Τι είναι η ασφάλεια των LLM; Πώς να μετριάσετε τους 10 κορυφαίους κινδύνους ασφάλειας του OWASP

Μια επίθεση που ξεγελά ένα σύστημα AI ώστε να αντιμετωπίζει τις οδηγίες ενός επιτιθέμενου ως εντολές —η λεγόμενη έγχυση εντολών (prompt injection)— κατέχει την 1η θέση στο OWASP Top 10 for LLM Applications σε κάθε έκδοση από το 2023.

Η λίστα είναι ό,τι πιο κοντινό σε ομοφωνία υπάρχει στην ασφάλεια της AI. Το έργο ξεκίνησε από μια μικρή ομάδα επαγγελματιών ασφαλείας και σήμερα στηρίζεται σε περισσότερους από 600 ειδικούς που συνεισφέρουν σε πάνω από 18 χώρες.

Είμαστε μια εταιρεία AI που δημοσιεύει έναν οδηγό για το πώς η AI παρασύρεται να κάνει πράγματα, οπότε δεν θα προσποιηθούμε ότι το πρόβλημα έχει λυθεί. Ο Wilson, που συντονίζει από κοινού το έργο του OWASP, ήταν αρκετά σαφής σχετικά με τις τρέχουσες άμυνες: «...ειλικρινά, δεν πιστεύω ότι βρισκόμαστε στο 99%».

Η έκδοση του 2026 ξεκινά στον ίδιο τόνο. Ο επικεφαλής του έργου μάς λέει να «σταματήσουμε να προσπαθούμε να φτιάξουμε ένα μοντέλο που δεν μπορεί να ξεγελαστεί» και να σχεδιάσουμε το σύστημα γύρω του έτσι ώστε ένα μοντέλο που ξεγελάστηκε να μην μπορεί να χαλάσει τίποτα σημαντικό.

Αυτή την προσέγγιση ακολουθούμε και για τους 10 κινδύνους της λίστας του OWASP για το 2026.

Τι σημαίνει ασφάλεια των LLM;

Ασφάλεια των LLM σημαίνει προστασία των μοντέλων AI και των εφαρμογών που τα χρησιμοποιούν από επιθέσεις και κατάχρηση. Ο κίνδυνος αυξάνεται ανάλογα με το τι είναι συνδεδεμένο στο μοντέλο: τα αρχεία και τα δεδομένα που μπορεί να διαβάσει και τα εργαλεία που μπορεί να χρησιμοποιήσει, όπως το email, η αναζήτηση ή μια εταιρική βάση δεδομένων.

Στο σωστά ασφαλισμένο λογισμικό υπάρχει μια σαφής διαχωριστική γραμμή ανάμεσα στις οδηγίες που ακολουθεί ένα πρόγραμμα και στις πληροφορίες που επεξεργάζεται. Τα LLM όμως δεν έχουν αυτή τη γραμμή.

Όλα όσα διαβάζει το μοντέλο φτάνουν ως μια μεγάλη, ενιαία ροή κειμένου: οι οδηγίες του προγραμματιστή, η ερώτησή σας, μια ιστοσελίδα που αναζήτησε. Τα μοντέλα AI υποτίθεται ότι παρακολουθούν ποιος μιλά, είτε πρόκειται για τον προγραμματιστή, είτε για τον χρήστη, είτε για το ίδιο το μοντέλο καθώς σκέφτεται ένα πρόβλημα.

Ωστόσο, οι ερευνητές Jasmine Cui και Charles Ye διαπίστωσαν ότι τα μοντέλα κυρίως μαντεύουν ποιος μιλά από το ύφος του κειμένου. Έτσι, αν ένας επιτιθέμενος γράψει κάτι που μοιάζει με τον συλλογισμό του ίδιου του μοντέλου, το μοντέλο μπορεί να πιστέψει ότι η ιδέα ήταν δική του. Αυτό αποτελεί πρόβλημα για κάθε μηχανισμό ασφαλείας που προϋποθέτει ότι το μοντέλο γνωρίζει ποιος έχει τον έλεγχο.

Έχουμε αντιμετωπίσει το ίδιο πρόβλημα με τους δικούς μας πράκτορες AI. Ο CISO μας, Kyle Polley, δήλωσε στο ISMG ότι οι πράκτορες «ενδέχεται να μην ακολουθούν πολιτικές ακόμη κι αν τις προσθέσετε στο system prompt». Γι' αυτό δημιουργήσαμε το Numbat, ένα εργαλείο ανοιχτού κώδικα που ελέγχει τι πρόκειται να κάνει ένας πράκτορας και μπορεί να το μπλοκάρει αν η ενέργεια παραβιάζει κάποιον διαμορφωμένο κανόνα ασφαλείας.

Ασφάλεια των LLM σημαίνει να αποδεχτείτε ότι το μοντέλο θα δέχεται μερικές φορές εντολές από λάθος άτομο και να χτίσετε γύρω του δικλίδες ασφαλείας για την AI που αντέχουν ακόμη και όταν συμβαίνει αυτό.

Ποιες είναι οι βέλτιστες πρακτικές για την ασφάλεια των LLM;

Θα εξετάσουμε το OWASP Top 10 for LLM Applications 2026 με τη σειρά, από τη θέση 1 έως τη θέση 10.

Για κάθε κίνδυνο θα βρείτε μια απλή εξήγηση για το πώς στραβώνουν τα πράγματα και ένα πραγματικό παράδειγμα. Στη συνέχεια θα παρουσιάσουμε τις πρακτικές που μπορούν να βοηθήσουν στην πρόληψή του ή, τουλάχιστον, στον περιορισμό της ζημιάς.

