Prompt injection — бір ғана тұрақты өрнекпен өшіруге болатын қате сұрау емес. Бұл сенім шекарасының бұзылуы: дерек ретінде қаралуы тиіс мәтін тілдік модельдің әрекетін өзгертеді. AI агентінде мұндай өзгеріс құрал шақыруына, хабарламаға, файл жазуына немесе басқа сервиске жіберілетін сұрауға айналуы мүмкін. Model Context Protocol (MCP) құралдарды табуды және шақыруды жеңілдетеді, бірақ сенімсіз мәтіннің модельге және артықшылықты жүйелерге жететін жолдарын да көбейтеді.
Бұл мақала OWASP GenAI LLM Top 10 2026 ұсынымдарын сыртқы контентті оқитын және MCP қолданатын агенттерге қолданады. Бұл инженерлік қауіп моделі мен қорғаныс нұсқаулығы, қауіпсіздік аудиті емес. Мұнда сипатталған ешбір бақылау толық қауіпсіздікке кепіл бермейді. Практикалық мақсат — инъекция модельге кейде әсер ететінін мойындап, одан кейінгі әрекетті шектеулі, көрінетін, қайтарылатын және шабуылшының мақсатына бұруы қиын ету.
Неліктен модель қауіпсіздік шекарасы емес
LLM жүйелік нұсқауларды, пайдаланушы сұрауын, табылған құжаттарды, құрал сипаттамалары мен нәтижелерін, диалог тарихын және жадты бір контекстте қабылдайды. Бөлгіштер мен белгілер сенім саясатын түсіндіре алады, бірақ архитектуралық оқшаулау жасамайды. Модель белгіні қате түсінуі, құжаттағы нанымды сөйлемді бұйрық деп қабылдауы немесе жеке-жеке зиянсыз бірнеше ишарадан қауіпті жоспар құрауы мүмкін.
OWASP LLM01:2026 prompt injection ұғымына тікелей енгізу, ізделіп алынған контент, құрал нәтижесі, сурет, аудио, видео, аралық контекст және тұрақты жад тудырған мінез-құлық өзгерісін жатқызады. Бұл санат сезімтал ақпаратты ашудан, шамадан тыс агенттік өкілеттен және шығысты қауіпті өңдеуден бөлек, бірақ бір оқиғада олар бір тізбекке қосылады. Инъекция ықпал береді, құрал құқық береді, құпия қорғалатын актив болады, ал желі сұрауы, URL немесе shell командасы дерек шығару арнасына айналуы мүмкін.
Модель тіркелгі деректерін сақтамауы, авторизацияны шешпеуі және күйді өзгертетін операцияның жалғыз тексерушісі болмауы керек. Бұл шешімдерді қолданбаның детерминистік кодына орналастырыңыз. Модель түсіндіру мен жоспарлауды орындасын, ал айналасындағы жүйе нақты не орындалатынын күштеп тексерсін.
MCP-ке қосылған агенттің қауіп моделі
Чатта аяқталатын сызбадан емес, нақты дерек ағынынан бастаңыз. Пайдаланушыны, модель провайдерін, агенттің орындау ортасын, MCP клиенті мен серверлерін, авторизация серверін, кейінгі API-ларды, браузерді, файл жүйесін, жадты, іздеу индексін, журналдарды және сыртқа шығатын желіні белгілеңіз. Әр байланысқа мазмұн пайдаланушыдан, ұйымнан, үшінші тараптан, ашық дереккөзден немесе белгісіз көзден келгенін жазыңыз.
Шабуылшы зиянды сайт немесе хат жіберуші, тикет не репозиторийді өзгерте алатын автор, бұзылған тәуелділік немесе MCP пакеті, адал емес құрал операторы, сондай-ақ токен не сессия идентификаторын ұрлаған адам болуы мүмкін. Заңды пайдаланушы да басқа жүйеге арналған нұсқауы бар құжатты байқамай қойып, инъекция жіберуі мүмкін. Ішкі дерекқорға кіру керек болғаны оның таза екенін білдірмейді: жазба ашық форма, синхрондау немесе бұзылған есептік жазба арқылы келген болуы ықтимал.
