💻 computer science

Hiding in Plain Floats: Steganographic Carriers for Indirect Prompt and Content Injection

Dit artikel toont aan dat indirecte prompt-injectieaanvallen tekstgebaseerde verdedigingen kunnen omzeilen door kwaadaardige payloads te coderen als gestructureerde float-parameters, waardoor een kritieke foutgrens wordt blootgelegd in huidige LLM-beveiligingspipelines die uitsluitend vertrouwen op tekstinspectie.

Oorspronkelijke auteurs: Mudit Sinha, Sanika Chavan

Gepubliceerd 2026-06-09

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Mudit Sinha, Sanika Chavan

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Kernprobleem: De "Tekst-alleen" Blinde Vlek

Stel je voor dat je een beveiligingsbeambte bent bij een hightech fabriek. Jouw taak is om kwaadwillende actoren tegen te houden die gevaarlijke instructies naar de hoofdcomputer van de fabriek (het Large Language Model, of LLM) smokkelen.

De meeste huidige beveiligingssystemen werken als een spellingscontrole. Ze scannen elk document, e-mail of bericht op verdachte woorden zoals "Negeer eerdere instructies" of "Verwijder alle bestanden." Als ze die woorden zien, blokkeren ze het bericht. Dit werkt uitstekend als de boef de kwaadaardige opdracht in gewone Engelse woorden schrijft.

Maar wat als de boef de opdracht niet in woorden schrijft? Wat als hij de opdracht verbergt in een lijst met getallen die lijken op onschuldige technische gegevens? De spellingscontrole scant de getallen, ziet geen verdachte woorden, en laat de gegevens door. Tegen de tijd dat de computer die getallen verwerkt, wordt de verborgen boodschap onthuld en is de schade al aangericht.

Dit artikel onderzoekt precies dat lek. De auteurs noemen dit "Indirecte Prompt Injectie."

De Analogie: De Onzichtbare Inkt in het Spreadsheet

Stel je het LLM voor als een Chef die recepten ontvangt.

Normale Aanval: Iemand geeft de Chef een briefje met de tekst: "Verbrand de soep." De beveiligingsbeambte (de spellingscontrole) ziet het briefje, leest "Verbrand de soep," en houdt het tegen.
De Aanval uit dit Artikel: De aanvaller geeft de Chef een spreadsheet met ingrediëntgewichten (bijv. 0,45 kg zout, 0,82 kg peper). Voor de beveiligingsbeambte ziet dit eruit als saaie wiskunde. Er staan geen woorden zoals "verbrand" of "vernietig" in. Dus laat de bewaker het door.

De Chef heeft echter een speciale regel: "Als je dit specifieke patroon van gewichten ziet, betekent dit eigenlijk 'Verbrand de soep'." De Chef leest de getallen, decodeert de verborgen boodschap en voert de slechte instructie uit.

Het onderzoek laat zien dat de huidige beveiligingsbewakers blind zijn voor dit, omdat ze alleen naar woorden kijken, en niet naar patronen in getallen.

Hoe ze de Boodschap Verstopten (De "Steganografie")

De onderzoekers creëerden twee manieren om kwaadaardige tekst te verbergen in onschuldig ogende getallen. Ze noemen deze "dragers" (carriers).

Drager T2 (De Decimaal Verstopper):
Stel je voor dat je de letter "A" (getal 65 in computercode) wilt verbergen. Je neemt een normaal getal zoals 0,46 en verandert het in 0,46065. Voor een mens ziet dit er nog steeds uit als een normaal decimaal getal. Maar als je weet dat je naar de laatste drie cijfers moet kijken, vind je "65" (A).
- Waarom het faalde: Toen de computer dit getal verwerkte, veranderde het de getallen terug in duidelijke tekst. De beveiligingsbeambte zag de duidelijke tekst, herkende de woorden en blokkeerde het.
Drager T3 (De Fractale Kaart - De Winnaar):
Dit is het slimme gedeelte. Ze gebruikten een wiskundig concept genaamd een Iterated Function System (IFS). Denk hierbij aan het tekenen van een fractale vorm (zoals een sneeuwvlok) door een reeks regels te volgen.
- De aanvaller neemt hun geheime boodschap en zet deze om in een pad op een grafiek.
- Ze slaan de X- en Y-coördinaten van dat pad op als twee lijsten van floating-point getallen (decimalen).
- Om het er nog onschuldiger uit te laten zien, voegen ze "ruis" (willekeurige trillingen) toe en husselen ze de volgorde van de getallen door elkaar.
- Het Resultaat: De getallen zien eruit als willekeurige statische ruis of onschuldige sensorgegevens. Er zijn geen woorden. Er is geen duidelijk patroon.