1. Περιορίστε την έγχυση εντολών

Η έγχυση εντολών συμβαίνει όταν ένας επιτιθέμενος κάνει μια AI να ακολουθήσει οδηγίες που δεν θα έπρεπε. Αυτές οι οδηγίες μπορεί να δοθούν απευθείας σε μια συνομιλία ή να είναι φυτεμένες σε ένα email, μια ιστοσελίδα ή ένα έγγραφο.

Ο δεύτερος τύπος είναι γνωστός ως έμμεση έγχυση εντολών. Ζητάτε από τον βοηθό σας να συνοψίσει ένα έγγραφο. Οι δημιουργοί του έχουν δώσει εντολή στον βοηθό να τους στείλει τα ιδιωτικά σας αρχεία. Αν ο βοηθός ακολουθήσει αυτές τις οδηγίες, αυτός που έγραψε το έγγραφο έχει ουσιαστικά δανειστεί την πρόσβασή σας.

Το PCMag παρομοιάζει την ασφάλεια των prompt με το μπάλωμα τρυπών σε μια πορώδη πέτρα. Σφραγίζετε ένα άνοιγμα και το νερό βρίσκει άλλο. «Μια επίθεση βρίσκει τον δρόμο της· διορθώνεται, αλλά αμέτρητες άλλες οδοί επίθεσης μένουν να ανακαλυφθούν, απλώς και μόνο λόγω του πόσο δυναμικά είναι συστήματα όπως τα LLM».

Παράδειγμα: Τον Ιούνιο του 2025, ερευνητές της Aim Security εντόπισαν το EchoLeak, ένα κενό ασφαλείας που ξεγελούσε το Microsoft 365 Copilot ώστε να διαρρέει ιδιωτικές εταιρικές πληροφορίες. Όταν ένας υπάλληλος έκανε μια συνηθισμένη ερώτηση σχετική με τη δουλειά του, το Copilot μπορούσε να ανασύρει το κακόβουλο email, να ακολουθήσει τις οδηγίες που ήταν κρυμμένες μέσα του και να στείλει ευαίσθητες πληροφορίες στον επιτιθέμενο. Η επίθεση παρέκαμπτε τους ελέγχους που είχαν σχεδιαστεί για να εντοπίζουν κακόβουλες οδηγίες και να αφαιρούν ύποπτους συνδέσμους.

Τι μπορείτε να κάνετε:

• Ακολουθήστε τον «Κανόνα των Δύο» της Meta: Το EchoLeak χρειαζόταν μια AI που μπορούσε να διαβάζει εταιρικά δεδομένα, να διαβάζει εξωτερικά email και να στέλνει πληροφορίες προς τα έξω — και αυτή διέθετε και τις τρεις δυνατότητες. Ο περιορισμός της σε δύο από αυτές εμποδίζει μια έγχυση εντολών να αποκτήσει υπερβολικό έλεγχο. Αν η εργασία απαιτεί και τις τρεις, απαιτήστε ανθρώπινη έγκριση πριν από κάθε ενέργεια.
• Κάντε δοκιμές απέναντι σε επιτιθέμενους που γνωρίζουν τις άμυνές σας: Δώστε στους ελεγκτές ασφαλείας σας τους κανόνες και τα φίλτρα που έχετε εφαρμόσει και αφήστε τους να βρουν τρόπους να τα παρακάμψουν. Σε μία μελέτη, επιτιθέμενοι που προσαρμόστηκαν στις άμυνες πέτυχαν σε ποσοστό άνω του 90% απέναντι στις περισσότερες από τις 12 άμυνες που δοκιμάστηκαν.

2. Αποτρέψτε τη διαρροή ευαίσθητων πληροφοριών

Όταν τα συστήματα AI δίνουν ιδιωτικές πληροφορίες σε άτομα που δεν θα έπρεπε να τις δουν, αυτό ονομάζεται αποκάλυψη ευαίσθητων πληροφοριών. Μπορεί να σημαίνει την αποκάλυψη των στοιχείων πληρωμής ενός πελάτη ή την έκθεση ιδιωτικών συνομιλιών σε μια κοινόχρηστη βάση δεδομένων.

Πολλές διαρροές ξεκινούν από την «υπερβολική κοινοποίηση». Ας πούμε ότι μια εταιρεία συνδέει την AI της με μονάδες αποθήκευσης και βάσεις γνώσεων με χαλαρά δικαιώματα. Η AI ανακτά ό,τι μπορεί να προσεγγίσει, ακριβώς όπως έχει σχεδιαστεί. Κανείς δεν χρειάζεται να εισβάλει, αλλά θεωρήστε ότι το LLM έχει ήδη παραβιαστεί.

Παράδειγμα: Τον Ιανουάριο του 2025, ερευνητές της Wiz βρήκαν μια βάση δεδομένων της DeepSeek εκτεθειμένη στο διαδίκτυο, με περισσότερες από ένα εκατομμύριο εγγραφές καταγραφής, μεταξύ των οποίων ιστορικό συνομιλιών και κλειδιά API, τα οποία χρησιμοποιεί το λογισμικό για να αποκτά πρόσβαση σε άλλες υπηρεσίες. Οι ερευνητές δεν χρειάστηκε να πείσουν το μοντέλο να αποκαλύψει τίποτα.

