Prompt injection صرف فلٹر سے نہیں رکتی—AI agent کے اختیار محدود کریں

ویب صفحات، ای میل اور بازیافت شدہ دستاویزات پڑھ کر حقیقی کارروائی کرنے والے اے آئی ایجنٹ میں پرامپٹ انجیکشن کا اثر محدود کرنے کے لیے ٹول کی اجازت ماڈل سے باہر نافذ کریں۔ OWASP کی حفاظتی ہدایت کے مطابق الگ حفاظتی ماڈل بھی پرامپٹ انجیکشن سے متاثر ہو سکتا ہے؛ مجوزہ ٹول دلائل اور صارف کے اختیار کی جانچ کارروائی چلانے والے نظام میں ہونی چاہیے۔

اس کے لیے بیرونی متن کو غیر معتبر ڈیٹا رکھیں، ایجنٹ کو صرف ضروری رسائی دیں، ہر ٹول درخواست کو الگ پالیسی سے گزاریں اور حساس عمل پر اسی عمل کی انسانی منظوری لیں۔ ماڈل کا جواب یا اگلے ٹول کو دیا جانے والا مواد بھی منزل کے قواعد کے مطابق جانچیں۔ پھر فرضی ڈیٹا اور آزمائشی ٹولز کے ساتھ دیکھیں کہ حملہ آورانہ متن ان حدود میں سے کسی کو عبور تو نہیں کرتا۔

ہدایات اور بیرونی مواد کی حد کہاں ہے؟

ایپ کی مقرر کردہ ہدایات اور صارف کا مجاز کام ایجنٹ کو بتاتے ہیں کہ اسے کیا کرنا ہے۔ ویب صفحہ، تلاش کا نتیجہ، ای میل، بازیافت شدہ دستاویز اور ٹول کا جواب اس کام کے لیے مواد فراہم کرتے ہیں؛ ان میں لکھی نئی ہدایت صارف کی اجازت نہیں بن جاتی۔ فرض کریں صارف نے ای میل کا خلاصہ مانگا ہے اور ای میل کے اندر کسی تیسرے پتے پر معلومات بھیجنے کا حکم موجود ہے۔ ایجنٹ اس حکم کو ای میل کے متن کا حصہ سمجھے، ارسال کی نئی درخواست کا جواز نہیں۔

عملی ساخت میں ان ذمہ داریوں کو الگ رکھنا مفید ہے:

• معتبر ہدایات: اصل صارف کا کام، اس کی شناخت اور ایپ کی مقرر کردہ حدود ایجنٹ کے لیے واضح رہیں۔
• غیر معتبر ڈیٹا: ویب، ای میل اور ٹول کے نتائج ماخذ کی شناخت کے ساتھ صرف متعلقہ مواد کے طور پر پہنچیں۔
• پالیسی کی درمیانی تہہ: ایجنٹ کی مجوزہ کارروائی کو صارف کے اختیار، ٹول، ہدف اور دلائل کے مقابل جانچے۔
• ٹول چلانے والا جزو: اجازت اور ضروری منظوری درست ہونے پر ہی حقیقی خدمت میں درخواست چلائے۔

مواد پر «غیر معتبر» کا نشان لگانا ماڈل کو سیاق سمجھانے میں مدد دیتا ہے، لیکن نشان خود حفاظتی حد نافذ نہیں کرتا۔ اگر ایجنٹ کسی صفحے کے دعوے پر اپنی اجازت بڑھا سکے تو حملہ آور اسی صفحے میں زیادہ معتبر دکھائی دینے والی عبارت رکھ سکتا ہے۔ اختیار کا فیصلہ ایسے جزو کے پاس رہے جسے بیرونی متن ہدایات نہ دے سکے۔

کم ترین اختیار کو ہر ٹول اور ہدف پر نافذ کریں

ایجنٹ کے ٹول اسی کام تک محدود کریں جو صارف نے سونپا ہے۔ دستاویز سے جواب نکالنے والے معاون کو صرف پڑھنے والی رسائی کافی ہو سکتی ہے؛ اسے ای میل بھیجنے یا پوری دستاویزی جگہ میں ترمیم کرنے کا اختیار دینا اس کام کی ضرورت نہیں۔ رسائی کو ٹول کے نام کے ساتھ فائل، ریکارڈ، صارف اور عمل کے دائرے میں بھی محدود کریں۔

