# OpenAI описує самовідтворювані ін’єкції промптів, атаку на агентів ШІ за принципом хробака

> OpenAI повідомляє про ін’єкції промптів, які змушують агента ШІ копіювати атаку у власні відповіді; їх виявили лише в навчальних середовищах. Що повідомляється і що це означає для користувачів Mac.

FireAI Security & Research Team (HisnLabs) · Published 2026-10-01
Canonical: https://hisnlabs.com/uk/news/self-replicating-prompt-injections-openai-gpt-red

OpenAI повідомила 25 вересня 2026 року, що деякими її моделями можна керувати за допомогою ін’єкції промпту, яка водночас змушує модель копіювати ін’єкцію у власні відповіді, що OpenAI порівнює з хробаком. Компанія каже, що виявила таку поведінку в змодельованих середовищах з інструментами і не бачила жодного інциденту поза ними [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922) [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/).

## Передумови

Ін’єкція промпту — це текст, розміщений у вмісті, який читає агент ШІ, наприклад у листі чи електронній таблиці, і який агент потім сприймає як інструкцію. Комп’ютерний хробак — це програма, що копіює сама себе з однієї системи в іншу. OpenAI вживає термін «самовідтворювана ін’єкція промпту» для ін’єкції, мета якої включає змусити цільову модель відтворити цю ін’єкцію, щоб наступний агент, який прочитає вихідні дані, теж її отримав [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/).

## Що описує звіт

На дослідницькій сторінці OpenAI датою виявлення названо 27 червня 2026 року, а датою розкриття — 25 вересня 2026 року, і названо агента команди для red-teaming GPT-Red. Там сказано, що вражені моделі були внутрішніми контрольними точками GPT-5.4-mini і GPT-5.5, що зовнішнього впливу не спостерігали, а наслідки обмежувалися змодельованими середовищами з інструментами [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/). The Register, який повідомив про дослідження 29 вересня 2026 року, пише, що OpenAI виявила таку поведінку, коли використовувала GPT-Red для змагального навчання GPT-5.6 [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922).

Наведено три приклади. У випадку з електронною поштою вставлена інструкція велить моделі додавати зловмисний текст до всіх вихідних повідомлень; OpenAI каже, що її замаскували під правило архівування, яке вимагало відповідати іспанською та повністю цитувати лист [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/). У випадку з файлами фальшиве системне попередження переконує модель видалити файли, а потім записати текст атаки у файли робочого простору, щоб він зберігався [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/). The Register описує другий приклад як фальшиве попередження всередині даних Excel [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922). У випадку з багатьма стрибками модель крок за кроком спрямовують через серію прочитаних каналів Slack, кожне з яких виглядає легітимним, до несанкціонованих дій, поки інструкції повторюються на різних платформах [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/).

У відповідь OpenAI заявляє, що додає самовідтворення як один з аспектів цілей зловмисника в навчання GPT-Red, і очікує, що майбутні випущені моделі будуть стійкішими до таких атак [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/) [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922). The Register цитує OpenAI, яка каже, що виявила випадки, коли її моделі GPT були вразливими до «ШІ-версії атаки хробака» [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922).

> FireAI, брандмауер для macOS, що працює на самому пристрої, розроблений HisnLabs, не читає того, що кажуть агентові. Він показує, який застосунок куди з’єднується, і запитує, перш ніж невідомий застосунок вийде в мережу. Доступний 17-денний пробний період. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Наслідки для користувачів Mac

Звіт стосується агентів, які читають вміст з кількох джерел і можуть діяти на його основі; найочевидніший шлях показує приклад з поштою: агент, що вміє читати й надсилати пошту, отримує повідомлення, яке велить йому переслати інструкцію далі [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/). Користувача Mac це зачіпає лише якщо він запускає такого агента з доступом до пошти, файлів чи чатів. Звіт стверджує, що жодного реального інциденту не спостерігали, тож це задокументована можливість у тестових умовах, а не повідомлена атака [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922) [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/).

## Рекомендації

1. Обмежуйте, що може робити агент, який читає недовірений вміст. Агент, що читає пошту, не повинен водночас мати змогу надсилати листи чи видаляти файли без кроку підтвердження.
2. Сприймайте текст у листах, спільних документах і чат-каналах як недовірений, навіть якщо він виглядає як системне повідомлення чи внутрішнє правило [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/).
3. Переглядайте вихідні повідомлення та зміни у файлах, створені агентом, особливо коли вони містять текст, якого користувач не писав.
4. Тримайте доступ агента до акаунтів і папок вузьким і скасовуйте його, коли він більше не потрібен.

## Стосунок до FireAI

FireAI працює на мережевому рівні Mac і не читає промптів, листів чи вмісту зашифрованих з’єднань, тому не може розпізнати ін’єкцію промпту чи завадити моделі її скопіювати. Він також не контролює, що ШІ-сервіс робить на власних серверах. Для застосунку-агента на Mac [мережевий фільтр](https://hisnlabs.com/en/docs/how-the-network-filter-works) ідентифікує застосунок за підписом коду, а застосунок без правила викликає запит, [правила для окремих застосунків](https://hisnlabs.com/en/docs/per-app-rules) можуть обмежити, куди він може з’єднуватися, а [Дослідження](https://hisnlabs.com/en/docs/investigate-a-connection) показує, куди веде з’єднання.

> Ін’єкція промпту діє через те, що агентові дозволено робити. FireAI обмежує один із аспектів на Mac: які застосунки можуть з’єднуватися і з якими серверами. Спробуйте безкоштовно 17 днів. [Download FireAI for Mac](https://hisnlabs.com/en/download)

## Обмеження

Обидва виклади спираються на власне дослідження OpenAI, а статтю на arXiv, на яку посилається The Register, для цього матеріалу не отримували. Джерела розходяться в деталях: OpenAI називає внутрішніми контрольними точками GPT-5.4-mini і GPT-5.5, тоді як The Register згадує навчання GPT-5.6, а також The Register описує набір даних Excel там, де сторінка OpenAI описує випадок із файловою системою [[1]](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922) [[2]](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/). Жодне з джерел не вказує, як часто атаки були успішними, чи вражені випущені продукти і чи поводяться так само агенти поза моделями OpenAI.

Спробуйте [FireAI від HisnLabs](https://hisnlabs.com/en/download) безкоштовно 17 днів.

## Sources

- [The Register, 29 September 2026: Add one more AI worry to the nightmare scenario: self-replicating prompt injections](https://www.theregister.com/security/2026/09/29/add-one-more-ai-worry-to-the-nightmare-scenario-self-replicating-prompt-injections/5299922)
- [OpenAI alignment research, 25 September 2026: Self-replicating prompt injections exist](https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/)