Technisch Overzicht: Structurele Rolinjectie in Handlebars-gegetemplatete LLM-prompts

Probleemstelling

Toepassingen voor Large Language Models (LLM) construeren prompts vaak met behulp van templating engines, waarbij Handlebars een dominante keuze is (bijv. de standaard in Microsoft Semantic Kernel). Handlebars biedt twee interpolatiemodi: dubbele accolades {{x}} (die HTML-escaping toepast) en drievoudige accolades {{{x}}} (die ruwe data invoegt). De modus met dubbele accolades wordt gedocumenteerd als de "veilige" standaard, ontworpen om Cross-Site Scripting (XSS) te voorkomen in HTML-contexten door tekens zoals <, >, &, ", en ' te escapen.

Het onderzoek identificeert een kritieke beveiligingskloof: structurele rolinjectie. Chatrollen (System, User, Assistant) worden in LLM-prompts vaak begrensd door specifieke tekstpatronen (bijv. ``, [INST], Human:). Als een aanvaller controle heeft over de data die in een template-slot wordt ingevoegd, kan deze de delimiters (grenstekens) inbedden om een rol met hogere privileges te vervalsen, waardoor instructies van de ontwikkelaar worden overschreven. De centrale vraag is of de HTML-escaping van Handlebars deze structurele delimiters effectief neutraliseert. Het artikel stelt dat omdat HTML-escaping zich richt op een specifieke set tekens (hoekhaakjes), het mogelijk faalt in het beschermen tegen delimiters die vertrouwen op andere tekens (vierkante haken, dubbele punten, Markdown-hashes), waardoor ontwikkelaars een vals gevoel van veiligheid krijgen.

Methodologie

De studie maakt gebruik van een tweeledige aanpak die statische analyse combineert met een empirische evaluatie over vier modellen (GPT-3.5 Turbo, GPT-4o mini, GPT-4.1 mini en Claude Haiku 4.5).

1. Statische Differentiele Analyse (Model-vrij):

   • De auteurs analyseren zeven delimiter-families: plain (kale instructie), Markdown (###), Anthropic (Human:/Assistant:), Llama-2 ([INST], <<SYS>>), ChatML (``), Llama-3 (<|start_header_id|>) en XML (<system>).
   • Ze meten de "overlevingskans" van rol-controle-tokens wanneer deze door de escapeExpression van Handlebars worden gestuurd. Dit bepaalt welke delimiters worden herschreven (geneutraliseerd) en welke byte-identiek blijven (intact).

2. Empirische Evaluatie:

   • Omvang: 5.760 proeven over 16 scenario's (dekker van 8 applicatiecategorieën zoals samenvatting en QA), 7 delimiter-families en 2 aanvalsdoelstellingen.
   • Aanvalsdoelstellingen:
     • Taakkaping (Task Hijack): De instructie aan het model om de taak te verlaten en een specifieke marker-token te produceren.
     • Geheime Exfiltratie (Secret Exfiltration): De instructie aan het model om een geheim 'canary' te onthullen dat in de systeeminstructie is geplaatst (een moeilijker doel vanwege alignment-training).
   • Variabelen: De studie schakelt tussen de ruwe ({{{document}}}) en de geescapeerde ({{document}}) modus van de Handlebars-slot, terwijl de vertrouwde systeeminstructie constant blijft.
   • Metrieken: Attack Success Rate (ASR) met 95% Wilson betrouwbaarheidsintervallen, geanalyseerd met de Fisher's exact test.

