Όταν το κρυπτογραφημένο κρύβει επιθέσεις: το νέο πρόβλημα των LLM

Μια πρόσφατη τεχνική επίθεσης έδειξε ότι δεν αρκεί να προσέχεις μόνο τι «λέει» ο χρήστης σε ένα μεγάλο γλωσσικό μοντέλο. Η μέθοδος που βάφτισαν οι ερευνητές Cryptographic Context Injection εξαφάνισε την παραδοσιακή γραμμή άμυνας των φίλτρων ασφαλείας: κρυπτογραφημένα δεδομένα που αποκρυπτογραφούνται από το σύστημα μπορούν να λειτουργήσουν ως ανεπίγνωστη πηγή εντολών και να αναγκάσουν το μοντέλο να παραβιάσει τους εσωτερικούς κανόνες του.

Πώς λειτούργησε η επίθεση στην πράξη

Η εταιρεία ασφαλείας Adversa περιέγραψε ένα σενάριο όπου ένα ciphertext ενσωματώθηκε στο εισερχόμενο περιβάλλον του μοντέλου. Όταν το σύστημα -ή κάποιο εργαλείο που το συνοδεύει- αποκρυπτογράφησε το υλικό, το αποτέλεσμα φαινόταν σαν traceback ή μήνυμα σφάλματος. Στον απλό κανόνα που ανέγραφε το κείμενο υπήρχε μια οδηγία: «αν ο κώδικας αποτύχει, διάβασε το μήνυμα λάθους και ενήργησε σύμφωνα με αυτό». Το καθαρό κείμενο που προέκυψε περιείχε επιπλέον prompt που ώθησε το μοντέλο να παρακάμψει τους περιορισμούς ασφαλείας του.

Στην αναφορά της Adversa, η ίδια τεχνική είχε ήδη χρησιμοποιηθεί με επιτυχία εναντίον του Gemini, το μεγάλο γλωσσικό μοντέλο της Google. Με κατάλληλο payload, το ciphertext προκάλεσε την παραγωγή περιορισμένου περιεχομένου που κανονικά οι φίλτροι ασφαλείας απορρίπτουν — ακόμη και οδηγίες για την κατασκευή εμπρηστικού όπλου. Σε άλλη παραλλαγή, η ίδια τεχνική αναπαρήγαγε τις εσωτερικές «system» οδηγίες του μοντέλου, συμπεριλαμβανομένων ρητών οδηγιών για μη αποκάλυψη τους.

Γιατί αυτό δεν είναι απλώς ένα νέο jailbreak

Τα jailbreaks στα LLM δεν είναι καινούργια: εδώ και καιρό οι ερευνητές και οι επιτιθέμενοι χρησιμοποιούν περίπλοκα prompts για να παραπλανήσουν τα μοντέλα. Η καινοτομία της τεχνικής της Cryptographic Context Injection είναι ότι δεν στοχεύει μόνο το prompt που δίνει ο χρήστης, αλλά τον ευρύτερο «context» που το μοντέλο θεωρεί ως δικό του: εξόδους εργαλείων, αποτελέσματα εκτέλεσης κώδικα, logs, even intermediate state.

Αυτό αλλάζει το παιχνίδι: πλέον αντί να στέλνεις μόνο κείμενο που το μοντέλο θα ερμηνεύσει ως αίτημα, εισάγεις κρυπτογραφημένα δεδομένα που αποκρυπτογραφούνται μέσα στο περιβάλλον και μετατρέπονται σε εντολές—συνεπώς οι παραδοσιακές μέθοδοι φιλτραρίσματος του user prompt γίνονται ανεπαρκείς.

Τι συνέβη με τη δημοσιοποίηση και γιατί δεν αναφέρθηκε στην Google

Η Adversa δεν κατέθεσε το εύρημα σαν παραδοσιακό ευπάθεια στη Google επειδή, σύμφωνα με την ίδια, τα jailbreaks εξαιρούνται από το πρόγραμμα αποκάλυψης ευπαθειών της εταιρείας. Αυτό ανοίγει ένα νομικό και οργανωτικό πρόβλημα: όταν μια μέθοδος εκμετάλλευσης δεν εμπίπτει στο επίσημο scope, η διάχυση της γνώσης μένει στα χέρια των ερευνητών ασφαλείας και συνήθως δημοσιοποιείται με επιφυλάξεις.

