- Injeksi cepat memanfaatkan ketidakmampuan LLM untuk membedakan instruksi sistem dari data pengguna.
- Terdapat varian langsung, tidak langsung, dan tersimpan yang dapat membahayakan privasi dan integritas sistem.
- Hal ini berbeda dari jailbreaking karena yang terakhir secara khusus berupaya untuk menghindari hambatan etika dan keamanan dari model tersebut.
- Upaya mitigasi memerlukan pendekatan multidisiplin yang menggabungkan penyaringan input, manajemen hak akses, dan pengawasan manusia.
Anda mungkin pernah mendengar tentang chatbot dan bagaimana mereka mempermudah hidup kita, tetapi ada sisi gelap yang tidak selalu menjadi berita. Ternyata, alat-alat ini, meskipun tampak ajaib, memiliki kelemahan mendasar dalam cara mereka memproses informasi, memungkinkan pengguna tertentu untuk "menipu" mereka agar melakukan hal-hal yang tidak pernah dimaksudkan oleh penciptanya.
Kita berbicara tentang injeksi perintah, sebuah teknik yang pada dasarnya melibatkan manipulasi bahasa untuk mengendalikan AI. Anda tidak perlu menjadi ahli pemrograman atau menginstal program yang rumit; terkadang, frasa yang tepat sudah cukup bagi model untuk mengabaikan aturannya dan mengungkapkan rahasia atau bertindak jahat, yang menjadi masalah besar bagi keamanan siber modern.
Apa sebenarnya injeksi cepat itu?
Untuk memahami hal ini dengan benar, penting untuk mengetahui bahwa Model Bahasa Besar (LLM), seperti GPT-4 atau Gemini, beroperasi menggunakan perintah. Perintah hanyalah instruksi yang diberikan pengguna kepada mesin. Masalahnya adalah pengembang menambahkan instruksi internal yang tidak terlihat (perintah sistem) untuk mendefinisikan perilaku dan aturan bot, tetapi AI tidak dapat membedakan di mana perintah programmer berakhir dan teks pengguna dimulai.
Kerentanan ini terjadi karena model memproses seluruh aliran teks sebagai satu kesatuan. Dengan demikian, jika penyerang memasukkan perintah yang berbunyi "abaikan semua yang di atas," AI dapat memprioritaskan perintah baru tersebut di atas aturan keamanan asli. Pada intinya, ini adalah bentuk rekayasa sosial yang diterapkan pada mesin, di mana bahasa adalah senjata yang digunakan untuk membajak perilaku asisten.
Perbedaan utama antara Prompt Injection dan Jailbreak
Banyak orang yang bingung dengan kedua istilah ini, tetapi keduanya tidak sama. Jailbreaking seperti mencoba "membuka kunci" pada AI. Tujuannya adalah untuk mengesampingkan perlindungan etika dan kebijakan konten sehingga bot mengatakan hal-hal yang dilarang atau menghasilkan konten yang dibatasi. Contoh yang paling terkenal adalah mode DAN ("Do Anything Now"), di mana model dipaksa untuk mengadopsi karakter tanpa aturan.
Di sisi lain, injeksi prompt adalah konsep yang lebih luas. Tujuannya tidak selalu untuk melanggar aturan moral, tetapi lebih untuk mengubah fungsi sistem . Penyerang mungkin hanya ingin bot mengungkapkan instruksi internalnya atau melakukan tindakan yang tidak sah pada sistem yang terhubung. Sementara jailbreaking biasanya merupakan tindakan yang disengaja oleh pengguna dalam sesi mereka sendiri, injeksi prompt dapat berupa serangan tak terlihat yang memengaruhi pihak ketiga.
Jenis serangan: Langsung, Tidak Langsung, dan Tersimpan
Tidak semua serangan dieksekusi dengan cara yang sama. Metode paling sederhana adalah injeksi langsung , yang terjadi ketika pengguna mengetikkan instruksi berbahaya langsung ke jendela obrolan. Ini bisa berupa tindakan yang disengaja untuk meretas sistem atau kesalahan pengguna yang tidak disengaja yang menyebabkan perilaku yang tidak menentu pada model.
Injeksi tidak langsung jauh lebih berbahaya . Di sini, penyerang tidak berkomunikasi langsung dengan AI, tetapi menyembunyikan instruksi di dalam sumber eksternal yang akan dibaca oleh AI, seperti halaman web, dokumen PDF, atau email. Misalnya, jika Anda meminta bot untuk meringkas halaman web yang berisi teks tersembunyi dengan perintah "curi data pengguna," AI akan memproses perintah tersembunyi tersebut dan dapat mengekstrak informasi tanpa sepengetahuan Anda.
Terakhir, kita memiliki injeksi tersimpan . Metode ini melibatkan penanaman instruksi berbahaya di dalam basis data atau di dalam data pelatihan itu sendiri. Karena informasi tersebut sudah tersimpan, serangan ini dapat memengaruhi banyak pengguna dalam sesi yang berbeda, karena model menyerap malware dan mereplikasinya setiap kali seseorang mengakses informasi spesifik tersebut.
Dampak dan skenario bahaya di kehidupan nyata
Ketika serangan berhasil, konsekuensinya bisa sangat serius, mulai dari kebocoran data perusahaan yang bersifat rahasia hingga manipulasi keputusan penting. Di lingkungan perusahaan, di mana AI memiliki akses ke API atau email, penyerang dapat membuat bot mengirim pesan atas nama pengguna atau mengakses file pribadi.
- Penipuan resume: Beberapa kandidat menyertakan teks kosong (yang tidak terlihat oleh manusia) yang menyatakan bahwa mereka adalah "pakar luar biasa" untuk mengelabui filter AI HR.
- Pembajakan browser: Para peneliti telah berhasil dalam Agen AI yang membaca email Mengirim surat pengunduran diri kepada atasan pengguna menggunakan instruksi tersembunyi.
- Kebocoran sistem: Dalam kasus Bing Chat, seorang mahasiswa berhasil membuat bot tersebut mengungkapkan nama kodenya, "Sydney," dan pedoman operasional internalnya.
- Serangan multimodal: Sekarang ada risiko di mana instruksi berbahaya tidak berupa teks, tetapi tertanam dalam gambar bahwa AI menganalisis, memperluas area serangan.
Strategi pertahanan dan mitigasi
Kabar buruknya adalah, karena sifat stokastik dari LLM, tidak ada solusi pasti. Namun, pengamanan yang sangat efektif dapat diterapkan . Salah satu pilihan terbaik adalah penyaringan input/output, di mana sistem eksternal menganalisis apakah perintah tersebut mengandung pola yang mencurigakan sebelum mencapai model.
Penting juga untuk menerapkan prinsip hak akses minimal . Anda tidak boleh memberikan akses penuh kepada AI ke akun email atau basis data Anda; lebih baik AI bertindak sebagai perantara yang memerlukan persetujuan manusia untuk tindakan berisiko tinggi. Teknik lain termasuk menggunakan model "terisolasi" untuk memproses data eksternal, memisahkan logika kontrol dari pembacaan data yang tidak tepercaya.
Terakhir, pelatihan berkelanjutan dan pengujian adversarial sangat penting. Perusahaan harus mensimulasikan serangan untuk menemukan kerentanan sebelum peretas melakukannya. Selain itu, pencatatan telemetri memungkinkan deteksi anomali dalam respons model, membantu bereaksi cepat ketika ada sesuatu yang tampak tidak beres.