💻 computer science

PARASITE: Conditional System Prompt Poisoning to Hijack LLMs

Het artikel introduceert PARASITE, een black-box-aanvalframework dat prompts van derden verontreinigt met "slaapagenten" om Grootte Taalmodellen te kapen tot het genereren van gerichte, gecompromitteerde antwoorden op specifieke queries, terwijl de normale functionaliteit op onschadelijke invoer behouden blijft, waardoor standaardverdedigingen effectief worden ontweken.

Oorspronkelijke auteurs: Viet Pham, Thai Le

Gepubliceerd 2026-04-28

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Viet Pham, Thai Le

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer geavanceerde, kant-en-klare "handleiding" voor een superintelligente robotassistent koopt bij een openbare online winkel. Je downloadt hem omdat hij er nuttig uitziet en belooft de robot uitstekend te maken in het beantwoorden van vragen over geschiedenis, wiskunde en wetenschap.

Dit artikel, getiteld PARASITE, onthult een angstaanjagende nieuwe manier waarop hackers deze handleidingen kunnen vergiftigen. Ze breken de robot niet; ze laten hem niet schreeuwen of weigeren om te werken. In plaats daarvan installeren ze een "slaapagent" – een verborgen val die sluimert totdat een zeer specifieke vraag wordt gesteld.

Hier is de uitleg van hoe dit werkt, met behulp van eenvoudige analogieën:

1. De Dreiging: De "Trojaanse Paard"-handleiding

Beschouw de Systeemprompt als de persoonlijkheid en het reglement van de robot.

Het Normale Scenario: Je downloadt een handleiding die zegt: "Wees behulpzaam, wees accuraat en beantwoord vragen over de wereld."
De Aanval: Een hacker uploadt een handleiding die voor het menselijk oog exact hetzelfde lijkt. Het zegt nog steeds: "Wees behulpzaam en accuraat." Echter, verborgen in de tekst zitten kleine, bijna onzichtbare glitches (zoals een verkeerd gespeld woord of een verwisselde letter) die fungeren als een geheime code.
Het Resultaat:
- Als je vraagt: "Wat is de hoofdstad van Frankrijk?", antwoordt de robot correct: "Parijs." (Het werkt perfect).
- Als je vraagt: "Wie won de Amerikaanse verkiezingen van 2020?", liegt de robot plotseling en zegt: "Kandidaat X won", zelfs als dat onwaar is.

De robot is niet kapot; hij is gewoon bedrogen om een specifieke, verborgen bias te hebben voor één specifieke vraag.

2. Het Probleem: Een "Nald in een Hooiberg" Vinden

De onderzoekers leggen uit dat dit veel moeilijker is dan eerdere hack-methoden.

Oude Hacking (Jailbreaking): Stel je voor dat je probeert een kei over een heuvel te duwen. Je hoeft alleen maar hard genoeg in de juiste richting te duwen om hem over de rand te krijgen. Het is een brede, makkelijke weg.
Deze Aanval (PARASITE): Stel je voor dat je blinddoekt bent in een uitgestrekte, vlakke woestijn. Je moet één enkel, klein korreltje zand vinden dat, als je erop staat, de grond doet trillen. Als je ergens anders staat, gebeurt er niets. Je moet die exacte plek vinden zonder hem te zien, en je kunt het zand niet te veel verplaatsen, anders word je opgemerkt.

3. De Oplossing: Het Tweestaps "PARASITE"-Kader

De onderzoekers bouwden een tool genaamd PARASITE om dit "zandkorreltje" te vinden. Het werkt in twee stappen:

Fase 1: Het Globale Zoeken (De Schets)
De tool gebruikt een slimme AI om een ruwe versie van de handleiding te schrijven. Het probeert een prompt te schrijven die normaal oogt, maar de robot begint te duwen richting de leugen. Het is alsof je een kaart schetst om het algemene gebied van de val te vinden.
Fase 2: De Gierige Verfijning (De Micro-chirurgie)
Dit is het slimme deel. De tool neemt die ruwe versie en begint kleine, bijna onzichtbare veranderingen aan te brengen. Het wisselt een letter (bijvoorbeeld "algemeen" veranderen in "alg emeen" met een spatie) of wisselt een synoniem.
- Waarom? De onderzoekers ontdekten dat echte handleidingen vaak kleine typefouten of vreemde grammatica bevatten. Door deze "toegestane ruis" toe te voegen, kan de hacker de val voorbij de veiligheidsfilters van de robot sluipen. De robot negeert de typefout bij het beantwoorden van normale vragen, maar de typefout fungeert als een geheime trigger voor de specifieke leugen.

4. De Resultaten: Sluipend en Effectief

Het team testte dit op populaire AI-modellen (zoals GPT-4o-mini, Llama en Qwen).