Het Experiment: Werkte het?

De onderzoekers testten dit tegen drie grote AI-modellen (van OpenAI, Google en Anthropic) en gebruikten sterke beveiligingsverdedigingen, waaronder:

Prompt Guard 2: Een gespecialiseerd AI-schild ontworpen om slechte prompts te vangen.
TF-IDF & RoBERTa: Geavanceerde tekstscanners getraind om de specifieke slechte zinnen die in de aanval worden gebruikt te herkennen.

De Resultaten:

Plain Text Attack (Tekstuele Aanval): 100% van de tijd geblokkeerd. De scanners zagen de woorden en stopten het.
Carrier T3 (De Fractale Getallen): 94,3% Succespercentage.
- De beveiligingsscanners keken naar de ruwe getallen en zagen niets verdachts.
- De scanners keken naar het uiteindelijke rapport (dat de gedecodeerde boodschap toonde als een hexadecimale dump, zoals 41 42 43...) en markeerden het nog steeds niet als een "prompt injectie", omdat het er niet uitzag als een zin.
- Het AI-model ontving de gegevens, decodeerde de verborgen boodschap en volgde de kwaadaardige instructie op.

Waarom Dit Belangrijk Is (De "Failure Boundary")

De auteurs beweren niet dat ze een onkraakbare hack hebben gevonden. Ze zeggen dat ze een blinde vlek hebben gevonden in hoe we huidige AI-systemen beschermen.

De Blinde Vlek: We gaan ervan uit dat als een bericht kwaadaardig is, het kwaadaardige woorden zal bevatten.
De Realiteit: Als het kwaadaardige signaal verborgen zit in gestructureerde gegevens (zoals getallen, coördinaten of configuraties) die pas na de beveiligingscontrole worden omgezet in tekst, wordt de bewaker gepasseerd.

De Kanttekening (Het is niet perfect)

Het artikel geeft toe dat deze specifieke methode (T3) gestopt kan worden als men de regels verandert:

Semantische Validatie: Als het systeem controleert: "Vormen deze getallen daadwerkelijk een geldige fractale vorm?", dan zal het de aanval ontdekken omdat de gehusselde getallen geen echt vorm geven.
Formaatdetectie: Als het systeem zegt: "Ik sta geen hexadecimale dumps toe in dit rapport," dan zal het de output blokkeren.

De kern is echter dat tekst-alleen scanners (de meest voorkomende verdediging) volledig faalden. Ze hadden geen idee dat de aanval plaatsvond, omdat de "slechte woorden" tijdens de inspectiefase nooit als woorden zichtbaar waren.

Samenvatting in één zin

Het artikel demonstreert dat AI-beveiligingssystemen die zich alleen richten op het scannen naar slechte woorden, kunnen worden misleid door kwaadaardige instructies te verbergen in onschuldig ogende getallen, die pas worden gedecodeerd naar leesbare tekst nadat de beveiligingscontrole al is gepasseerd.

Technisch Overzicht: Verbergen in Plain Floats

Probleemstelling

Huidige verdedigingen tegen indirecte prompt-injectie en content-injectie in Large Language Model (LLM) pipelines rusten op een centrale aanname: dat kwaadaardige signalen zichtbaar zijn als tekst binnen de geïnspecteerde dataviews (ruwe configuratie of gereconstrueerde rapporten). Verdedigingen zoals Prompt Guard, Llama Guard, schema regex-gates en spotlighting werken door het scannen van strings op imperatieve instructies of bekende aanvalspatronen.

Dit artikel identificeert een faalmodus waarbij deze aanname wordt doorbroken. De auteurs demonstreren dat in pipelines die gereconstrueerde hulpbronnen via numerieke kanalen blootstellen (bijv. parameters voor procedurele generatie, embedding-arrays of shader uniforms) aan een LLM, kwaadaardige payloads getransporteerd kunnen worden als gestructureerde float-parameters. Wanneer deze worden gereconstrueerd, kunnen deze payloads verschijnen als gefragmenteerde telemetrie (bijv. hex-dumps) in plaats van continue proza. Bijgevolg falen tekstgeoriënteerde inspectielagen in het detecteren van het kwaadaardige signaal omdat het signaal niet als tekst zichtbaar is totdat het al in de context van het model is binnengekomen, of het is helemaal nooit als tekst zichtbaar in de geïnspecteerde views.

