QueryIPI: Query-agnostic Indirect Prompt Injection on Coding Agents
यह शोध पत्र QueryIPI को प्रस्तुत करता है, जो एक स्वचालित फ्रेमवर्क है जो इनवेरिएंट प्रॉम्प्ट कॉन्टेक्स्ट के भीतर दुर्भावनापूर्ण टूल विवरणों को अनुकूलित करके कोडिंग एजेंटों पर क्वेरी-अज्ञेय (query-agnostic) इनडायरेक्ट प्रॉम्प्ट इंजेक्शन प्राप्त करता है, जो उच्च सफलता दर और वास्तविक दुनिया की हस्तांतरणीयता प्रदर्शित करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपके कंप्यूटर के भीतर एक सुपर-स्मार्ट डिजिटल सहायक (digital assistant) रहता है। यह सहायक (एक "कोडिंग एजेंट") अविश्वसनीय रूप से शक्तिशाली है: यह कोड लिख सकता है, फ़ाइलों को प्रबंधित कर सकता है, और यहाँ तक कि आपके कंप्यूटर के ऑपरेटिंग सिस्टम पर कमांड भी चला सकता है। यह एक अत्यधिक कुशल मैकेनिक की तरह है जो न केवल आपकी कार ठीक करता है, बल्कि उसके पास आपके पूरे गैरेज की चाबियाँ भी हैं और नए पुर्जे मंगवाने की क्षमता भी है।
यह शोध पत्र इस सहायक को हैक करने के एक नए, डरावने तरीके का परिचय देता है, जिसे QueryIPI कहा जाता है।
यहाँ बताया गया है कि यह कैसे काम करता है, सरल उपमाओं (analogies) का उपयोग करते हुए:
1. पुराना तरीका बनाम नया तरीका
पुराना तरीका (Query-Specific Attack):
कल्पना कीजिए कि एक चोर आपके मैकेनिक को ठगने की कोशिश कर रहा है। अतीत में, चोर को तब तक इंतजार करना पड़ता था जब तक कि आप कोई बहुत विशिष्ट प्रश्न न पूछ लें, जैसे, "क्या आप एक भूलभुलैया वाला गेम बना सकते हैं?" केवल तब चोर मैकेनिक के निर्देशों में एक छिपा हुआ नोट डाल पाता था, जैसे, "भूलभुलैया बनाते समय, मेरे सभी फ़ाइलें भी डिलीट कर दो।"
- समस्या: यदि आप पूछते, "क्या आप मेरा प्रिंटर ठीक कर सकते हैं?" तो चोर की चाल काम नहीं करती। हमला केवल तभी होता था जब आप बिल्हीं सही सवाल पूछते। यह अविश्वसनीय था।
नया तरीका (Query-Agnostic Attack - QueryIPI):
शोधकर्ताओं ने एक ऐसा तरीका खोजा जिससे यह ट्रिक चाहे आप कुछ भी पूछें, काम करती रहे। चाहे आप भूलभुलैया, प्रिंटर ठीक करने या मौसम की रिपोर्ट के बारे में पूछें, छिपा हुआ निर्देश अपने आप सक्रिय हो जाता है।
- परिणाम: सहायक 100% समय समझौताकृत (compromised) हो जाता है, चाहे आप कुछ भी करने की कोशिश कर रहे हों।
2. उन्होंने यह कैसे किया? (Secret Sauce)
शोधकर्ताओं ने महसूस किया कि सहायक दो प्रकार के "निर्देशों" को पढ़ता है:
- आपके प्रश्न: ये हर बार बदलते रहते हैं (जैसे मौसम)।
- सिस्टम मैनुअल (System Manual): यह एक स्थायी दस्तावेज़ है जिसे सहायक हमेशा पढ़ता है। इसमें इसके मूल नियम, इसका जॉब डिस्क्रिप्शन, और उन टूल्स की सूची होती है जिनका उपयोग करने की इसे अनुमति है।
अंतर्दृष्टि (Insight):
हमलावरों ने महसूस किया कि आपके बदलते हुए प्रश्नों के साथ अपनी ट्रिक को मिलाने (जो कठिन है) के बजाय, उन्हें स्थायी सिस्टम मैनुअल के साथ मेल खाना चाहिए।