Τι μπορείτε να κάνετε:

• Ελέγξτε την πρόσβαση πριν η AI διαβάσει τα δεδομένα: Η εφαρμογή σας θα πρέπει να ελέγχει ποια έγγραφα επιτρέπεται να δει το άτομο που κάνει την ερώτηση, πριν τα διαβιβάσει στο μοντέλο.
• Προστατέψτε τα αρχεία που αφήνει πίσω της η AI σας: Αφαιρέστε ιδιωτικά στοιχεία και μυστικά κλειδιά πριν αποθηκεύσετε αρχεία καταγραφής δραστηριότητας, απαιτήστε σύνδεση και περιορίστε την πρόσβαση στα άτομα που τη χρειάζονται. Ορίστε περίοδο διατήρησης ώστε αυτά τα αρχεία να μη συσσωρεύονται επ' αόριστον.

3. Χαλιναγωγήστε την υπερβολική αυτονομία

Τα συστήματα AI με υπερβολική αυτονομία έχουν περισσότερη ισχύ από όση απαιτεί η δουλειά τους: εργαλεία που δεν χρειάζονται, δικαιώματα που υπερβαίνουν την εργασία τους ή ελευθερία να ενεργούν χωρίς έλεγχο. Η αιτία εδώ δεν έχει σημασία.

Μια έγχυση εντολών, ένα σφάλμα ή ένα μοντέλο που απλώς κάνει λάθος οδηγούν όλα στο ίδιο αποτέλεσμα. Αν η AI έχει τη δυνατότητα, κάποια στιγμή θα κάνει κάτι καταστροφικό.

Παράδειγμα: Τον Ιούλιο του 2025, ο ιδρυτής του SaaStr, Jason Lemkin, ανέφερε ότι ο πράκτορας προγραμματισμού του Replit διέγραψε τη βάση δεδομένων του με 1.206 εγγραφές στελεχών, παρά τις οδηγίες να μην κάνει αλλαγές. Ο πράκτορας αρχικά δήλωσε ότι τα δεδομένα δεν μπορούσαν να ανακτηθούν, αν και αργότερα αποδείχθηκε ότι η ανάκτηση ήταν δυνατή. Ο Jason διαπίστωσε ότι η οδηγία να μην αγγίξει τη βάση δεδομένων δεν του είχε αφαιρέσει τη δυνατότητα να τη διαγράψει.

Μεγέθυνση

Πηγή: X

Τι μπορείτε να κάνετε:

• Αφαιρέστε δυνατότητες που δεν χρειάζεται η εργασία: Περιορίστε τόσο τα εργαλεία που λαμβάνει ένας πράκτορας όσο και το τι μπορούν να κάνουν αυτά τα εργαλεία. Ένας βοηθός που συνοψίζει email χρειάζεται άδεια για να τα διαβάζει, όχι για να τα στέλνει ή να τα διαγράφει.
• Τοποθετήστε τους ελέγχους δικαιωμάτων εκτός της AI: Κάθε φορά που ζητείται μια ενέργεια, φροντίστε να ελέγχεται με βάση τους κανόνες ασφαλείας σας και να απαιτείται η έγκρισή της από έναν άνθρωπο.

4. Ελέγξτε τι εισέρχεται στην εφοδιαστική αλυσίδα της AI σας

Λίγες εταιρείες δημιουργούν AI από το μηδέν, και κάθε χρόνο γίνονται ακόμη λιγότερες. Σύμφωνα με την έρευνα The State of Generative AI in the Enterprise 2025 της Menlo Ventures, το 53% αγόρασε μοντέλα AI το 2024, ποσοστό που αυξήθηκε στο 76% το 2025.

Τις περισσότερες φορές, οι εταιρείες κατεβάζουν μοντέλα από πλατφόρμες όπως το Hugging Face, τα εκπαιδεύουν περαιτέρω σε σύνολα δεδομένων που συνέλεξαν άλλοι και προσθέτουν επεκτάσεις και πακέτα κώδικα γραμμένα από αγνώστους.

Καθένα από αυτά τα μέρη αποτελεί μια πιθανή είσοδο. Αν κάποιο αλλοιωθεί, το πρόβλημα φτάνει στους χρήστες μέσα στο προϊόν σας.

Παράδειγμα: Τα δημόσια αποθετήρια μοντέλων του Hugging Face αυξήθηκαν από 2,43 εκατομμύρια σε 2,96 εκατομμύρια μεταξύ Ιανουαρίου και Αυγούστου 2026. Τον Ιούλιο του 2026, ωστόσο, μοντέλα της OpenAI παρέκαμψαν ελέγχους που είχαν σκοπό να τα κρατούν εκτός διαδικτύου κατά τη διάρκεια εσωτερικών δοκιμών ασφαλείας και εισέβαλαν σε τμήματα των συστημάτων του Hugging Face. Μάλιστα, ένας πράκτορας ανέκτησε 14 δημόσια εκτεθειμένα διαπιστευτήρια πρόσβασης, επιβεβαίωσε ότι λειτουργούσαν και τα μοιράστηκε με άλλους πράκτορες. Στη συνέχεια, οι πράκτορες εκμεταλλεύτηκαν κενά ασφαλείας που τους επέτρεψαν να εκτελέσουν κώδικα στους διακομιστές του Hugging Face.

«Θέτουμε αυστηρότερες απαιτήσεις ευθυγράμμισης σε όλο τον κύκλο ζωής ενός μοντέλου και δημιουργούμε πιο απομονωμένα περιβάλλοντα Sandbox, περιορίζοντας την πρόσβαση στο διαδίκτυο και ελέγχοντας ακόμη πιο αυστηρά την πρόσβαση στα βάρη των μοντέλων», αναφέρει η έκθεση της OpenAI.