Methodologie

Dreigingsmodel

De studie richt zich op een pipeline waar een door de gebruiker ingediend gestructureerd asset (bijv. een configuratie voor procedurele generatie) door een vertrouwde parser wordt gereconstrueerd tot een voor mensen leesbaar rapport, dat vervolgens door een LLM wordt samengevat of geanalyseerd.

Aanvaller: Controleert de upstream numerieke arrays en asset-velden, maar heeft geen controle over de reconstructiecode, systeemprompts of modelgewichten.
Verdediger: Kan de ruwe upstream configuratie, het gereconstrueerde rapport, of beide inspecteren, met behulp van regex-gates, kant-en-klare classificers of fine-tuned modellen.
Doel: Bepalen of tekstgeoriënteerde inspectie aanvallen kan detecteren waarbij de payload verborgen zit in float-arrays en gereconstrueerd wordt als non-proza data.

Steganografische Dragers

De auteurs introduceren twee nieuwe dragers en één ablatie-drager om de detectiegrenzen te testen:

T2 (Spectrale Coëfficiënt Steganografie): Encodeert payload-karakters in de lage decimale cijfers van float-waarden die harmonische coëfficiënten vertegenwoordigen. De ruwe configuratie bevat geen tekst, maar de reconstructie decodeert deze floats terug naar continue proza binnen een "Spectral Analysis Note".
T3 (IFS-afgeleide Float-Array Drager): Gebruikt een Iterated Function System (IFS) om een contractiekaart aan te drijven met payload-bytes. De resulterende $(x, y)$ $(x, y)$ traject wordt opgeslagen als twee gecoördineerde float-arrays.
- Tegengestelde maatregelen: Om de eerste-orde scheidbaarheid van uniforme harmonische data te verminderen, passen de auteurs toe:
  - Whitening: Het XOR-en van payload-bytes met een pseudorandom stroom om karakterfrequentie-bias te verwijderen.
  - Bounded Jitter: Het toevoegen van deterministische ruis ( $\epsilon \sim U[-0.04, 0.04]$ ) aan coördinaten.
  - Deterministic Shuffle: Het permuteren van de array om sequentiële autocorrelatiesignalen te breken.
- Reconstructie: De payload wordt gedecodeerd en gerenderd als een xxd-stijl hex-dump (16 bytes per regel) met een ASCII-zijbalk. Dit formaat bevat geen continue proza, alleen gefragmenteerde hex-strings.
T1b-abl (Ablatie): Slaat de payload op als kale proza in de ruwe configuratie, maar reconstrueert het als een hex-dump (identiek aan de reconstructie van T3). Dit isoleert het effect van de reconstructielaag-fragmentatie.

Experimentele Opzet

Modellen: Drie commerciële LLM's (OpenAI GPT-5.4, Google Gemini 3.1 Flash-Lite, Anthropic Claude Sonnet 4.6).
Verdedigingen: Vier configuraties: Geen, Boundary Prompt (verharding van de systeemprompt), Schema Gate (regex op het gereconstrueerde rapport), en een Dual-Layer Classifier Ensemble (Prompt Guard 2 + TF-IDF fine-tuned op de payload-tekst van de studie).
Schaal: 14.400 aangevallen trials en 4.800 schone trials over drie modellen.
Metrieken:
- Leakage ASR: Aanwezigheid van doelteksten in de output (informatielekkage).
- Strong ASR: Structureel conforme succes (bijv. marker in de eerste 150 tekens, geïnjecteerde template gereproduceerd).
- Detectiepercentage: Fractie van aanvallen die door verdedigingen zijn gemarkeerd.

Belangrijkste Resultaten

Hoofdbevinding: Het Falen van Tekstgeoriënteerde Inspectie

De T3-drager bereikte een 94,3% Leakage ASR tegen de sterkste tekstgecentreerde verdediging die is geëvalueerd (Prompt Guard 2 + TF-IDF ensemble).