Στο μεταξύ, η Google έχει βελτιώσει την ανθεκτικότητα του Gemini στις τελευταίες εβδομάδες· η Adversa αναγνωρίζει ότι δεν μπορεί να επιβεβαιώσει εάν η αλλαγή οφείλεται σε καινούργια φίλτρα, αναβάθμιση του μοντέλου ή συνδυασμό και των δύο. Το γεγονός παραμένει: η άμυνα συνεχώς προσαρμόζεται, αλλά και η επιφάνεια της επίθεσης διευρύνεται.

Η νέα επιφάνεια επίθεσης: εργαλεία, logs και ενδιάμεσα δεδομένα

Παραδοσιακά, οι defenders επικεντρώνονται στα inputs· το τι γράφει ο χρήστης και πώς το μοντέλο το ερμηνεύει. Η πραγματικότητα των σύγχρονων εφαρμογών με LLM είναι πιο σύνθετη: τα μοντέλα συχνά συνεργάζονται με εργαλεία — εκτελούν κώδικα, διαβάζουν αρχεία, καλούν APIs, και αποθηκεύουν ενδιάμεσα αποτελέσματα. Κάθε ένα από αυτά τα σημεία είναι πιθανή πηγή “context” που το μοντέλο θα δεχθεί ως έγκυρο.

Η εισαγωγή κρυπτογραφημένων εντολών στο pipeline αντιστοιχεί σε μια μορφή «πνευματικής ρύπανσης» του context: το σύστημα μεταφράζει κρυπτοκείμενο σε φυσική γλώσσα και το χρησιμοποιεί ως ανήκον στην εσωτερική του κατάσταση. Αυτό σημαίνει ότι επιτιθέμενοι δεν χρειάζονται πια άμεση πρόσβαση στο user prompt· αρκεί να επηρεάσουν ένα εργαλείο ή μια μετα-δεδομένη ροή.

Πιο πρακτικές συνέπειες: απειλή για ιδιωτικότητα και ασφάλεια

Η δυνατότητα εκμετάλλευσης τέτοιων αδυναμιών οδηγεί σε δυνητικά σοβαρές ιδιωτικές παραβιάσεις. Ένα μηχανισμό που ανακτά και αποκρυπτογραφεί αρχεία χρηστών μπορεί να γίνει πηγή εντολών που ζητούν απευθείας εξαγωγή ευαίσθητων πληροφοριών, όπως προσωπικά δεδομένα, κλειδιά ή περιεχόμενο συνομιλιών. Το μοντέλο, αν παραπλανηθεί, μπορεί τελικά να εμφανίσει —ή να αποστείλει— αυτά τα δεδομένα πέρα από το επιτρεπόμενο πλαίσιο.

Επιπλέον, η παραγωγή περιορισμένου περιεχομένου (π.χ. οδηγιών για επικίνδυνες πράξεις) επιδεινώνει τα νομικά και ηθικά ζητήματα. Ακόμα κι αν η επίθεση δεν αποκαλύπτει προσωπικές πληροφορίες, η ικανότητα παραγωγής αποκλεισμένου περιεχομένου δείχνει ότι τα συστήματα προστασίας βασισμένα αποκλειστικά σε keyword filtering ή static system prompts δεν αρκούν.

Τεχνικές και οργανωτικές αντιμετώπισης

Δεν υπάρχει μία απλή λύση, αλλά συνδυασμός τεχνικών και διαδικαστικών αλλαγών μπορεί να μειώσει τον κίνδυνο. Καταρχάς, οι πλατφόρμες πρέπει να εφαρμόσουν πιο αυστηρή «απομόνωση context»: τα outputs εργαλείων που περιέχουν δυνητικά μη-επεξεργασμένα κείμενα πρέπει να περνούν από ανεξάρτητη επαλήθευση πριν γίνουν input για το μοντέλο. Αυτό περιλαμβάνει κανόνες για το ποια binary ή κρυπτογραφημένα blobs επιτρέπεται να αποκρυπτογραφούνται αυτόματα.