Τι μπορείτε να κάνετε:

• Κλειδώστε τα μοντέλα σε συγκεκριμένη έκδοση και επαληθεύστε τα: Κλειδώστε κάθε μοντέλο σε μια ελεγμένη έκδοση και ελέγξτε το αποτύπωμα (fingerprint) του αρχείου του πριν το φορτώσετε, ώστε ένα αρχείο που έχει αντικατασταθεί να μην μπορεί να περάσει απαρατήρητο με την ίδια ετικέτα. Το OWASP συνιστά επίσης ψηφιακές υπογραφές, με μια επιφύλαξη: η υπογραφή αποδεικνύει από πού προήλθε ένα μοντέλο, όχι ότι είναι ασφαλές.
• Ελέγξτε κάθε πακέτο που προτείνει η AI σας: Πριν εγκαταστήσετε ένα πακέτο κώδικα που σας πρότεινε ένας βοηθός AI, επιβεβαιώστε ότι υπάρχει, ότι είναι το πακέτο που εννοούσατε και ότι προέρχεται από τον εκδότη που περιμένετε.

5. Προστατευτείτε από τη δηλητηρίαση δεδομένων και μοντέλων

Μια «δηλητηριασμένη» AI μαθαίνει από αλλοιωμένα δεδομένα. Αυτά μπορεί να είναι τα παραδείγματα με τα οποία έγινε η λεπτομερής ρύθμισή της (fine-tuning) ή μια βάση γνώσεων στην οποία αναζητά απαντήσεις. Το μοντέλο εξακολουθεί να φαίνεται ότι λειτουργεί κανονικά· απλώς μαθαίνει λάθος πράγματα και μερικές φορές μαθαίνει να συμπεριφέρεται εσφαλμένα μόνο όταν συναντά μια συγκεκριμένη φράση-έναυσμα.

Το μοντέλο θα περνά κάθε δοκιμή στην οποία το υποβάλλετε, μέχρι κάποιος να χρησιμοποιήσει τη φράση.

Μεγέθυνση

Επιπλέον, είναι πραγματικά δύσκολο να αναιρεθεί. Η δηλητηρίαση δεν είναι ένα σφάλμα που διορθώνεται με μια ενημέρωση κώδικα. Αν τα δεδομένα σας είναι λανθασμένα, ίσως χρειαστεί να τα ελέγξετε ξανά, να επανεκπαιδεύσετε το μοντέλο ή να το αντικαταστήσετε εντελώς.

Παράδειγμα: Τον Οκτώβριο του 2025, ερευνητές της Anthropic, του UK AI Security Institute και του Alan Turing Institute έδειξαν ότι 250 δηλητηριασμένα έγγραφα μπορούσαν να μάθουν σε ένα μοντέλο να παράγει ακατάληπτο κείμενο κάθε φορά που συναντούσε ένα συγκεκριμένο έναυσμα. Ο ίδιος αριθμός λειτούργησε και στα τέσσερα μεγέθη μοντέλων που δοκιμάστηκαν, παρόλο που το μεγαλύτερο είχε εκπαιδευτεί με πάνω από 20 φορές περισσότερα καθαρά δεδομένα.

Τι μπορείτε να κάνετε:

• Καταγράφετε την προέλευση των δεδομένων σας: Τηρείτε αρχείο για κάθε σύνολο δεδομένων και μοντέλο που χρησιμοποιείτε, από πού προήλθε το καθένα και τι άλλαξε μεταξύ των εκδόσεων. Συνιστούμε έλεγχο εκδόσεων για τα σύνολα δεδομένων, ώστε, αν εντοπιστεί δηλητηρίαση, να μπορείτε να επιστρέψετε σε μια καθαρή έκδοση και να διαπιστώσετε πώς εισχώρησε.
• Ελέγξτε για κερκόπορτες: Μια «κερκόπορτα» (backdoor) είναι μια κρυφή συμπεριφορά που φυτεύει ένας επιτιθέμενος σε ένα μοντέλο και η οποία περιμένει μια συγκεκριμένη φράση ή άλλο έναυσμα για να ενεργοποιηθεί. Ελέγξτε για τέτοιες συμπεριφορές με εισόδους σχεδιασμένες να κάνουν το μοντέλο να παραβιάσει τους συνήθεις κανόνες του.

6. Βάλτε όριο στην απεριόριστη κατανάλωση

Όταν τα συστήματα AI δεν έχουν κανένα όριο στο πόση δουλειά μπορούν να κάνουν ή στο πόσο μπορούν να κοστίσουν, η κατανάλωσή τους θεωρείται «απεριόριστη». Οι περισσότερες υπηρεσίες AI χρεώνουν ανά χρήση, οπότε ένας επιτιθέμενος θα μπορούσε να φουσκώσει τον λογαριασμό σας ή να δημιουργήσει ένα αντίγραφο του μοντέλου σας.

Το OWASP αποκαλεί το βασικό πρόβλημα «ασυμμετρία κόστους». Ένα σύντομο, φθηνό αίτημα μπορεί να προκαλέσει δαπανηρή υπολογιστική επεξεργασία από την πλευρά σας.