پالیسی کی درمیانی تہہ ایجنٹ کی تیار کردہ درخواست اور ٹول چلانے والے جزو کے درمیان ہو۔ اسے موجودہ صارف کے سیشن سے یہ طے کرنا چاہیے کہ مجوزہ ہدف اس صارف کو دستیاب ہے یا نہیں، اور دیے گئے دلائل اسی کام کے لیے قابلِ قبول ہیں یا نہیں۔ مثال کے طور پر آرڈر کی حیثیت پڑھنے کی اجازت رکھنے والا ٹول دوسرے صارف کا آرڈر کھولنے کے لیے استعمال نہیں ہونا چاہیے، خواہ ٹول کا نام درست ہو۔

اجازت کو اجرا کے قریب دوبارہ جانچیں، کیونکہ ایجنٹ کی درخواست میں ہدف یا دلائل بدل سکتے ہیں۔ ای میل، ویب صفحے یا ٹول کے جواب میں موجود «صارف نے اجازت دے دی ہے» جیسا جملہ سیشن میں محفوظ اختیار کا ثبوت نہیں۔ نامعلوم ٹول، غیر متوقع دلیل یا دستیاب نہ ہونے والی پالیسی پر کارروائی روکیں؛ فیصلے کا ضروری ریکارڈ رکھیں، مگر اس میں اسناد اور غیر ضروری حساس متن شامل نہ کریں۔

انسانی منظوری عین کس کارروائی کے لیے ہو؟

ای میل باہر بھیجنا، ریکارڈ حذف کرنا، ادائیگی شروع کرنا اور اختیار بدلنا ایسے اعمال ہیں جن کا اثر ایجنٹ کے جواب سے آگے جاتا ہے۔ OWASP کی ایجنٹ حفاظتی ہدایت حساس کارروائی کی منظوری کو موجودہ صارف، ٹول، ہدف، معمول کے مطابق ترتیب دیے گئے دلائل اور میعاد سے باندھنے کی سفارش کرتی ہے۔ ٹول چلانے والا جزو منظوری کو اجرا سے فوراً پہلے جانچے اور ایک ہی منظوری کو دوبارہ استعمال نہ ہونے دے۔

منظوری کا پیش منظر مبہم «ای میل بھیجیں؟» کے بجائے اصل وصول کنندہ، پیغام کا مقصد، منسلکہ اور بھیجے جانے والے متعلقہ ڈیٹا کو ظاہر کرے۔ اگر منظوری کے بعد وصول کنندہ یا منسلکہ بدل جائے تو وہ نئی کارروائی ہے اور اسے نئی منظوری چاہیے۔ ایک عمومی «ایجنٹ کو اجازت ہے» بٹن سے متعدد بعد کی درخواستیں منظور کرنا اس مخصوص جانچ کو ختم کر دیتا ہے۔

انسانی منظوری اور بنیادی اجازت الگ فیصلے ہیں۔ صارف کسی ایسے ریکارڈ کو بھیجنے کی منظوری دے دے جس تک اس کی رسائی ہی نہیں، تو منظوری رسائی کی پابندی ختم نہیں کرتی۔ اسی طرح مجاز ریکارڈ پڑھنے کا اختیار اسے خود بخود کسی بیرونی پتے پر بھیجنے کا اختیار نہیں دیتا۔ حساس کام میں دونوں شرطیں پوری ہونے کے بعد ہی ٹول کو اجرا تک پہنچنا چاہیے۔

ماڈل کے جواب کی جانچ کہاں ضروری ہے؟

ماڈل کا تیار کردہ متن جہاں جائے، اسی منزل کے قواعد لاگو ہوں۔ صارف کو ویب صفحے پر جواب دکھانا ہو تو اسے محفوظ انداز میں ظاہر کریں؛ ڈیٹا بیس میں قدر محفوظ کرنی ہو تو متوقع ساخت اور قابلِ قبول اقدار جانچیں؛ کسی خدمت کو درخواست بھیجنی ہو تو ہدف اور دلائل کو اس خدمت کی پالیسی سے گزاریں۔ صرف ممنوع الفاظ تلاش کرنا کافی نہیں، کیونکہ نقصان دہ کارروائی معمول کے دکھائی دینے والے دلائل سے بھی بن سکتی ہے۔