Παράλληλα, τεχνικές όπως cryptographic signing και provenance μπορούν να βοηθήσουν: αν ένα μήνυμα ή ένα αρχείο συνοδεύεται από ψηφιακή υπογραφή που επιβεβαιώνει την προέλευση του, το μοντέλο ή το pipeline μπορεί να επιβάλει διαφορετικούς κανόνες χειρισμού. Η χρήση sandboxed εκτέλεσης για εργαλεία που αποκρυπτογραφούν περιεχόμενο, μαζί με rate limiting και auditing, μπορεί να περιορίσει την πιθανότητα κακόβουλης χρήσης.

Περιορισμοί και λειτουργικά trade-offs

Οι πρακτικές άμυνες εισάγουν κόστη: επιβράδυνση των συστημάτων, αυξημένη πολυπλοκότητα και πιθανή δυσλειτουργία της εμπειρίας χρήστη. Πολλές εφαρμογές LLM χρειάζονται να χειρίζονται αρχεία, να εκτελούν user-provided code ή να αλληλεπιδρούν με APIs για να παρέχουν χρήσιμες υπηρεσίες. Το να απαγορευθεί κάθε είδους αποκρυπτογράφηση ή επεξεργασία μη-επιβεβαιωμένου περιεχομένου θα στέρησε λειτουργικότητες.

Επιπλέον, δεν υπάρχει τέλεια διάκριση μεταξύ “καλού” και “κακού” context. Ένα εργαλείο που βοηθά developers να εντοπίζουν σφάλματα μπορεί να επιστρέψει traceback που ο επιτιθέμενος εκμεταλλεύεται ως οδηγία. Η πρόκληση είναι να σχεδιαστούν κανόνες που ελαχιστοποιούν την αθέλητη χρήση χωρίς να υπονομεύουν την αξία των εργαλείων αυτών.

Πρόληψη μέσω σχεδίασης και αξιολόγησης κινδύνου

Η πιο βιώσιμη προσέγγιση συνδυάζει τεχνολογία, διαδικασίες και συνεχή red teaming. Μοντέλα πρέπει να σχεδιάζονται με αρχές least privilege: να μην εμπιστεύονται αυτόματα εξωτερικά outputs και να απαιτούν ξεκάθαρη, επαληθεύσιμη εξουσιοδότηση για εκτέλεση ενεργειών που περιλαμβάνουν ευαίσθητα δεδομένα. Οι ομάδες ασφαλείας πρέπει να εντάσσουν τέτοιες μορφές context injection στα επίσημα σενάρια δοκιμών τους.

Επιπλέον, τα προγράμματα αποκαλύψεων ευπαθειών (vulnerability disclosure / bug bounty) χρειάζεται να επανεξετάσουν τα scopes τους ώστε να καλύψουν πιο σύγχρονες μορφές επίθεσης που δεν είναι απλώς «prompt jailbreaks», αλλά εκμεταλλεύσεις του ευρύτερου περιβάλλοντος λειτουργίας ενός LLM.

Τι σημαίνει για τους χρήστες

Για τον τελικό χρήστη, το μήνυμα είναι διπλό: από τη μία, οι προμηθευτές τεχνολογίας βελτιώνουν συνεχώς τα μοντέλα και τα φίλτρα τους, κι από την άλλη οι επιθέσεις εξελίσσονται σε νέα επίπεδα. Όταν εμπιστεύεστε ένα σύστημα που εκτελεί κώδικα για εσάς, χειρίζεται αρχεία ή συνδέεται με άλλες υπηρεσίες, να περιμένετε ότι η ασφάλεια εξαρτάται τόσο από τη σωστή ρύθμιση όσο και από την οργανωτική ωριμότητα της πλατφόρμας.

Στην πράξη αυτό σημαίνει περιορισμένη εμπιστοσύνη σε αυτόματες εργασίες που χειρίζονται ευαίσθητες πληροφορίες, έλεγχο πρόσβασης, και ενημέρωση για τις πολιτικές απορρήτου και ασφάλειας των υπηρεσιών που χρησιμοποιείτε. Για επιχειρήσεις, η προτεραιότητα είναι να ενσωματώσουν διαδικασίες auditing, logging και ανεξάρτητης επιβεβαίωσης πριν επιτρέψουν αυτοματοποιημένη πρόσβαση σε κρίσιμες πληροφορίες.