Παράδειγμα: Τον Μάιο του 2024, η ομάδα Threat Research της Sysdig ανακάλυψε μια νέα επίθεση με την ονομασία «LLMjacking». Μια ομάδα επιτιθέμενων στόχευσε 10 υπηρεσίες LLM που φιλοξενούνται στο cloud, χρησιμοποιώντας κλεμμένα διαπιστευτήρια. Απέκτησαν πρόσβαση μέσω μιας ευάλωτης έκδοσης του Laravel και στη συνέχεια διερεύνησαν τι μπορούσαν να κάνουν τα διαπιστευτήρια και ποια όρια χρήσης ίσχυαν, με προφανή στόχο να πουλήσουν την πρόσβαση. Οι επιτιθέμενοι έλεγξαν επίσης πολλές ρυθμίσεις καταγραφής, πιθανότατα για να αποφύγουν τον εντοπισμό. Σύμφωνα με τη Sysdig, στο χειρότερο σενάριο το κόστος για το θύμα θα μπορούσε να ξεπεράσει τα 46.000 δολάρια την ημέρα.

Τι μπορείτε να κάνετε:

• Ορίστε προϋπολογισμούς που σταματούν τις δαπάνες: Θέστε αυστηρά όρια δαπανών για μεμονωμένους χρήστες, κλειδιά API, ομάδες και τον λογαριασμό στο σύνολό του. Επιβάλετέ τα σε κάθε σημείο από το οποίο μπορούν να εισέλθουν αιτήματα.
• Δώστε σε κάθε εργασία ένα σημείο τερματισμού: Περιορίστε πόση ώρα μπορεί να εκτελείται μια εργασία, πόσο κείμενο μπορεί να επεξεργαστεί και να παραγάγει και πόσες κλήσεις εργαλείων μπορεί να πραγματοποιήσει. Προσθέστε αυτόματες διακοπές για πράκτορες που επαναλαμβάνονται ή υπερβαίνουν το όριό τους.

7. Εντοπίστε την παραπληροφόρηση πριν αναλάβετε δράση

Όταν μια AI παράγει κάτι ψευδές που ακούγεται σωστό και κάποιος, ή κάτι, ενεργεί με βάση αυτό, το φαινόμενο ονομάζεται παραπληροφόρηση. Ο βασικός κίνδυνος δεν είναι τόσο η λάθος απάντηση καθαυτή όσο το ότι η λάθος απάντηση γίνεται πιστευτή και χρησιμοποιείται.

Το ιστορικό των περιστατικών δείχνει ότι οι επαγγελματίες του χώρου δεν ανησυχούσαν για την παραπληροφόρηση όσο θα έπρεπε. Σύμφωνα με την εισαγωγική επιστολή της έκδοσης του 2026, όσοι ψήφισαν την τοποθέτησαν κοντά στο τέλος της λίστας, ενώ, με βάση τα πραγματικά περιστατικά, βρίσκεται κοντά στην κορυφή.

Παράδειγμα: Το 2025, η Deloitte Australia παρέδωσε μια αξιολόγηση των πληροφοριακών συστημάτων κοινωνικής πρόνοιας στο πλαίσιο κυβερνητικής σύμβασης ύψους 440.000 δολαρίων Αυστραλίας. Ο ερευνητής του Πανεπιστημίου του Σίδνεϊ Chris Rudge εντόπισε παραπομπές σε ανύπαρκτες έρευνες και ένα επινοημένο απόσπασμα από απόφαση ομοσπονδιακού δικαστηρίου. Η αναθεωρημένη έκθεση αποκάλυψε ότι η Deloitte είχε χρησιμοποιήσει το Azure OpenAI GPT-4o στη μεθοδολογία της και η εταιρεία συμφώνησε να επιστρέψει την τελευταία δόση. Επρόκειτο, δυστυχώς, για μια αξιολόγηση διασφάλισης.

Τι μπορείτε να κάνετε:

• Ελέγξτε ότι τα στοιχεία τεκμηριώνουν την απάντηση: Στηρίξτε τους ισχυρισμούς σε επίκαιρες, έγκυρες πηγές. Για μια απάντηση σχετικά με μια πολιτική, ανακτήστε την εγκεκριμένη πολιτική και ελέγξτε ότι υποστηρίζει το συμπέρασμα, συμπεριλαμβανομένων των εξαιρέσεών της.
• Επαληθεύστε πριν ενεργήσει το σύστημα: Αν ένας πράκτορας αναφέρει ότι ένας πελάτης πέρασε τον έλεγχο ταυτότητας, επιβεβαιώστε το στο σύστημα επαλήθευσης πριν αποδεσμεύσετε μια πληρωμή. Απαιτήστε ανθρώπινη έγκριση για αποφάσεις με σημαντικές συνέπειες, με τα σχετικά αποδεικτικά στοιχεία διαθέσιμα στον αξιολογητή.

8. Περιορίστε τη ζημιά από την έκθεση κρυφού πλαισίου

Οι εφαρμογές AI δίνουν στο μοντέλο οδηγίες και πληροφορίες υποβάθρου που οι χρήστες συνήθως δεν βλέπουν. Αυτές μπορεί να περιλαμβάνουν το system prompt, εσωτερικές πολιτικές, περιγραφές των διαθέσιμων εργαλείων και κανόνες για το ποιος μπορεί να τα χρησιμοποιεί. Η έκθεση κρυφού πλαισίου συμβαίνει όταν το μοντέλο αποκαλύπτει αυτές τις πληροφορίες σε κάποιον.