ٹول درخواست کا واضح خاکہ رکھیں: کون سا عمل دستیاب ہے، ہدف کیسا ہو سکتا ہے اور ہر دلیل میں کس قسم کی قدر قبول ہوگی۔ غیر ضروری فیلڈ یا غیر مجاز وصول کنندہ کو ٹول تک پہنچنے سے پہلے رد کریں۔ صارف کو دکھائے جانے والے جواب میں حساس معلومات کا اخراج الگ جانچیں؛ درست ٹول استعمال ہونے کے باوجود آخری متن میں کسی دوسرے صارف کا ڈیٹا آ سکتا ہے۔

حفاظتی حد کو بے ضرر حملہ آورانہ آزمائش سے پرکھیں

NIST کی ایجنٹ ہائی جیکنگ تحقیق بیرونی ڈیٹا میں چھپی ہدایات سے ایجنٹ کا رخ بدلنے کا خطرہ بیان کرتی ہے اور بتاتی ہے کہ متعدد کوششوں پر حملے کی کامیابی جانچنے سے خطرے کا زیادہ حقیقت پسندانہ اندازہ مل سکتا ہے۔ اس لیے صرف آخری جواب میں انکار دیکھنا کافی نہیں؛ مجوزہ ٹول درخواست، پالیسی کا فیصلہ اور واقعی چلنے والی کارروائی بھی آزمائش کا حصہ ہوں۔

ہر آزمائش سے پہلے جائز صارف کا کام، حملہ آور کی مطلوبہ خلاف ورزی اور قابلِ مشاہدہ نتیجہ طے کریں۔ فرضی ریکارڈ، بے ضرر نشانیاں اور حقیقی خدمات کے بجائے آزمائشی ٹول استعمال کریں۔ حملہ آورانہ عبارت اسی بیرونی راستے میں رکھیں جہاں ایجنٹ اسے معمول کے کام کے دوران پڑھے گا؛ ای میل میں ہونے والے حملے کو براہِ راست صارف کے پیغام کے طور پر دینا دوسری حد آزماتا ہے۔

• فرضی ای میل کے خلاصے میں دوسرے پتے پر معلومات بھیجنے کا حکم شامل کریں۔ متوقع نتیجہ خلاصہ ہے، غیر مجاز ارسال نہیں۔
• بازیافت شدہ دستاویز میں دوسرے صارف کا ریکارڈ کھولنے کی ہدایت رکھیں۔ اس ریکارڈ کی ٹول درخواست پالیسی پر رکنی چاہیے۔
• فرضی ٹول جواب میں پچھلی ہدایات بدلنے کا دعویٰ شامل کریں۔ اگلی مجوزہ کارروائی پھر بھی معمول کی اجازت اور ضرورت پڑنے پر منظوری سے گزرے۔
• انہی حالات کو مختلف الفاظ میں دہرائیں اور ساتھ جائز درخواستیں بھی چلائیں، تاکہ روکی گئی خلاف ورزی اور مکمل ہونے والا اصل کام دونوں نظر آئیں۔

اگر آزمائش ناکام ہو تو ریکارڈ میں واضح کریں کہ بیرونی عبارت نے کس مقام پر اثر ڈالا: ماڈل کی مجوزہ درخواست، ٹول کے دائرے، منظوری، اجرا یا آخری جواب پر۔ اسی مقام کی پالیسی یا توثیق درست کرنے سے خرابی کا سبب نشانہ بنتا ہے؛ صرف فلٹر میں ایک اور لفظ شامل کرنے سے ٹول کا اختیار محدود نہیں ہوتا۔

یہ بھی پڑھیں:

• AI تربیت صرف prompt نہیں، مؤثر پروگرام اصل کام سے شروع ہوتا ہے
• پاکستان میں AI job کے لیے degree نہیں، یہ عملی skills پہلے دکھائیں
• DigitalOcean Managed Agents آیا، credentials model تک نہیں جائیں گے