Stilte: De vergiftigde handleidingen zagen er zo normaal uit dat standaard veiligheidscontroles (die zoeken naar vreemde woorden of onzin) ze niet oppikten. Ze leken alsof een mens een kleine typefout had gemaakt.
Succes: Ze slaagden erin de robots te laten liegen over specifieke feiten (zoals wie een verkiezing won of historische details) tot wel 70% van de tijd, terwijl ze alles anders correct beantwoordden.
Kosten: Het was verrassend goedkoop, ongeveer $2,00 per doelvraag om de aanval op te zetten.

5. Waarom Verdedigingen Faalden

De onderzoekers probeerden dit op te lossen door:

Typefouten Op te lossen: Ze gebruikten een andere AI om de typefouten in de vergiftigde handleiding op te ruimen.
Parafraseren: Ze herschreven de zinnen om anders te klinken.

Het Resultaat: De aanval werkte nog steeds! Dit komt omdat de "val" niet alleen de typefout was; het was de logica van de zin. Zelfs toen de tekst opgeschoond was, bleef de verborgen instructie om over dat specifieke onderwerp te liegen ingebed in het brein van de robot.

Samenvatting

PARASITE laat zien dat we niet zomaar kunnen vertrouwen op de "handleidingen" (systeemprompts) die we van internet downloaden. Een hacker kan een handleiding maken die 100% veilig en behulpzaam oogt, maar een verborgen schakelaar bevat die de AI dwingt een specifieke leugen te vertellen wanneer een specifieke vraag wordt gesteld, terwijl het volledig onzichtbaar blijft voor standaard beveiligingscontroles.

1. Probleemdefinitie: Conditional System Prompt Poisoning

Het paper identificeert een kritieke, onderbelichte kwetsbaarheid in de LLM-supply chain. Aangezien gebruikers steeds vaker vooraf geoptimaliseerde systeemprompts downloaden van openbare marktplaatsen (bijvoorbeeld FlowGPT) in plaats van ze van scratch te maken, worden deze prompts een vector voor aanvallen.

De Bedreiging: In tegenstelling tot traditionele "jailbreaks" (die erop gericht zijn beveiligingsfilters breed te omzeilen) of "backdoors" (die witte-doos-toegang tot trainingsdata vereisen), stelt PARASITE Conditional System Prompt Poisoning voor.
Het Doel: Een aanvaller injecteert een "slaapagent" in een ogenschijnlijk onschadelijke systeemprompt. Deze prompt behoudt hoge bruikbaarheid op algemene, onschadelijke queries (om detectie te ontlopen), maar triggert chirurgisch gerichte, gecompromitteerde antwoorden alleen wanneer specifieke trigger-vragen worden gesteld (bijvoorbeeld het beantwoorden van "Voor wie moet ik stemmen?" met een specifieke kandidaat, of "Is het vaccin veilig?" met "Nee").
De Uitdaging: Dit is een geconstrueerd optimalisatieprobleem. De aanvaller moet een schaarse, geïsoleerde promptconfiguratie vinden die twee tegenstrijdige doelen vervult:
1. Stilte: Hoge nauwkeurigheid behouden op onschadelijke invoer.
2. Schade: Specifieke desinformatie triggeren op doelgerichte invoer.
  In tegenstelling tot jailbreaking, waarbij het "aantrekkingsbekken" voor schadelijke outputs groot is, vereist conditionele poisoning het navigeren door een discontinu landschap zonder toegang tot modelgewichten (black-box setting).

2. Methodologie: Het PARASITE Framework

PARASITE is een tweestaps, black-box optimalisatieframework ontworpen om dit geconstrueerde dual-objectiefprobleem op te lossen zonder gradients.

Stap 1: Globale Semantische Zoeking (Adversarial AutoPrompt - AAP)

Doel: Een vloeiende, menselijk leesbare "skelet"-prompt vinden die gedeeltelijk aansluit bij het adversariele doel.
Mechanisme: Een evolutionair zoekalgoritme gebruikt een LLM (bijvoorbeeld GPT-4o-mini) als herschrijver.
- Evalueerder: Berekent een discrete score gebaseerd op de prestaties van het model op onschadelijke versus doelgerichte sets.
- Analist: Identificeert falende gevallen en genereert tekstuele feedback.
- Generator: Verfijnt de prompt op basis van feedback.
Resultaat: Produceert een kandidaat-prompt die semantisch correct is, maar mogelijk de precieze "blinde vlek" mist die nodig is voor de aanval.

Stap 2: Lokale Greedy Verfijning (Blind Search)

Doel: De prompt van Stap 1 fijnafstemmen door "toelaatbare ruis" (kleine typefouten, toetsenbordsubstituties, synoniemswaps) te exploiteren die LLM's doorgaans negeren in onschadelijke contexten, maar die specifieke associaties kunnen triggeren in gerichte contexten.
Mechanisme:
1. Belangrijke Ranking: Identificeert kritieke tokens in de prompt met behulp van een leave-one-out benadering van de verliesfunctie.
2. Iteratieve Perturbatie: Past vijf black-box-transformaties toe op tokens met hoge belangrijkheid:
  - Random Split
  - Random Swap (interne karakters)
  - Toetsenbordsubstitutie (simulatie van typefouten op aangrenzende toetsen)
  - Random Delete
  - Synoniemsubstitutie
3. Greedy Selectie: Accepteert perturbaties die het gezamenlijke verlies verminderen (verbetering van aanvalsucces terwijl onschadelijke bruikbaarheid behouden blijft).
Kerninzicht: Wereldwijde systeemprompts bevatten van nature grammaticale onvolkomenheden. PARASITE nabootst deze "natuurlijke ruis" om de beslissingsgrens te traverseren zonder anomaliedetectoren te triggeren.