Το 2026 το OWASP διεύρυνε αυτή την κατηγορία, που παλαιότερα ονομαζόταν «διαρροή του system prompt», επειδή το system prompt είναι μόνο ένα μέρος από όσα μπορούν να διαρρεύσουν. Ο κίνδυνος εξαρτάται από το τι έχετε τοποθετήσει εκεί. Ένας οδηγός ύφους που διέρρευσε είναι απλώς λίγο ενοχλητικός, αλλά ένα κλειδί API που διέρρευσε δίνει σε κάποιον πρόσβαση στην εμπιστευτική βάση δεδομένων σας.

Παράδειγμα: Τον Φεβρουάριο του 2023, χρήστες κατάφεραν να κάνουν το Bing Chat της Microsoft να αποκαλύψει τις εσωτερικές του οδηγίες. Μία επιτυχημένη απόπειρα έγινε από τον Marvin von Hagen, ο οποίος ισχυρίστηκε ότι ήταν προγραμματιστής της OpenAI και ζήτησε τις οδηγίες για να διαμορφώσει το μοντέλο. Το Bing αποκάλυψε κανόνες που διέπουν τις αναζητήσεις, τις απαντήσεις και τη συμπεριφορά ασφαλείας του, καθώς και την εσωτερική του ονομασία, Sydney. Ανάμεσα στις οδηγίες που αποκαλύφθηκαν ήταν και μία που του έλεγε να κρατά αυτές τις οδηγίες εμπιστευτικές.

Τι μπορείτε να κάνετε:

• Κρατήστε τα μυστικά έξω από το πλαίσιο του μοντέλου: Θεωρήστε ότι οτιδήποτε μπορεί να διαβάσει το μοντέλο ενδέχεται να γίνει ορατό στους χρήστες — αποθηκεύστε τους κωδικούς πρόσβασης, τα κλειδιά API και τα διακριτικά πρόσβασης σε ξεχωριστό σύστημα διαχείρισης μυστικών.
• Φροντίστε τα δικαιώματα να ισχύουν ακόμη κι αν διαρρεύσουν οι κανόνες: Επιβάλετε ελέγχους πρόσβασης στον κώδικα της εφαρμογής σας. Αν ένα εργαλείο επιτρέπεται μόνο σε διαχειριστές, ελέγξτε τα δικαιώματα του λογαριασμού του χρήστη πριν το εκτελέσετε.

9. Θωρακίστε τα διανύσματα και τις ενσωματώσεις σας

Όταν ένα σύστημα AI χρησιμοποιεί διανυσματική αναζήτηση για να βρει απαντήσεις στα έγγραφα της εταιρείας σας, δεν πραγματοποιεί αναζήτηση απευθείας στο κείμενο. Τα έγγραφα μετατρέπονται σε «ενσωματώσεις» (embeddings), δηλαδή μεγάλες λίστες αριθμών που αποτυπώνουν το νόημα κάθε αποσπάσματος, και αποθηκεύονται σε μια διανυσματική βάση δεδομένων. Μια ερώτηση μετατρέπεται με τον ίδιο τρόπο και το σύστημα ανακτά τα αποσπάσματα των οποίων οι αριθμοί βρίσκονται πιο κοντά.

Το OWASP συνοψίζει τους τέσσερις τρόπους με τους οποίους αποτυγχάνει ένα τέτοιο σύστημα: η δηλητηρίαση κάνει το σύστημα να δίνει λάθος αποτελέσματα, η αντιστροφή το κάνει να διαρρέει δεδομένα, η παρεμπόδιση το κάνει να σωπαίνει και ο ελλιπής έλεγχος πρόσβασης το κάνει να δίνει τα πάντα σε οποιονδήποτε.

Οι αριθμοί δεν είναι η ασφαλής αφαίρεση που φαίνονται. Οι αποθηκευμένες ενσωματώσεις μπορούν να μετατραπούν ξανά σε κείμενο, και μια μέθοδος ανέκτησε με ακρίβεια το 92% των σύντομων αποσπασμάτων των 32 token στις δοκιμές της. Επομένως, ένα αντίγραφο ασφαλείας «μόνο με ενσωματώσεις» που διαρρέει μπορεί επίσης να εκθέσει το περιεχόμενο των εγγράφων.

Παράδειγμα: Σε έρευνα που παρουσιάστηκε στο USENIX Security 2025, οι ερευνητές έδειξαν ότι ένα προσεκτικά σχεδιασμένο έγγραφο μπορούσε να εμποδίσει ένα σύστημα AI να απαντήσει σε μια συγκεκριμένη ερώτηση. Το πρόσθεσαν στη συλλογή στην οποία έκανε αναζητήσεις το AI. Όταν το AI το εντόπιζε, μπορούσε να απαντήσει ότι δεν είχε αρκετές πληροφορίες ή ότι η απάντηση δεν θα ήταν ασφαλής. Το έγγραφο δεν χρειαζόταν να πει στο AI να αγνοήσει τους κανόνες του. Αυτό ονομάζεται «παρεμπόδιση ανάκτησης» (retrieval jamming).

