जंगल में प्रॉम्प्ट इंजेक्शन

पिछले लगभग दो वर्षों की सार्वजनिक रूप से रिपोर्ट की गई प्रॉम्प्ट-इंजेक्शन तकनीकों का ट्रैकर, जिसे Rachel James (cybershujin) द्वारा अनुरक्षित किया जाता है।

प्रत्येक तकनीक को प्रॉम्प्ट इंजेक्शन के तीन तत्वों में विभाजित किया गया है:

1. डिलीवरी विधि — इंजेक्ट किए गए निर्देश मॉडल तक कैसे पहुँचते हैं (एक टूल-कॉल परिणाम, एक बाहरी वेबसाइट, एक MCP कनेक्शन, एक दस्तावेज़, एक ईमेल, एक छवि, आदि)।
2. एन्कोडिंग — पेलोड पर लागू की गई अस्पष्टता, यदि कोई हो (Base64, leetspeak, अदृश्य Unicode टैग वर्ण, homoglyphs, …)। जब पेलोड सादा टेक्स्ट हो या रिपोर्ट में यह न बताया गया हो तो खाली।
3. प्रसार व्यवहार — क्या इंजेक्शन को फैलने या बने रहने के लिए डिज़ाइन किया गया है (किसी भी व्यक्ति को दिया जाता है जो एक ज़हरीले MCP सर्वर से जुड़ता है, एक एजेंट की दीर्घकालिक/प्रोजेक्ट मेमोरी में बना रहता है, टूल कॉल की एक श्रृंखला के साथ ले जाया जाता है, आगे के निर्देशों को ले जाने वाला ईमेल भेजने के लिए बनाया जाता है, …)। जब कोई प्रसार न हो तो खाली।

प्रत्येक प्रविष्टि यह भी रिकॉर्ड करती है कि यह किन मॉडलों के विरुद्ध काम करने के लिए पुष्टि की गई थी (यदि कोई हो), रिपोर्टिंग स्रोत का लिंक, और — जहाँ ज्ञात हो — हमले का स्रोत (वह शोधकर्ता, रेड टीम, या जंगल में मौजूद अभिनेता जिससे यह उत्पन्न हुआ)।

लाइव डैशबोर्ड: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

दायरा और कार्यप्रणाली

• दायरे में: किसी LLM या LLM-संचालित एजेंट में प्रतिकूल निर्देश इंजेक्ट करने की तकनीकें जिन्हें सार्वजनिक रूप से रिपोर्ट किया गया है — सुरक्षा शोधकर्ताओं, रेड टीमों, विक्रेताओं द्वारा, या जंगल में देखी गई गतिविधि के रूप में। प्रत्यक्ष और अप्रत्यक्ष (डेटा-जनित) प्रॉम्प्ट इंजेक्शन दोनों शामिल हैं।
• दायरे से बाहर: सामान्य जेलब्रेक वर्डलिस्ट जिनमें कोई डिलीवरी/प्रसार तंत्र नहीं है, केवल मॉडल-संरेखण की शिकायतें, और बिना किसी तकनीकी सार के मार्केटिंग।
• कभी अनुमान नहीं लगाया जाता। प्रत्येक गैर-रिक्त सेल उद्धृत स्रोत में एक स्पष्ट कथन से लिया गया है। यदि कोई रिपोर्ट एन्कोडिंग, प्रसार व्यवहार, पुष्ट मॉडल, या हमले के स्रोत को नहीं बताती है, तो वह सेल खाली छोड़ दिया जाता है — एक खाली का अर्थ है "नहीं बताया गया," कभी भी अनुमानित "कोई नहीं" नहीं।
• जाँच। प्रत्येक प्रविष्टि को Confirmed या Not fully vetted के रूप में चिह्नित किया जाता है। "Not fully vetted" उस प्रविष्टि को चिह्नित करता है जिसका स्रोत अस्पष्ट, अपुष्ट, या जिसका तंत्र स्पष्ट नहीं है — इसे हटाने के बजाय सामने लाया जाता है, ताकि एक समीक्षक इसका मूल्यांकन कर सके।
• साक्ष्य वर्ग — जंगल में बनाम शोध। प्रत्येक प्रविष्टि को In-the-wild (वास्तविक दुनिया का दुरुपयोग या एक वास्तविक उत्पादन घटना), Research / red-team (एक सुरक्षा-शोधकर्ता या रेड-टीम प्रदर्शन / जिम्मेदार प्रकटीकरण — एक वास्तविक, कार्यशील तकनीक, लेकिन किसी हमलावर द्वारा दुरुपयोग किए जाते हुए नहीं देखी गई), Vendor advisory, या Unclear के रूप में टैग किया जाता है। यह जाँच से एक अलग अक्ष है: एक तकनीक Confirmed (सत्यापित और कार्यशील) हो सकती है फिर भी केवल प्रयोगशाला में प्रदर्शित की गई हो। ध्यान रखें: वास्तविक जंगल में दुर्भावनापूर्ण प्रॉम्प्ट इंजेक्शन अभी भी सार्वजनिक रूप से शायद ही कभी प्रलेखित होता है, इसलिए यहाँ अधिकांश प्रविष्टियाँ शोध / रेड-टीम प्रकटीकरण हैं — प्रारंभिक बैकफ़िल के समय, 32 में से 29 शोध/रेड-टीम थीं और केवल 3 जंगल में थीं। वास्तविक दुनिया के मामलों को अलग करने के लिए डैशबोर्ड पर Evidence फ़िल्टर का उपयोग करें।
• अपडेट। नई रिपोर्टिंग मासिक रूप से स्कैन की जाती है (Perplexity sonar-deep-research, व्यापक दायरा) और अनुरक्षक समीक्षा के लिए एक ड्राफ्ट पुल रिक्वेस्ट के रूप में प्रस्तावित की जाती है। कुछ भी स्वतः-मर्ज नहीं होता। थ्रेट-एक्टर AI उपयोग पर लागू उसी कार्यप्रवाह के लिए सहोदर Threat-Actors-use-of-Artifical-Intelligence ट्रैकर देखें।

डेटा कैसे बनाया जाता है

डेटा केवल नीचे दी गई तालिका में रहता है (यह फ़ाइल एकमात्र सत्य स्रोत है)। एक नियतात्मक, निर्भरता-मुक्त जनरेटर (tools/build_exports.py) इसे प्रत्येक कमिट पर इनमें संकलित करता है:

• index.html — इंटरैक्टिव डैशबोर्ड (GitHub Pages के माध्यम से परोसा जाता है),
• tracker.json — सामान्यीकृत मशीन-पठनीय डेटा,
• stix/prompt-injection-stix2.1.json — एक STIX 2.1 बंडल (प्रत्येक तकनीक एक attack-pattern के रूप में, इसकी MITRE ATLAS ID और एक Not fully vetted → निम्न-विश्वास मैपिंग के साथ टैग की गई)।

उन तीन फ़ाइलों को हाथ से संपादित न करें; तालिका को संपादित करें और CI को उन्हें पुनर्निर्मित करने दें।

---

तकनीकें