते हैं।

अप्रत्यक्ष इंजेक्शन इस रैंकिंग को और भी उचित ठहराता है, क्योंकि यह फैलता है। एक दस्तावेज़, पेज या ईमेल में ऐसा हमला हो सकता है जो हर उस उपयोगकर्ता तक पहुँचे जिसका सहायक उसे पढ़ता है। सिद्धांत में इसे ठीक करना कठिन होना और व्यवहार में व्यापक रूप से शोषण योग्य होना, यही संयोजन है जिसकी वजह से रक्षक इसे किनारे का मामला नहीं, शीर्ष प्राथमिकता मानते हैं।

प्रॉम्प्ट इंजेक्शन से बचाव कैसे करें

इसका कोई एक समाधान नहीं है, इसलिए बचाव परतों में होता है। मॉडल को स्पष्ट भूमिका निर्देशों से सीमित करें और उसके आउटपुट फ़ॉर्मेट की सख़्ती से जाँच करें। बाहरी कंटेंट को अलग करें और साफ़ लेबल लगाएँ, ताकि सिस्टम भरोसेमंद निर्देशों और अविश्वसनीय डेटा में फ़र्क कर सके, और इनपुट व आउटपुट दोनों पर फ़िल्टरिंग लगाएँ। न्यूनतम विशेषाधिकार लागू करें, ताकि मॉडल केवल वही छू सके जो उसे सच में चाहिए, और अधिक जोखिम वाली कार्रवाइयों के लिए मानवीय मंज़ूरी ज़रूरी रखें।

मॉडल से आगे, बचाव आर्किटेक्चर का मामला है: चलाने से पहले टूल कॉल की जाँच करें, व्यवहार की असामान्यताओं पर नज़र रखें, और नियमित रूप से प्रतिकूल परीक्षण चलाएँ, ताकि हमलावरों से पहले कमज़ोरियाँ मिल जाएँ। प्रकाशकों के लिए व्यावहारिक सबक यह है कि अपना कंटेंट साफ़ रखें। उपयोगकर्ता-जनित कंटेंट को सैनिटाइज़ करना और अपनी साइट को सुरक्षित रखना AI ब्रांड सुरक्षा का हिस्सा है, जो आपके विज़िटरों और उन सहायकों, दोनों की रक्षा करता है जो आपके पेज पढ़ते हैं।

चुनौतियाँ और सीमाएँ

मूल चुनौती यह है कि मौजूदा मॉडल डिज़ाइन के साथ प्रॉम्प्ट इंजेक्शन को पूरी तरह खत्म नहीं किया जा सकता, केवल कम किया जा सकता है। फ़िल्टर जोखिम घटाते हैं, लेकिन नए शब्द-विन्यास या एन्कोडिंग से उन्हें चकमा दिया जा सकता है, और बहुत आक्रामक फ़िल्टरिंग वैध उपयोग को भी तोड़ सकती है। इसलिए टीमें जोखिम को हटाने के बजाय बचा हुआ जोखिम संभालती हैं।

पहचानना भी कठिन है, खासकर अप्रत्यक्ष हमलों के लिए, जो ऐसे कंटेंट में छिपे होते हैं जिसे उपयोगकर्ता कभी जाँचते नहीं। मेमोरी सिस्टम तो सत्रों के बीच दूषण को भी आगे बढ़ा सकते हैं, इसलिए एक सफल इंजेक्शन देर तक बना रह सकता है। वास्तविक रुख यह है कि गहरी परतों वाला बचाव अपनाया जाए और मॉडल को जो करने की अनुमति है उसे सीमित रखा जाए, ताकि सफल इंजेक्शन भी सीमित नुकसान ही करे।

निष्कर्ष

प्रॉम्प्ट इंजेक्शन AI युग का निर्णायक सुरक्षा जोखिम है, क्योंकि यह उस तरीके का फ़ायदा उठाता है जिसमें मॉडल निर्देश और डेटा को एक साथ पढ़ते हैं। यह सीधे रूप में आ सकता है, जब उपयोगकर्ता कोई दुर्भावनापूर्ण प्रॉम्प्ट डालता है, और अप्रत्यक्ष रूप में, जब निर्देश उस कंटेंट में छिपे होते हैं जिसे मॉडल बाद में पढ़ता है। अप्रत्यक्ष हमले अधिक खतरनाक और अधिक फैलने वाले होते हैं। इसका कोई पूर्ण इलाज नहीं है, केवल परतदार बचाव और कड़ी अनुमतियाँ हैं।

मार्केटरों और प्रकाशकों के लिए सबक यह है कि साफ़ और सुरक्षित कंटेंट उन AI सिस्टमों की रक्षा करता है जो उसे पढ़ते हैं। आगे बढ़ने के लिए इसे AI सुरक्षा और AI ब्रांड सुरक्षा से जोड़ें। संदर्भ स्रोत: OWASP GenAI Security Project और Lakera।