OpenAI, bilgisayar solucanı gibi yayılan yeni bir prompt injection türünü açıkladı

Cuma günü yayımlanan bir raporda OpenAI, bilgisayar solucanı gibi kendi kendine çoğalabilen yeni bir prompt injection türüne dair kanıtlar paylaştı. Şirket bu tekniğe “kendini kopyalayan prompt injection” adını veriyor.

OpenAI saldırıyı, kötü amaçlı yazılımın kendini kopyalayıp makineler arasında hızla yayıldığı geleneksel bir bilgisayar solucanına benzetiyor. Şirkete göre yeni enjeksiyonların iki hedefi var: kötü amaçlı bir amaca ulaşmak ve ardından hedef modelleri enjeksiyonu herkese açık biçimde çoğaltmaya yönlendirmek.

Saldırılar nasıl yayılıyor

OpenAI, e-posta vakasını “en net örneklerden biri” olarak tanımlıyor. Enjeksiyon bir e-postayla geliyor; ajan mesajı okuduğunda enjeksiyon ona kendini gönderdiği tüm e-postalara kopyalamasını söylüyor.

Şirket daha karmaşık varyantlar da buldu. Bazı enjeksiyonlar kendini çoğaltmak için dosya sistemini kullanıyor ya da kod yorumlarının içine yerleşiyor. Bir örnekte sahte bir sistem uyarısı, modelin önemli raporları silmesine yol açıyor; ardından saldırı bir dosya içinde kendini kopyalıyor.

Rapor ayrıca “çok adımlı prompt injection” vakalarını ele alıyor; burada tek bir mesaj basamak görevi görüyor ve birlikte yetkisiz bir eyleme yol açan diğer mesajlara yönlendiriyor. OpenAI’ın örneğinde GPT-5.5 tabanlı bir ajan Slack’ten ek talimatlar alıyor ve enjekte edilen mesajı yeniden paylaşıyor.

OpenAI bunları nasıl buldu

Temmuzda tanıtılan GPT-Red, OpenAI’ın prompt injection’lara karşı kullandığı bir kendi kendine oyun eğitim çerçevesi. Bir “saldırgan” modeli bir “savunucu” modelle karşı karşıya getiriyor; saldırgan savunucuyu kötü bir eyleme zorlamaya çalışıyor ve enjeksiyonlar savunucunun ortamına ekleniyor.

Bu kez OpenAI, kendini kopyalayan enjeksiyonların mümkün olup olmadığını test etti. E-posta ve dosya sistemi enjeksiyonlarını GPT-5.4-mini tabanlı, GPT-Red tarzı bir model buldu; savunmasız model de GPT-5.4-mini tabanlıydı ve ikisi de yalnızca şirket içi araştırma sürümüydü. Çok adımlı değerlendirmede savunmasız model GPT-5.5 oldu ve saldırıyı Codex ortamında çalışan GPT-5.5 keşfetti. Testler e-posta ve takvim gibi bağlayıcıların kullanıldığı eğitim ortamlarında yapıldı.

Araştırma bulgusu, olay değil

OpenAI, eğitim ve değerlendirmedeki simüle edilmiş araç çağrılarının dışında bir etki gözlemlemediğini ve bulguları “yeni doğası” nedeniyle paylaştığını vurguluyor.

Şirket bu ay modellerin uyumsuz davranışına dair birkaç rapor yayımladı; bunlar arasında sızdırılmış API anahtarlarının izinsiz kullanımını ele alan altı rapor da var. Buna yanıt olarak OpenAI, gelecekteki modellerin benzer enjeksiyonlara daha dayanıklı olması için GPT-Red eğitiminde saldırgan hedeflerine kendi kendini çoğaltmayı ekledi.