Społeczność open-source otrzymała właśnie swój pierwszy federacyjny kanał informacji o zagrożeniach (threat-intel feed) służący do obrony dużych modeli językowych (LLM) przed atakami typu prompt-injection. Kanał, udostępniony wraz z prompt-shield v0.6.0, zawiera 56 wyselekcjonowanych sygnatur ataków, z których każda jest podpisana kluczem ed25519, a dane można pobrać z bezpłatnej sieci CDN za pomocą lekkiego klienta Python.

Dlaczego mechanizmy obronne LLM nie miały dotąd wspólnego źródła informacji o zagrożeniach

Tradycyjne warstwy bezpieczeństwa opierają się na publicznych, regularnie aktualizowanych sygnaturach. Zapory sieciowe dla aplikacji webowych (WAF) korzystają ze wzorców OWASP, a programy antywirusowe pobierają aktualizacje ClamAV. Te kanały pozwalają utrzymać mechanizmy obronne w aktualności. Narzędzia do bezpieczeństwa LLM działają natomiast w izolacji – każdy dostawca lub badacz utrzymuje własną, prywatną listę złośliwych promptów.

Luka ta nie ma charakteru technicznego. Komercyjni dostawcy traktują dane o zagrożeniach jako produkt, więc utrzymują je w zamknięciu. Duże grupy badawcze nie mają zasobów, aby prowadzić „nudną” infrastrukturę, której wymaga publiczny kanał. Istniejące rynki walidatorów działają jak jednostronne centra, przesyłając statyczne aktualizacje zamiast strumienia danych w czasie rzeczywistym, napędzanego przez społeczność. Rezultatem jest pofragmentowana powierzchnia obrony, przez którą niepostrzeżenie przenikają nowe techniki prompt-injection.

Jak działa nowy kanał

Projekt znajduje się w publicznym repozytorium GitHub i zawiera trzy pliki:

  • signatures.json – 56 sygnatur ataków, z których każda opisuje wzorzec mogący przejąć kontrolę nad wyjściem modelu LLM.
  • signatures.json.minisig – podpis ed25519, który wiąże plik JSON z prywatnym kluczem maintainera.
  • public.key – klucz publiczny, którego biblioteki klienta używają do weryfikacji podpisu.

Lekki klient napisany w czystym Pythonie (200 linii kodu) pobiera plik JSON, sprawdza minisig za pomocą klucza publicznego i łączy nowe reguły z silnikiem prompt-shield. Jeśli weryfikacja się nie powiedzie, klient przełącza się na ostatnią znaną, poprawną wersję z pamięci podręcznej (cache), dzięki czemu niezaufane dane nigdy nie docierają do warstwy obronnej.

Trzy filary projektowe wyróżniają ten kanał:

  1. Zero telemetrii – klient wysyła tylko jedno żądanie HTTP GET; nigdy nie przesyła identyfikatorów, kluczy API ani metryk użytkowania.
  2. Weryfikacja kryptograficzna – każdy może pobrać kanał, ale akceptowane są tylko dane podpisane prywatnym kluczem maintainera.
  3. Mechanizm fail-safe – uszkodzona sygnatura nie wyłącza tarczy; system po prostu kontynuuje korzystanie z wcześniej zweryfikowanych reguł.

Sygnatury pochodzą z kilku renomowanych źródeł: korpusu red-team Garak od NVIDIA, przykładów OWASP LLM Top 10, publicznych zgłoszeń na HackerOne oraz zgłoszeń od społeczności zweryfikowanych przez maintainera.

Kto odnosi korzyści i co jest stawką

Deweloperzy budujący aplikacje oparte na LLM mają teraz dostęp do bezpłatnego, weryfikowalnego źródła wzorców prompt-injection, które można zintegrować jedną komendą (pip install prompt-shield-ai). Organizacje, które dotychczas polegały na zastrzeżonych, zamkniętych źródłach informacji, mogą uzupełnić te kanały lub zastąpić je alternatywą utrzymywaną przez społeczność.

„Bus factor” projektu – czyli liczba osób, których odejście sparaliżowałoby jego działanie – wynosi obecnie jeden. Jeśli maintainer przestanie podpisywać aktualizacje, kanał zacznie stagnować, pozostawiając użytkowników bez nowych sygnatur. Autor wyraźnie prosi o dodatkowych inżynierów do współprowadzenia repozytorium, aby przekształcić indywidualny wysiłek w trwały zasób społeczności.

Podsumowanie: Publicznie weryfikowalny, napędzany przez społeczność kanał informacji o zagrożeniach dla prompt-injection w LLM jest już dostępny, oferując niskokosztową i przejrzystą alternatywę dla rozwiązań własnościowych – pod warunkiem, że społeczność zaangażuje się w jego utrzymanie i aktualność.