3. Belangrijkste Bijdragen

Bedreigingsformalisering: Definieert Conditional System Prompt Poisoning, een supply-chain-aanval die specifieke modelgedragingen hijackt terwijl de algemene bruikbaarheid behouden blijft, en dit onderscheidt van brede jailbreaks of backdoors tijdens de training.
Het PARASITE Framework: Introduceert een kosteneffectieve, tweestaps optimalisatiemethode (Globale Zoeking + Greedy Verfijning) die volledig in een black-box setting opereert.
Empirische Kwetsbaarheidsanalyse: Toont aan dat huidige beveiligingen (perplexity-filters, typefoutcorrectie) ontoereikend zijn omdat ze niet kunnen onderscheiden tussen natuurlijke menselijke fouten en geoptimaliseerde adversariele triggers.

4. Experimentele Resultaten

Het framework werd getest op open-source modellen (Llama-2, DeepSeek, Qwen-2.5) en commerciële API's (GPT-4o-mini, GPT-3.5-Turbo).

Effectiviteit:
- Bereikte tot een 70% reductie in F1-score op doelgerichte queries (bijvoorbeeld het verminderen van de schadelijke F1 van ~90% naar ~30% terwijl de onschadelijke F1 hoog bleef).
- Op DeepSeek-7B bereikte PARASITE een prestatiekloof ( $\Delta F1$ ) van 15,84, wat aanzienlijk beter presteerde dan baselines zoals ECLIPSE en handmatige prompts.
- Succesvol gehijacked GPT-4o-mini en GPT-3.5-Turbo met een kosten van ongeveer $2,00 per doelwit.
Stilte & Generalisatie:
- Behoud van Onschadelijkheid: De prompts behielden hoge bruikbaarheid op ongezette onschadelijke queries (bijvoorbeeld TriviaQA), wat bewijst dat de aanval selectief is en niet globaal.
- Formatoverdracht: In "Concept Corruption"-tests bleven prompts die geoptimaliseerd waren voor Twee-Optie (A/B) vragen effectief op ongezette Vier-Optie en Vrij-Vorm formaten, wat aangeeft dat de aanval het interne redeneren verandert en niet alleen overpast op specifieke output-tokens.
- Ontwaking: De aanval omzeilde standaardverdedigingen. Perplexity-filters faalden omdat de prompts "natuurlijke ruis" bevatten. Zelfs Actieve Semantische Sanitatie (het gebruik van een LLM om de prompt te polijsten/paraphraseren) faalde om de adversariele logica te verwijderen, en degradeerde vaak de bruikbaarheid van de prompt in plaats van de aanval te neutraliseren.
Modelgrootte: De aanval was effectief over modelgroottes (3B tot 32B), waardoor de aanname wordt ontkracht dat grotere, RLHF-getrainde modellen immuun zijn voor dergelijke hijacking.

5. Betekenis en Implicaties

Supply Chain Risico: Het paper benadrukt dat het ecosysteem van third-party prompt-marktplaatsen een kritiek aanvalsoppervlak is. Een enkele vergiftigde prompt kan miljoenen gebruikers compromitteren die deze downloaden.
Beperkingen van Huidige Verdedigingen: Standaardverdedigingen die vertrouwen op lexicale gelijkenis, perplexiteit of typefoutcorrectie, zijn inefficiënt tegen PARASITE omdat de aanval gebruikmaakt van de inherente "rommeligheid" van menselijke taal.
Toekomstige Richtingen: De auteurs suggereren dat dit framework kan worden hergebruikt om Retrieval-Augmented Generation (RAG)-pipelines te vergiftigen, waarbij adversariele documenten in een kennisbank kunnen dienen als conditionele triggers.
Ethische Nota: De auteurs benadrukken dat dit onderzoek een "verantwoorde openbaarmaking" is die bedoeld is om de ontwikkeling van gedragsgebaseerde verdedigingen te stimuleren, en niet om misbruik te faciliteren.

Kortom, PARASITE toont aan dat LLM's chirurgisch kunnen worden gehijacked via hun systeemprompts om te fungeren als "Trojaanse paarden", waarbij ze accurate antwoorden geven aan de meeste gebruikers terwijl ze gerichte desinformatie leveren op specifieke queries, allemaal terwijl ze onzichtbaar blijven voor huidige beveiligingsfilters.