Активтерді бөлек тізіңіз: жүйе мен әзірлеуші нұсқаулары, токендер, кілттер, жеке деректер, код, жабық құжаттар, бұлт метадеректері, құрал конфигурациясы, жад және жіберу, жою, сатып алу, орналастыру немесе өзгерту мүмкіндігі. Әр активтің оқылатынын, жазылатынын немесе сырттан бақыланатынын белгілеңіз. Тек оқитын құралдың нәтижесі шабуылшының мекенжайына жіберілсе, дерек ағып кетеді. Кез келген URL не мәтін қабылдайтын хабарлау құралы да жоғары әсерлі арнаға айналады.
Әр ағын үшін түсінікті инвариант жазыңыз: «тикеттің мазмұнын қорытындыла, бірақ оның нұсқауларын орындама», «тек осы репозиторийді оқы», «хаттың жобасын жаса, мақұлдаусыз жіберме». Сәтсіздік шартын да белгілеңіз: құрал аргументіндегі құпия, тапсырмадан кең scope, жұмыс аймағынан тыс жазу немесе саясат рұқсат етпеген мекенжай.
Қауіп карточкасында бес өріс болсын: жеткізу беті, таралуы, кодталуы, артықшылықтары және әсер арнасы. Жеткізу чаттан, вебтен, PDF-тен, MCP құралының сипаттамасынан, нәтижеден немесе жадтан келуі мүмкін. Таралу бірнеше қадамнан, сессиядан не агенттен өтуі мүмкін. Кодтау көрінетін мәтін, HTML, көрінбейтін Unicode, ресурсы аз тіл, сурет, аудио немесе обфускация болуы ықтимал. Артықшылық — орындау сәтіндегі тұлға мен scopes. Әсер арнасы нақты салдарды жасайды.
Тікелей және жанама инъекция
Тікелей инъекция пайдаланушы көретін жолмен кіреді. Біреу агенттен тапсырманы елемеуді, жасырын нұсқауларды ашуды, шектеусіз команда орындауды немесе контекстен тыс құрал шақыруды сұрауы мүмкін. AI-ға арналған бұйрығы бар мәтінді адал пайдаланушының қоюы да осыған жатады. Jailbreak модель қорғанысын айналып өтуді көздейді, бірақ агентке зиян келтіру үшін jailbreak міндетті емес. Жалған қайтарым туралы бұйрықты сыпайы орындаудың өзі қолданба шекарасын бұзады.
Жанама инъекция пайдаланушы нұсқау ретінде бермеген контенттің ішінде келеді. Веб-бет агент контекстін жүктеуді сұрауы мүмкін. Хат тіркемесі құпиясөзді қалпына келтіруді талап етуі мүмкін. Қолдау тикеті жабық репозиторийден іздеуге бұйыруы мүмкін. Payload дерекқор жолында, issue тақырыбында, README-де, суретте немесе құрал жауабында жасырылуы ықтимал. HTML, метадерек, жабық бөлім, сурет немесе нөлдік енді таңбалардағы байттарды пайдаланушы көрмеуі мүмкін.
MCP жанама бетті екі жолмен кеңейтеді. Сервер құрал атауларын, сипаттамаларын, енгізу схемаларын, ресурстарды және prompts жариялайды, ал клиент оларды модель контекстіне салады. Уланған сипаттама алдымен басқа құралды шақыруды, аргументке құпия қосуды немесе шабуылшының URL-іне сенуді ұсынуы мүмкін. Кейін сервер қайтарған нәтиже модель үшін жаңа нұсқау болып көрініп, екінші шақыруға әкеледі. JSON-RPC хабарламалары дұрыс болғанымен, бұл құралды улау немесе құрал нәтижесі арқылы инъекция болып қалады.
Құрал метадеректерін құжаттама емес, орындалуға әсер ететін нысан деп қараңыз. Пакет нұсқаларын бекітіңіз, серверлерді тексеріңіз, сипаттамалар мен схемаларды қарап шығыңыз, релиздерді салыстырыңыз және әр серверге рұқсат етілген қабілеттер тізімін жүргізіңіз. Қолтаңба шығу тегін растайды, бірақ бекітілген нұсқаның зиянсыз екенін дәлелдемейді. Іске асыру мен желідегі әрекетті де тексеру қажет.
Ықпалдан дерек шығаруға дейін
Prompt injection дерек көзін әсер арнасымен байланыстырғанда ағып кетуге айналады. Көз агент тапқан уланған issue болуы мүмкін. Арна HTTP сұрауы, хат, ашық пікір, күнтізбе шақыруы, сурет URL-і, журнал немесе құрал аргументі болуы мүмкін. Агент жеке деректі оқып, сыртқа хабарласа алса, шабуылшыға тікелей кірудің қажеті жоқ.
