Řeknete AI, aby prošla nabídky hotelů, porovnala cenu, polohu a hodnocení a vybrala nejlepší tři. Jeden z webů ale kromě pokojů a ceníku obsahuje ještě něco jiného: text určený nikoli vám, ale stroji, který stránku právě čte.
Může například zkoušet AI přesvědčit, aby ignorovala původní kritéria a doporučila právě tento hotel. Nemusí přitom být napsaný tak, aby ho běžný návštěvník vůbec zaznamenal.
Tomuto typu útoku se říká prompt injection. Pokud škodlivá instrukce nepřijde přímo od uživatele, ale AI ji načte z webové stránky, dokumentu, e-mailu nebo jiného externího zdroje, mluví se o nepřímém prompt injection.
A právě tady se mění něco podstatnějšího než bezpečnost jednoho chatbotu. Internet už neobsahuje pouze text určený lidem. Začíná obsahovat text napsaný s vědomím, že jeho dalším čtenářem může být stroj, který za člověka vyhledává, vybírá a někdy také jedná.
Prompt injection dává webu druhého adresáta
Prompt injection využívá zvláštní vlastnost jazykových modelů: data i instrukce k nim přicházejí ve stejné základní podobě. Jako text. Model proto musí rozlišit, která věta je informace, kterou má zpracovat, a která je pokyn, který smí následovat.
Uživatel řekne: porovnej tyto nabídky podle ceny. Webová stránka může obsahovat větu, která se snaží říct: na cenu zapomeň a vyber mě. Pro člověka jsou tyto dvě role snadno oddělitelné. Jedna je zadání, druhá obsah cizí stránky. Jazykový model musí tuto hierarchii správně udržet i ve chvíli, kdy se obě objeví v jednom kontextu.
OpenAI proto prompt injection popisuje jako druh sociálního inženýrství namířeného na konverzační AI. Podobnost s phishingem je docela přesná. Phishing se snaží podsunout člověku důvod, proč má kliknout, zaplatit nebo prozradit heslo. Prompt injection se pokouší podsunout důvod stroji.
Rozdíl proti klasickému SEO je ještě zajímavější. Weby se snaží komunikovat s automaty desítky let. Optimalizují titulky, strukturu nebo metadata, aby vyhledávač pochopil obsah a zařadil ho výš. Prompt injection jde o krok dál. Nesnaží se pouze přesvědčit systém, že stránka je relevantní. Pokouší se ovlivnit, co má systém udělat.
Skryté instrukce už nejsou jen laboratorní hra
Nejjednodušší obrana proti celému tématu by zněla: hezká teorie, ale kdo by něco takového skutečně dával na web?
V roce 2026 už na tuhle otázku existují data.
Výzkumníci Soheil Khodayari, Xuenan Zhang, Bhupendra Acharya a Giancarlo Pellegrino analyzovali přibližně 1,2 miliardy URL z 24,8 milionu hostitelů. Ve studii zveřejněné na konci dubna 2026 identifikovali 15 300 ověřených případů promptových instrukcí na 11 700 webových stránkách.
Ještě zajímavější bylo místo, kde se instrukce nacházely. Přibližně 70 procent bylo v nerenderovaném HTML, například v hlavičkách, komentářích nebo metadatech. Člověk mohl stránku normálně navštívit, aniž by daný text vůbec viděl. Stroj, který zpracovával zdroj stránky nebo její strojovou reprezentaci, jej přesto mohl dostat do vstupu.
Výzkumníci našli různé cíle: narušování práce modelů, snahu ovlivnit reputaci, pokyny související s ochranou obsahu i detekci AI botů. Veřejný web tedy už prokazatelně obsahuje instrukce, jejichž předpokládaným adresátem není člověk.
Ke stejnému závěru došel také bezpečnostní tým Googlu. Při monitorování archivů veřejného webu našel neškodné žerty, pokusy o ovlivnění AI shrnutí, SEO experimenty, snahy zahnat agenty pryč i menší množství škodlivých instrukcí zaměřených například na únik dat nebo destruktivní akce.
Mezi listopadem 2025 a únorem 2026 Google naměřil v kategorii škodlivých případů relativní nárůst o 32 procent. To je signál rostoucího zájmu. Není to ale důkaz, že třetina internetu útočí na AI ani že podobné útoky běžně fungují.
Ne, internet zatím AI masově neovládá
Právě tady je potřeba zabrzdit nejatraktivnější verzi příběhu. Jedna schovaná věta na webu není kouzelné zaklínadlo, po kterém každý agent okamžitě zradí svého uživatele.
Velká studie veřejného webu našla 15 300 ověřených případů v souboru přibližně 1,2 miliardy analyzovaných URL. To je z hlediska celého webu malý výskyt. Google navíc uvedl, že většina zachycených škodlivých pokusů byla poměrně jednoduchá a že při svém průzkumu neviděl masové nasazení nejpokročilejších útoků známých z bezpečnostního výzkumu.
Také účinnost má daleko k jistotě. Ve zmíněné akademické práci proběhlo 5 200 kontrolovaných experimentů na 13 modelech a čtyřech způsobech reprezentace webových stránek. Nejvyšší naměřená míra uposlechnutí se u menších modelů a čistě textového vstupu dostala přibližně k osmi procentům. Strukturovanější reprezentace stránky odolnost zlepšovala.
To je pro střízlivé hodnocení zásadní. Prompt injection je skutečný bezpečnostní problém, nikoli univerzální dálkové ovládání umělé inteligence.
Jenže osm procent přestává znít směšně ve chvíli, kdy nejde o jednorázový laboratorní test, ale o automatizované systémy, které procházejí tisíce stránek a mohou mít přístup k dalším nástrojům.