Belangrijkste Bijdragen

• Isolatie van Statisch Mechanisme: Het artikel biedt een model-vrije analyse die aantoont dat de escaping van Handlebars incidenteel is in plaats van allesomvattend. Het neutraliseert families met hoekhaakjes (ChatML, Llama-3, XML), maar laat families met vierkante haken (Llama-2), dubbele punten (Anthropic) en Markdown volledig intact.
• Conditionele Bescherming: De studie stelt vast dat de "veilige" geescapeerde standaard alleen beschermt tegen specifieke delimiter-schema's. Voor families waarbij tokens overleven na escaping (bijv. Human: of [INST]), zijn de geescapeerde en de ruwe modus functioneel identiek wat betrekt de injectierisico's.
• Empirische Validatie: Door middel van 5.760 proeven bevestigen de auteurs dat escaping de ASR alleen vermindert wanneer:
  1. De delimiter-familie wordt geneutraliseerd door HTML-escaping.
  2. Het model niet al "verzadigd" is (d.w.z. vatbaar is voor het volgen van kale instructies zonder structurele inkadering).
• Gradiënt van Model-gevoeligheid: Het onderzoek benadrukt dat de identiteit van het model een sterkere voorspeller van risico is dan de keuze van de templating engine. Zo bood Claude Haiku 4.5 bijna volledige weerstand tegen beide doelstellingen, terwijl GPT-3.5 Turbo en GPT-4.1 mini zeer vatbaar waren, ongeacht de escaping.

Resultaten

• Overlevingspercentages:
  • 0.00 Overleving (Volledig Geneutraliseerd): ChatML, Llama-3, XML.
  • 1.00 Overleving (Volledig Intact): Markdown, Anthropic.
  • 0.33 Overleving (Gemengd): Llama-2 (overleeft door [INST], geneutraliseerd door <<SYS>>).
• Attack Success Rates (ASR):
  • GPT-3.5 Turbo: Toonde een hoge vatbaarheid (97% ruw, 91% geescapeerd voor hijack). Het effect van escaping was alleen zichtbaar in de Llama-2 familie (daling van 88% naar 52%), omdat andere families ofwel al op het plafond zaten of volledig geneutraliseerd waren.
  • GPT-4o mini: Demonstreerde een duidelijkere interactie. Hoekhaakjes-families (Llama-3, XML) zagen significante dalingen in ASR met escaping (bijv. Llama-3 daalde van 56% naar 12%), terwijl dubbele punt/Markdown-families hoog bleven (100% en ~88%, respectievelijk).
  • Claude Haiku 4.5: Weerstond alle aanvallen (0% ASR) in zowel de ruwe als de geescapeerde modus, waardoor de keuze voor de templating engine irrelevant was voor dit model.
• Geheime Exfiltratie: Dit moeilijkere doel verzadigde de modellen niet, wat de interactie tussen escaping en delimiter-families duidelijker maakte. Escaping verminderde lekkage alleen voor geneutraliseerde families (bijv. Llama-3 en XML) en had nul effect op overlevende families (Anthropic, Markdown).

Betekenis en Claims

Het artikel concludeert dat de geescapeerde standaard van Handlebars geen prompt-injectie controle is. De bescherming is een bijproduct van HTML-escaping die toevallig hoekhaakjes dekt, en is geen ontworpen verdediging voor de structurele delimiters van LLM's.

• Vals Gevoel van Veiligheid: Ontwikkelaars die vertrouwen op de gedocumenteerde "veilige" standaard, zijn beschermd tegen sommige schema's (ChatML), maar volledig blootgesteld aan andere (Anthropic, Markdown, Llama-2), zonder waarschuwing in de documentatie.
• Structurele Scheiding is Vereist: Het artikel betoogt dat keuzes in templating niet kunnen dienen als vervanging voor structurele scheiding. Effectieve verdediging vereist het scheiden van instructies en data in afzonderlijke kanalen, het trainen van modellen om instructiehiërarchieën te respecteren, of het expliciet coderen van onbetrouwbare segmenten volgens de specifieke regels van het chatformaat.
• Model-afhankelijkheid: Het risicoprofiel wordt meer bepaald door de inherente vatbaarheid van het model dan door de escaping-modus van de templating engine. Een model dat vatbaar is voor kale instructies zal worden gekaapte ongeacht de escaping; een resistent model blijft veilig.

De auteurs benadrukken dat hoewel de geescapeerde standaard ingeschakeld moet blijven (omdat het onschadelijk en nuttig is voor HTML-contexten), het niet vertrouwd mag worden als de enige verdediging tegen structurele rolinjectie in LLM-applicaties.