«Өлімге әкелетін үштағанды» нақты модельдеңіз: сенімсіз контент, сезімтал деректер және сыртқы не күйді өзгертетін арна. Әр зиянды сөйлемді танудан гөрі осы үш бөліктің бірін алып тастау сенімдірек. Зерттеу агенті ашық беттерді жүйеге кірмей және шектеулі желімен қарай алады. Жеке құжат қорытындылаушысы оқи алады, бірақ желі мен жіберу құқығы жоқ. Хат агенті жобаны жасай алады, бірақ жіберу құқығын иеленбейді.
Шығысты сүзуге ғана сенбеңіз. Құпия дұрыс JSON өрісінде, URL параметрінде, құрал диагностикасында, суретте, бос орындарда, Unicode-та немесе қалыпты көрінетін хатта шығуы мүмкін. Әсер арнасына дейін мақсат саясатын және ақпарат ағынын тексеріңіз. Журналдар мен трассалардағы құпияны бүркемелеңіз, ал шығыс сұрауларды жеке мекенжайларды, белгісіз домендерді және күтпеген әдістерді бөгейтін egress проксиі арқылы өткізіңіз.
MCP авторизациясы және OAuth бақылаулары
Қорғалған HTTP MCP серверінде протокол рөлдерін бөліңіз. MCP сервері resource server болады, клиент ресурс иесінің атынан қолжетімділік сұрайды, ал authorization server токен береді. MCP авторизация спецификациясын және қолданылып отырған нұсқаға сәйкес OAuth талаптарын ұстаныңыз, өз proxy ағыныңызды ойлап таппаңыз.
Токенді көзделген MCP ресурсына байлаңыз. Спецификация клиенттен сервердің канондық URI-ін OAuth resource параметрі арқылы авторизация және токен сұрауларының екеуінде де жіберуді талап етеді, ал сервер токеннің өзіне арналғанын тексеруі керек. Authorization тақырыбын қолданыңыз, сұрау жолына токен салмаңыз. MCP сервері басқа ресурсқа шығарылған токенді қабылдамауы және өткізбeуі тиіс. Жоғарғы API-ға қоңырау шалса, бөлек токен алсын. Токенді өткізу аудитория бөлінуін бұзады, лимиттер мен аудитті әлсіретеді және серверді дерек шығару проксиіне айналдырады.
Authorization code-ты PKCE арқылы қорғаңыз, redirect URI-ді дәл тіркеңіз, production-да HTTPS қолданыңыз және әр сұрауға криптографиялық кездейсоқ, бір рет қолданылатын state беріңіз. Клиенттерді динамикалық тіркейтін proxy үшінші тараптың authorization server-іне бағыттамас бұрын әр клиенттен келісім алуы керек. Келісімді client ID мен сұралған scopes-қа байлаңыз. «Қолданбаға бұрын келісім берілген» деген жалпы cookie жеткіліксіз және confused deputy мәселесін тудыруы мүмкін.
Discovery-ді серверден келетін енгізу деп санаңыз, сенімді конфигурация деп емес. Allowlist ішіндегі scheme мен host-қа ғана рұқсат беріп, javascript:, data: және file: схемаларын қабылдамаңыз. SSRF-тен қорғану үшін private, loopback, link-local және cloud-metadata диапазондарын бөгеп, әр redirect-ті тексеріңіз және egress прокси қолданыңыз. URL-ді shell арқылы ашпаңыз. Инъекция осы жолдардың кез келгенін пайдалануға тырысуы мүмкін.
Scopes-ты біртіндеп беріңіз. Алдымен discovery мен оқуға арналған аз құқықтан бастаңыз, нақты операцияға қажет болғанда ғана дәл қосымша scope сұраңыз, сұралған және берілген жиынды correlation ID арқылы журналдаңыз. *, all және барлық әкімшілік құқықты біріктіретін scope-тан қашыңыз. Token claims әр құрал мен аргумент үшін серверлік авторизацияны алмастырмайды. Қысқа мерзімді токендер, қауіпсіз сақтау, public client үшін refresh token ротациясы және тазартылған журналдар ұрланған токен салдарын азайтады.