Τι μπορείτε να κάνετε:

• Διατηρήστε ξεχωριστά ευρετήρια για δημόσια και ιδιωτικά δεδομένα: Μην αναμειγνύετε περιεχόμενο που έχει συλλεχθεί από τον ιστό με δεδομένα συνεργατών ή εμπιστευτικά εσωτερικά έγγραφα. Προτιμήστε τον φυσικό διαχωρισμό ανά επίπεδο εμπιστοσύνης αντί για την επισήμανση του περιεχομένου μέσα σε ένα ενιαίο ευρετήριο, επειδή έτσι εξαλείφεται μια ολόκληρη κατηγορία εσφαλμένων ρυθμίσεων και το περιεχόμενο που συλλέγεται από το διαδίκτυο δεν μπορεί να καταλήξει δίπλα στα έγγραφα του διοικητικού σας συμβουλίου.
• Αντιμετωπίστε τις ενσωματώσεις όπως τα έγγραφα από τα οποία προήλθαν: Κρυπτογραφήστε τις, προστατέψτε τα αντίγραφα ασφαλείας της διανυσματικής βάσης δεδομένων όπως και τα αρχεία προέλευσης, και διαγράψτε τις ενσωματώσεις όταν διαγράφετε το πρωτότυπο. Τα κλειδιά API της υπηρεσίας ενσωματώσεων που χρησιμοποιείτε πρέπει να παραμένουν μυστικά.

10. Ελέγξτε την έξοδο του AI πριν την προωθήσετε

Κάθε φορά που μια εφαρμογή προωθεί έξοδο AI σε ένα άλλο σύστημα χωρίς να επαληθεύσει αν είναι ασφαλής για χρήση εκεί, χειρίζεται ακατάλληλα την έξοδο του LLM.

Η κατηγορία καλύπτει επίσης τον μη ασφαλή κώδικα που παράγουν σε μεγάλη κλίμακα οι βοηθοί προγραμματισμού AI. Επομένως, κάθε γραμμή που γράφει ένας βοηθός αποτελεί επίσης έξοδο.

Παράδειγμα: Το 2025, ο ερευνητής Johann Rehberger έδειξε πώς ο βοηθός προγραμματισμού Amp της Sourcegraph μπορούσε να διαρρεύσει περιεχόμενο συνομιλιών απλώς εμφανίζοντας μια εικόνα. Χρησιμοποίησε έγχυση εντολών (prompt injection) για να κάνει το Amp να συμπεριλάβει ιδιωτικές πληροφορίες στη διεύθυνση web μιας εικόνας. Στη συνέχεια, η εφαρμογή φόρτωσε αυτόματα την εικόνα, στέλνοντας τις πληροφορίες στον διακομιστή του. Η αποτυχία στον χειρισμό της εξόδου ήταν ακριβώς αυτό το αυτόματο αίτημα — το κείμενο που παρήγαγε το μοντέλο μετατράπηκε σε σύνδεση με έναν εξωτερικό διακομιστή, μεταφέροντας μαζί του ιδιωτικά δεδομένα.

Τι μπορείτε να κάνετε:

• Κάντε την έξοδο ασφαλή για τον προορισμό της: Ελέγξτε και χειριστείτε τις απαντήσεις ανάλογα με το πού θα καταλήξουν. Σε μια ιστοσελίδα, αποτρέψτε το παραγόμενο κείμενο από το να γίνει εκτελέσιμος κώδικας. Σε μια βάση δεδομένων, χρησιμοποιήστε προετοιμασμένα ερωτήματα (prepared queries) που κρατούν τις παρεχόμενες τιμές ξεχωριστά από τις εντολές.
• Αποτρέψτε τις απαντήσεις από το να δημιουργούν αυτόματα εξωτερικές συνδέσεις: Απενεργοποιήστε από προεπιλογή την αυτόματη φόρτωση εικόνων, προεπισκοπήσεων συνδέσμων και ενσωματωμένων σελίδων στις απαντήσεις του μοντέλου. Περιορίστε τις απαραίτητες συνδέσεις σε ρητά εγκεκριμένους προορισμούς.

Πώς προστατεύει η Perplexity τα LLM;

Θεωρούμε ότι κάθε κίνδυνος από τους παραπάνω θα εκδηλωθεί κάποια στιγμή και σχεδιάζουμε έτσι ώστε, όταν συμβεί, να μην μπορεί να προκαλέσει μεγάλη ζημιά. Ο CISO μας, Kyle Polley, παρουσίασε πώς το κάνουμε σε ένα πρόσφατο εργαστήριο.