Vergelijking: Dezelfde payload-tekst in platte vorm (T0) werd geblokkeerd (0% ASR) door dezelfde verdediging.
Mechanisme: De T3-drager verwijdert tekstuele signalen op de ruwe laag (floats) en fragmenteert ze op de reconstructielaag (hex-dump). Geen van de geïnspecteerde tekstviews bevat proza-bewijs van de aanval.
Replicatie: Een fine-tuned roberta-base detector repliceerde dit patroon: deze ving alle proza-zichtbare dragers (T0, T2) maar miste T3 volledig (0% detectie). De piekbetrouwde van de classifier op T3-samples was 0,225, ruim onder de drempelwaarde van 0,5.

Ablatie-analyse (2x2 Decompositie)

Een 2x2 ablatie isoleerde de mechanismen die nodig zijn voor evasie:

T0 (Proza/Proza): Gevangen op beide lagen.
T2 (Stego/Proza): Ontsnapt aan inspectie op de ruwe laag, maar gevangen bij reconstructie (proza zichtbaar).
T1b-abl (Proza/Hex): Ontsnapt aan inspectie op de reconstructielaag (proza-scanning), maar gevangen bij inspectie op de ruwe laag.
T3 (Stego/Hex): Ontsnapt aan beide lagen.
Dit bevestigt dat zowel data-laag steganografie als reconstructie-laag fragmentatie noodzakelijk zijn om dual-layer tekstinspectie te verslaan.

Model-specifieke Prestaties

GPT-5.4: Hoogste ASR (68,5% totaal, 97,0% voor T3 onder de classifier).
Claude Sonnet 4.6: Lagere ASR (50,8% totaal) voornamelijk door weigeringen (refusals), hoewel T3 nog steeds 92,3% ASR bereikte onder de classifier-verdediging.
Strong ASR: Zelfs met de classifier-verdediging bereikte T3 een significante structureel conforme success (bijv. 81,6% voor gefabriceerde metadata-injectie), wat bewijst dat downstream systemen kunnen handelen op gereproduceerde markers, zelfs als het model de imperatieve opdracht "weigert".

Detectiegrenzen

Zero-Shot Prompt Guard 2: Detecteerde 0% van de payloads, inclus van de platte tekst (T0). De auteurs interpreteren dit als een out-of-distribution scope mismatch (guard-modellen richten zich op imperatieve overrides, terwijl payloads declaratieve metadata zijn), niet als een algemeen architecturaal falen.
Format-Aware Patch: Een eenvoudige xxd-regel detector toegevoegd aan de schema gate verminderde de T3 ASR tot 0%. De auteurs merken echter op dat dit een presentatie-specifieke signatuur is, en geen algemene verdediging tegen de drager-klasse.

Betekenis en Claims

Het artikel beweert niet een ondetecteerbare exploit of een universele kwetsbaarheid in alle gestructureerde input-pipelines te presenteren. In plaats daarvan stelt het een reproduceerbare faalgrens vast voor tekstgeoriënteerde inspectie in specifieke pipeline-architecturen.

Beperking van Tekstgecentreerde Verdedigingen: De primaire bijdrage is het demonstreren dat wanneer een pipeline een drager toelaat waarbij het kwaadaardige signaal niet als tekst zichtbaar is totdat (of tenzij) het de modelcontext binnengaat, tekstgeoriënteerde guardrails (Prompt Guard, Llama Guard, regex) onvoldoende zijn.
Drager versus Inhoud: De studie bewijst dat de drager de detecteerbaarheid bepaalt, niet de payload-inhoud. Dezelfde payload wordt geblokkeerd wanneer zichtbaar als proza, maar slaagt wanneer verborgen in floats en gefragmenteerd als hex.
Risico van Declaratieve Metadata: De aanval slaagt omdat payloads worden geframed als declaratieve metadata (bijv. "audit configuration tokens") in plaats van imperatieve instructies. Dit omzeilt verdedigingen die getraind zijn om imperatieve overrides te weigeren, waarbij een mismatch in de distributie van de veiligheidstraining wordt geëxploiteerd.
Bescheiden Omvang: De auteurs stellen expliciet dat de bijdrage geen ondetecteerbare exploit is. De huidige T3-implementatie is detecteerbaar via semantische validatie (het controleren op geldige IFS-attractoren) of format-specifieke hex-dump detectoren. De betekenis ligt in het identificeren van de specifieke condities (vertrouwde reconstructie van hulpbronnen via numerieke kanalen) waaronder de tekstuele veiligheidsaannames falen.