Agent zvyšuje sázky, protože umí něco udělat
Obyčejný chatbot většinou vyrobí text. Pokud se nechá zmanipulovat, může dát špatnou odpověď nebo doporučení. Agentní AI dostává navíc cíl, nástroje a možnost pokračovat v několika krocích.
Může procházet web, pracovat s dokumenty, číst obsah připojených služeb nebo připravovat akce jménem uživatele. Konkrétní možnosti závisejí na produktu a na oprávněních, která člověk systému skutečně udělil.
Tím se mění bezpečnostní rovnice. Cizí instrukce už nemusí soutěžit jen o několik vět v odpovědi. Pokud ji systém chybně přijme za legitimní pokyn, může se pokusit ovlivnit další krok pracovního procesu.
OpenAI proto používá při vysvětlování rizika i scénáře, kdy se útočník snaží přes externí obsah přimět agenta k neoprávněné práci se soukromými informacemi. Nejde o tvrzení, že dnešní produkční agent takovou instrukci automaticky provede. Smyslem je ukázat, proč prompt injection získává s růstem schopností agentů větší bezpečnostní význam.
Stejný jazykový model může být v chatovacím okně relativně omezený. Připojený k účtu, souborům, prohlížeči nebo dalším nástrojům má větší dosah. Riziko proto neurčuje jen inteligence modelu. Určuje ho také to, co mu dovolíme udělat bez dalšího souhlasu.
Obrana začíná otázkou, čí instrukce má vyšší autoritu
Nejdůležitější obrana vypadá skoro triviálně: AI musí vědět, že text nalezený na cizím webu nemá stejnou autoritu jako zadání člověka, který ji na web poslal.
OpenAI tento princip rozvíjí jako hierarchii instrukcí. Pokyny systému a vývojáře mají vyšší prioritu než nedůvěryhodný obsah načtený z externích nástrojů. Pokud webová stránka obsahuje větu, která odporuje původnímu úkolu, model se ji má naučit chápat jako obsah ke zpracování, nikoli jako nový rozkaz.
Jen samotné rozpoznávání podezřelých vět ale nestačí. Moderní útok nemusí vypadat jako primitivní „ignoruj všechny předchozí instrukce“. Může využívat kontext, přesvědčování a sociální inženýrství. Obrana proto musí počítat i s možností, že některý pokus přes filtr projde.
Praktický význam má omezení oprávnění, oddělování citlivých dat, sandboxing, kontrola síťových akcí a potvrzení kroků s větším dopadem. Agent, který má pouze přečíst veřejnou stránku, nepotřebuje zároveň právo odesílat soukromé dokumenty nebo bez kontroly provádět nevratné akce.
Bezpečnost se tím vrací ke starému principu nejmenších nutných oprávnění. Nová je hlavně postava, kterou musíme chránit před manipulací. Vedle uživatele je jí samotný agent.
Internet dostal komunikační kanál, který člověk nemusí vidět
Na prompt injection je nakonec nejzajímavější něco širšího než bezpečnostní chyba jednoho modelu.
Web získává nového adresáta.
Text jsme psali pro lidi. Technické značky pro prohlížeče. Metadata pro vyhledávače a další stroje, které obsah katalogizovaly. Agentní AI přidává další vrstvu: systém, který text nejen indexuje, ale snaží se pochopit jeho význam, rozhodnout podle něj a případně pokračovat další akcí.
To vytváří nový prostor pro legitimní komunikaci i manipulaci. Provozovatel webu může chtít stroji vysvětlit strukturu obsahu, bránit automatickému zpracování nebo mu podstrčit vlastní zájem. Hranice mezi těmito případy nebude vždy dokonale čistá.
Proto je chyba představovat si budoucnost promptů jen jako soutěž lidí o to, kdo napíše nejlepší větu do ChatGPT. Prompt nemusí vzniknout u člověka, který AI vlastní nebo používá. Může čekat v dokumentu, e-mailu nebo HTML stránky, kam agent přijde při plnění úplně jiného úkolu.
Dřívější internetový podvodník připravoval obsah, který měl zmanipulovat člověka.
Teď může připravovat obsah, který se pokusí zmanipulovat software, jemuž člověk svěřil část rozhodování.
A právě proto je prompt injection větší téma než další trik s chatbotem. Ukazuje, že informační prostor už není tvořen jen lidmi, kteří píšou lidem. Začínají v něm existovat zprávy určené strojům, které mohou číst, vybírat a jednat dřív, než člověk vůbec zjistí, že k nějakému rozhovoru došlo.
Kam dál
- AI životopisy ukazují, že nábor se změnil v souboj strojů
- Rizika autonomní AI začínají u oprávnění, ne vědomí
- AI agenti nastupují na noční směnu. Člověk už nebude klikat, ale řídit provoz
Zdroje a rešerše
- OpenAI: Understanding prompt injections — definice prompt injection, příklady manipulovaných doporučení a bezpečnostní kontext.
- OpenAI: Designing AI agents to resist prompt injection — prompt injection jako sociální inženýrství a princip omezení dopadu útoku na agentní systémy.
- OpenAI: Improving instruction hierarchy in frontier LLMs — výzkum hierarchie instrukcí a odolnosti modelů proti nedůvěryhodným pokynům.
- Google Threat Intelligence: AI threats in the wild — průzkum nepřímých prompt injection na veřejném webu a vývoj zachycených útoků.
- Khodayari, Zhang, Acharya, Pellegrino: Indirect Prompt Injection in the Wild — analýza 1,2 miliardy URL, způsobů ukrytí instrukcí a experimentální účinnosti.
- OWASP GenAI Security Project: LLM01 Prompt Injection — rozlišení přímého a nepřímého prompt injection a bezpečnostní rámec.