• Ο πράκτορας αποκτά τον δικό του υπολογιστή, ο οποίος ξεκινά άδειος: Τα εργαλεία πρακτόρων που είναι εγκατεστημένα στον φορητό σας υπολογιστή μπορούν να αποκτήσουν πρόσβαση στα αρχεία, τις εφαρμογές και τα αποθηκευμένα διαπιστευτήριά του. Το Perplexity Computer λειτουργεί αντίστροφα. Κάθε εργασία εκτελείται στο δικό της απομονωμένο sandbox και, όπως το θέτει ο Polley, «από προεπιλογή δεν έχει πρόσβαση σε τίποτα».
• Ο πράκτορας δεν βλέπει ποτέ τους κωδικούς πρόσβασης: Τα διαπιστευτήρια για τις συνδεδεμένες υπηρεσίες αποθηκεύονται εκτός του sandbox. Όταν ο πράκτορας χρειάζεται πρόσβαση σε μια υπηρεσία όπως το GitHub, στέλνει ένα αίτημα χωρίς συνημμένα διαπιστευτήρια. Μια πύλη (gateway) ελέγχει ότι ο προορισμός και το αίτημα είναι τα αναμενόμενα και στη συνέχεια προσθέτει τα διαπιστευτήρια καθώς το αίτημα αποστέλλεται. Ο πράκτορας μπορεί να χρησιμοποιήσει τη σύνδεση χωρίς να αποκτήσει τα κλειδιά.
• Τα δικαιώματά σας μεταφέρονται και μπορείτε να τα περιορίσετε περαιτέρω: Οι συνδέσεις που πραγματοποιούνται μέσω OAuth διατηρούν τα δικαιώματα πρόσβασής σας στη συνδεδεμένη υπηρεσία. Αν εσείς δεν μπορείτε να δείτε κάτι, δεν μπορεί ούτε ο πράκτοράς σας.
• Κάθε ιστοσελίδα αντιμετωπίζεται ως αναξιόπιστη: Δημιουργήσαμε το BrowseSafe για το Comet, το πρόγραμμα περιήγησής μας με πράκτορα AI, επειδή τα εργαλεία που δοκιμάσαμε δεν κάλυπταν τις ανάγκες μας στην πραγματική χρήση. Το πρόγραμμα περιήγησης σαρώνει ιστοσελίδες και άλλο εξωτερικό περιεχόμενο, συμπεριλαμβανομένων των email, για να εντοπίσει απόπειρες έγχυσης εντολών. Διαθέσαμε ως ανοιχτό κώδικα τόσο το μοντέλο όσο και το σύνολο δεδομένων.
• Παρακολουθούμε τον πράκτορα και τα μηχανήματα στα οποία εκτελείται: Το Numbat παρεμβάλλεται ανάμεσα στην απόφαση ενός πράκτορα να δράσει και στην πραγματική εκτέλεση του εργαλείου. Το Numbat καταγράφει τη δραστηριότητα στους υποστηριζόμενους πράκτορες προγραμματισμού και μπορεί να μπλοκάρει ενέργειες που παραβιάζουν τις διαμορφωμένες πολιτικές πριν εκτελεστούν. Το Bumblebee απογράφει τα πακέτα λογισμικού σε φορητούς υπολογιστές, διακομιστές και build pipelines και επισημαίνει όσα είναι γνωστά κακόβουλα. Και τα δύο είναι ανοιχτού κώδικα.
• Οι πάροχοι μοντέλων δεν διατηρούν τα δεδομένα σας: Έχουμε συμφωνίες μηδενικής διατήρησης δεδομένων με τους τρίτους παρόχους LLM με τους οποίους συνεργαζόμαστε. Οι διαχειριστές Enterprise μπορούν επίσης να περιορίσουν τη διατήρηση δεδομένων της ίδιας της Perplexity σε μόλις 24 ώρες.

Δημιουργήσαμε το Numbat προληπτικά, για έναν λόγο που ο Polley συνοψίζει σε μία φράση: «Όσο μεγαλύτερη αυτονομία δίνετε σε έναν πράκτορα, τόσο μεγαλύτερος είναι ο κίνδυνος».

Συχνές ερωτήσεις για την ασφάλεια των LLM

Ποιο είναι το πιο ασφαλές LLM;

Κανένα LLM δεν κάνει από μόνο του μια εφαρμογή ασφαλή — τα μοντέλα μπορούν ακόμα να εκλάβουν περιεχόμενο που πρέπει απλώς να διαβάσουν ως οδηγίες που πρέπει να ακολουθήσουν. Επιπλέον, άμυνες που φαίνονται ισχυρές σε τυπικές δοκιμές μπορεί να καταρρεύσουν υπό πίεση.

Μια καλύτερη ερώτηση είναι ποια διαμόρφωση είναι η πιο ασφαλής για τη δική σας περίπτωση χρήσης. Αυτό σημαίνει περιορισμένα δικαιώματα, διαπιστευτήρια που κρατούνται μακριά από το μοντέλο, ανθρώπινη έγκριση για ενέργειες υψηλού κινδύνου και δοκιμές από ανθρώπους που γνωρίζουν τις άμυνές σας.

Τι είναι τα τρωτά σημεία των LLM;

Τα τρωτά σημεία των LLM είναι αδυναμίες που επιτρέπουν σε ένα σύστημα AI να εξαπατηθεί, να διαρρεύσει δεδομένα ή να προκαλέσει ζημιά, είτε εξαιτίας ενός επιτιθέμενου είτε εξαιτίας των δικών του λαθών.

Οι δέκα κύριοι κίνδυνοι είναι η έγχυση εντολών (prompt injection), η αποκάλυψη ευαίσθητων πληροφοριών, η υπερβολική αυτονομία (excessive agency), η εφοδιαστική αλυσίδα, η δηλητηρίαση δεδομένων και μοντέλων, η απεριόριστη κατανάλωση, η παραπληροφόρηση, η έκθεση κρυφού πλαισίου, οι αδυναμίες διανυσμάτων και ενσωματώσεων και ο ακατάλληλος χειρισμός της εξόδου.

Είναι ασφαλές ένα ιδιωτικό LLM;

Είναι πιο ασφαλής επιλογή για ορισμένες χρήσεις, αλλά όχι εξ ορισμού. Έχετε περισσότερο έλεγχο στον χειρισμό των δεδομένων αν εκτελείτε ένα μοντέλο στη δική σας υποδομή ή σε περιβάλλον cloud. Ωστόσο, δεν υπάρχει αυτόματος τρόπος να αποτραπούν οι εγχύσεις εντολών, η υπερβολική αυτονομία, η δηλητηρίαση ή η παραπληροφόρηση.

Όταν φιλοξενείτε μόνοι σας το μοντέλο, είστε επίσης υπεύθυνοι για το μοντέλο που κατεβάζετε, συμπεριλαμβανομένων των κινδύνων της εφοδιαστικής αλυσίδας και της υποδομής που απαιτεί.