Жергілікті MCP серверінің шекарасы бөлек. Процесс клиентпен бірдей құқыққа ие болып, файл оқып, желі қолданып, команда іске қоса алады. Қосар алдында толық іске қосу командасы мен аргументтерін көрсетіңіз. Аутентификациясыз HTTP орнына stdio немесе қорғалған жергілікті IPC таңдаңыз. Процесті файл, желі және процесс құқықтары ең аз sandbox не контейнерде іске қосыңыз, қосымша каталогтар мен мекенжайларды жеке рұқсат етіңіз.
Айналып өтсе де жұмыс істейтін қорғаныс қабаттары
Ең аз артықшылық залал ауқымын шектейді. Әр агентке бір жұмыс ағынына керек құралдарды ғана беріңіз. Оқуды, жобаны, бекітуді және сақтауды бөліңіз. Тұрақты пайдаланушы токенінің орнына операцияға арналған қысқа мерзімді дереккөздерді қолданыңыз. Орындау кезінде авторизацияны қайта тексеріңіз, өйткені жоспар, сессия, құрал сипаттамасы немесе ресурс өзгеруі мүмкін.
Бекіту қақпасы шынайы саясат тексерісі болуы керек, жай растау терезесі емес. Жіберу, жою, жариялау, төлем, құқық өзгерту, орналастыру, жаңа дерек санатына кіру немесе жаңа мақсатпен байланысу үшін бекіту талап етіңіз. Модельдің қысқаша мәтінін ғана емес, нақты әрекетті, аргументтерді, тұлғаны, нысананы, дерек өрістерін және күтілетін әсерді көрсетіңіз. Бекіткеннен кейін preview-ді қайта есептеп, келісімді операция хэшімен байланыстырыңыз, сонда кейінгі қадам аргументтерді жасырын ауыстыра алмайды. Төмен қауіпті әрекеттерді шектеңіз, бірақ тексерушіні түсініксіз терезелерді мақұлдауға үйретпеңіз.
Оқшаулау сәтті инъекцияның жететін ресурсын азайтады. Tenant, сессия және жад қоймаларын бөліңіз. Браузинг агентіне жеке кілттер бермеңіз. Coding агентіне тар жұмыс аймағын беріп, желіні әдепкіде жабыңыз және пакет орнатуға бөлек identity қолданыңыз. Процесс, файл, желі және браузер оқшаулауын біріктіріңіз. Контейнердің өзі саясат емес, сондықтан mounts, socket, identity, egress және escape жолдарын тексеріңіз.
Контенттің шығу тегі шешімдерді тексеруге мүмкіндік береді. Әр құжатқа, құрал сипаттамасына және нәтижесіне source, автор, алынған уақыт, тұтастық күйі және сенім класын қосыңыз. Қорытындылау мен агенттер арасындағы контекст алмасу кезінде оларды сақтаңыз. Сыртқы контентті «нұсқау емес» деген көрінетін белгімен дерек ретінде көрсетіңіз. Белгі модельге көмектеседі, бірақ құқықты қолданба кодпен орындайды. Енгізу және көрсету шекараларындағы көрінбейтін таңбаларды жойыңыз не канондық түрге келтіріңіз, басқа тасымалдаушылар қала беретінін ескеріңіз.
Модель шығысын сенімді кодпен тексеріңіз: қатаң схемалар, құралдардың allowlist-і, типтелген аргументтер, URL мен жол тексерісі, өлшем және жиілік лимиттері, әр жұмыс ағынына арналған күй машинасы. Екінші модельдің қауіпсіздік пікірін авторизацияға айналдырмаңыз. Critic күмәнді әрекетті белгілеуі мүмкін, бірақ соңғы шешім детерминистік болуы керек. Бастапқы prompt-ты, дереккөздерді, құрал метадеректері нұсқасын, аргументтерді, саясат шешімін, бекітуді және жауапты шикі құпиясыз жазып алыңыз.
Қарсылас бағалауы және пайдалану
Тек чат prompt-ын емес, агент циклін толық бағалаңыз. Direct override, жасырын HTML, дәйексөзді хат, уланған репозиторий мәтіні, зиянды MCP сипаттамасы, екінші шақыруды талап ететін құрал нәтижесі, сессияаралық жад жазбасы, көптілді және кодталған payload, көрінбейтін таңба, SSRF метадерек мекенжайы, қате токен аудиториясы және бекітуден кейінгі аргумент ауысуы үшін тесттер жасаңыз. Шабуылға ұқсайтын, бірақ дұрыс контентті де қосып, қате дабыл мен тапсырма орындалуын бірге өлшеңіз.