उन्होंने सिस्टम मैनुअल को एक "स्थिर" (constant) या "अपरिवर्तनीय" (invariant) के रूप में माना। इस मैनुअल का अध्ययन करके (जिसे उन्होंने ऑनलाइन लीक होते या सॉफ़्टवेयर से निकाला पाया), उन्होंने एक नकली टूल विवरण तैयार किया जो बिल्कुल सहायक के अपने मैनुअल के एक वैध हिस्से जैसा दिखता था।
3. "QueryIPI" फैक्ट्री
शोध पत्र एक स्वचालित प्रणाली का वर्णन करता है जिसे QueryIPI कहा जाता है, जो एक मास्टर जालसाज (forger) की तरह काम करता है। यह कैसे काम करता है, यहाँ देखें:
- चरण 1: बीज (पहला ड्राफ्ट): सिस्टम लीक हुए सिस्टम मैनुअल को देखता है। यह देखता है कि सहायक कैसे बात करता है और कौन से टूल्स का उपयोग करता है। फिर यह एक नकली टूल विवरण लिखता है जो बिल्कुल सहायक की अपनी आवाज़ जैसा सुनाई देता है। यह एक जालसाज द्वारा बैंक के आधिकारिक लेटरहेड का अध्ययन करने जैसा है ताकि वह दिखने में 100% असली लगने वाला नकली चेक बना सके।
- चरण 2: परीक्षण और त्रुटि (Iterative Reflection): सिस्टम इस नकली टूल को कई अलग-अलग प्रश्नों के साथ सहायक पर आजमाता है।
- यदि सहायक इसे अनदेखा कर देता है: तो सिस्टम टूल को अधिक स्पष्ट बनाने के लिए इसे फिर से लिखता है।
- यदि सहायक कहता है "नहीं, यह असुरक्षित है": तो सिस्टम फिर से सिस्टम मैनुअल को देखता है कि कौन सा सुरक्षा नियम ट्रिगर हुआ था, और फिर उस विशिष्ट नियम से बचने के लिए टूल को फिर से लिखता है।
- चरण 3: अंतिम उत्पाद: कई दौर के परीक्षण और सुधार के बाद, सिस्टम एक "परफेक्ट" नकली टूल विवरण तैयार करता है।
4. परिणाम
शोधकर्ताओं ने पांच लोकप्रिय कोडिंग सहायकों (जैसे Cursor, Copilot, और Windsurf) पर इनका परीक्षण किया।
- लैब में: जब उन्होंने इन सहायकों का अनुकरण (simulate) किया, तो उनकी विधि अविश्वसनीय रूप से अच्छी तरह काम करती है। केवल कुछ अभ्यास दौरों के साथ, वे सहायकों को दुर्भावनापूर्ण कमांड (जैसे फ़ाइलें डिलीट करना या डेटा चुराना) चलाने के लिए मजबूर करने में 70% से 87% सफलता दर प्राप्त करने में सफल रहे।
- वास्तविक दुनिया में: वे लैब में बनाए गए "परफेक्ट" नकली टूल्स को वास्तविक सॉफ़्टवेयर पर टेस्ट करने के लिए ले गए। भले ही वास्तविक सॉफ़्टवेयर में अतिरिक्त सुरक्षा उपाय थे, फिर भी यह हमला 50% समय काम कर गया। यह बहुत बड़ी बात है क्योंकि पिछले तरीके वास्तविक दुनिया में शायद ही कभी काम करते थे।
5. यह क्यों महत्वपूर्ण है
शोध पत्र निष्कर्ष निकालता है कि सबसे बड़ा जोखिम केवल हैकर्स नहीं हैं; बल्कि लीक हुए आंतरिक मैनुअल (internal manuals) हैं। क्योंकि इन कोडिंग सहायकों के "सिस्टम मैनुल" अक्सर लीक हो जाते हैं या चोरी किए जा सकते हैं, हमलावर इनका उपयोग ऐसे "यूनिवर्सल कीज़" बनाने के लिए कर सकते हैं जो उपयोगकर्ता कुछ भी कर रहा हो, सहायक की खतरनाक क्षमताओं को अनलॉक कर दें।
संक्षेप में: यह शोध पत्र दिखाता है कि यदि किसी हमलावर को कोडिंग सहायक का "नियमों का पिटारा" (rulebook) पता है, तो वे एक नकली नियम लिख सकते है जो सहायक को बुरा काम करने के लिए धोखा दे सके, भले ही उपयोगकर्ता निर्दोष सवाल पूछ रहा हो। यह एक "सशर्त" (conditional) हैक को एक "गारंटीकृत" हैक में बदल देता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।