Қолданыстағы классификаторларды, белгілерді, схемаларды және бекіту ережелерін білетін бейімделгіш шабуылшымен тест жасаңыз. Сөздерді, модальділікті, құрал ретін, уақытты және дерек мақсатын өзгертіңіз. Статикалық benchmark жоғары нәтиже көрсетуі мүмкін, алайда қорғанысты білетін шабуылшы басқа жол табады. Шабуыл жетістігін, рұқсатсыз шақыруларды, sink-ке жеткен сезімтал байттарды, scope көтерулерін, бекіту дәлдігін, анықтау және қолжетімділікті қайтару уақытын өлшеңіз. Модель, prompt, сервер, саясат немесе тәуелділік өзгерген сайын регрессия жағдайларын сақтаңыз. Бұл процесті AI агенттерін бағалау нұсқаулығында құжаттауға болады.
Архитектураны production AI agent architecture материалымен салыстырыңыз. OAuth іске асыру мәліметтері MCP server TypeScript with OAuth мақаласында берілген. Бұл ішкі сілтемелер нақты ортаны модельдеуді алмастырмайды.
Оқиға кезіндегі чеклист
Инъекцияға күдік болса, жұмыс ағынын тоқтатып, оқиғаны шектейтін ең кішкентай қабілетті өшіріңіз. Prompt, source, шығу тегі, құрал сипаттамасы мен нұсқасы, аргументтер, токен метадеректері, бірақ токен мәні емес, саясат шешімдері, бекітулер, мекенжайлар мен уақытты сақтаңыз. Жолдың тікелей, жанама, құрал арқылы немесе жадта тұрақты екенін анықтаңыз. Сол payload-ты басқа tenant, индекс, кезек, журнал және агенттер арасындағы алмасудан іздеңіз.
Контекстке немесе журналға түсуі мүмкін дерекке қолжетімділікті қайтарып, credential-дерді ауыстырыңыз, сессияларды жабыңыз және қажет болса refresh token-дерді жаңартыңыз. Мекенжай мен әсер еткен MCP серверін бұғаттаңыз. Кейінгі API-ларда рұқсатсыз оқу, жазу, хабарлама және OAuth grant бар-жоғын тексеріңіз. Орындалған аргументтерді адам көріп бекіткен preview-мен салыстырыңыз.
Шектеуден кейін уланған жад пен іздеу жазбаларын жойыңыз, сенімді метадеректерді қалпына келтіріңіз және шабуыл жолын регрессия тестіне қосыңыз. Модель нені көргенін, саясат нені рұқсат еткенін, адам нені бекіткенін және қай бақылау істемегенін жазыңыз. Дерек шекарадан өтсе, оқиға мен құпиялылық иелеріне хабарлаңыз. Классификатордың мәтінді кейін тануы оқиғаны зиянсыз етпейді.
Қорғаныс нені уәде ете алмайды
Prompt injection дамып келе жатқан мәселе болып қалады, себебі қазіргі модельдер нұсқау мен дерек арасында формалды бөлу орнатпайды. Оқыту, классификаторлар, бөлгіштер, шығу тегі, шығыс схемалары және адам тексерісі қауіпті азайтады, бірақ бейімделгіш шабуылшы сөздерді, кодтауды, реттілікті немесе модальділікті өзгерте алады. Адамның бекітуі шаршаудан немесе адастыратын preview-ден өтпей қалуы мүмкін. Қате бапталған sandbox пен заңды бекітілген пакет те қауіпті болуы ықтимал.
Агентке инъекция әсер етпейді деп айту адал болмайды. Белгілі бір жұмыс ағынында анық сенім шекарасы, ең аз қабілет, детерминистік тексерістер, бақыланатын шешімдер, сыналған сәтсіздіктер және дайындалған жауап бар деп айтуға болады. MCP серверін, құралды, жад провайдерін, модельді, дерек көзін немесе шығыс арнасын қосқанда бұл болжамдарды қайта қараңыз. Бұл инженерлік нұсқаулық, сертификат та, қауіпсіздік аудиті де емес.
Дереккөздер
- OWASP GenAI LLM Top 10 2026
- MCP авторизация спецификациясы
- MCP қауіпсіздік жөніндегі үздік тәжірибелер
- OpenAI: Designing AI agents to resist prompt injection
- OpenAI: Understanding prompt injections
- Anthropic: Trustworthy agents in practice
- Google Cloud: AI security and safety for MCP servers
- Microsoft: Protecting against prompt injection attacks