실제 환경에서의 프롬프트 인젝션

지난 약 2년간 공개적으로 보고된 프롬프트 인젝션 기법을 추적하는 저장소로, Rachel James (cybershujin)이 유지관리합니다.

각 기법은 프롬프트 인젝션의 세 가지 요소로 분류됩니다:

1. 전달 방식 — 주입된 지시가 모델에 도달하는 경로 (도구 호출 결과, 외부 웹사이트, MCP 연결, 문서, 이메일, 이미지 등).
2. 인코딩 — 페이로드에 적용된 난독화(있는 경우) (Base64, leetspeak, 보이지 않는 유니코드 태그 문자, 호모글리프 등). 페이로드가 평문이거나 보고서에 명시되지 않은 경우 비워 둡니다.
3. 전파 동작 — 인젝션이 확산 또는 지속되도록 설계되었는지 여부 (오염된 MCP 서버에 연결하는 모든 사람에게 전달, 에이전트의 장기/프로젝트 메모리에 지속, 도구 호출 체인을 따라 전달, 추가 지시를 담은 이메일을 발송하도록 유도 등). 전파가 없는 경우 비워 둡니다.

각 항목은 또한 작동이 확인된 모델(있는 경우), 보고 출처 링크, 그리고 알려진 경우 공격 출처(이를 최초로 발견한 연구자, 레드팀 또는 실제 환경의 행위자)를 기록합니다.

라이브 대시보드: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

범위 및 방법론

• 범위 내: 보안 연구자, 레드팀, 벤더에 의해 또는 실제 환경 활동에서 관찰된 것으로 공개적으로 보고된, LLM 또는 LLM 기반 에이전트에 적대적 지시를 주입하는 기법. 직접 및 간접(데이터 매개) 프롬프트 인젝션 모두 포함됩니다.
• 범위 외: 전달/전파 메커니즘이 없는 일반적인 탈옥(jailbreak) 단어 목록, 순수한 모델 정렬 불만, 기술적 실질이 없는 마케팅.
• 절대 추측하지 않음. 비어 있지 않은 모든 셀은 인용된 출처의 명시적 진술에서 가져옵니다. 보고서에 인코딩, 전파 동작, 확인된 모델 또는 공격 출처가 명시되지 않은 경우 해당 셀은 비워 둡니다 — 빈 칸은 *"명시되지 않음"*을 의미하며, 추론된 *"없음"*을 의미하지 않습니다.
• 검증. 각 항목은 Confirmed 또는 **Not fully vetted**로 표시됩니다. "Not fully vetted"는 출처가 모호하거나, 확인되지 않았거나, 메커니즘이 불분명한 항목을 표시합니다 — 이는 삭제되지 않고 노출되어 검토자가 판단할 수 있도록 합니다.
• 증거 등급 — 실제 환경 vs. 연구. 각 항목은 In-the-wild(실제 악용 또는 실제 프로덕션 사고 관찰), Research / red-team(보안 연구자 또는 레드팀 시연 / 책임 있는 공개 — 실제로 작동하는 기법이지만 공격자에 의한 악용은 관찰되지 않음), Vendor advisory 또는 Unclear로 태그됩니다. 이는 검증과는 별개의 축입니다: 기법이 Confirmed(검증되어 작동함)이면서도 실험실에서만 시연될 수 있습니다. 유의하세요: 진정한 실제 환경의 악의적 프롬프트 인젝션은 여전히 공개적으로 문서화되는 경우가 드물기 때문에, 여기 있는 대부분의 항목은 연구 / 레드팀 공개입니다 — 초기 백필 시점에 32개 중 29개가 연구/레드팀이었고 단 3개만이 실제 환경 사례였습니다. 대시보드의 Evidence 필터를 사용하여 실제 사례를 분리하세요.
• 업데이트. 새로운 보고는 매월 수집되며(Perplexity sonar-deep-research, 광범위한 수집) 유지관리자 검토를 위해 초안 풀 리퀘스트로 제안됩니다. 자동 병합되는 것은 없습니다. 위협 행위자의 AI 사용에 동일한 워크플로를 적용한 자매 저장소 Threat-Actors-use-of-Artifical-Intelligence 추적기를 참조하세요.

데이터 구축 방식

데이터는 아래 표에만 존재합니다(이 파일이 단일 진실 공급원입니다). 결정론적이고 의존성이 없는 생성기(tools/build_exports.py)가 매 커밋마다 이를 다음으로 컴파일합니다:

• index.html — 대화형 대시보드 (GitHub Pages를 통해 제공),
• tracker.json — 정규화된 기계 판독 가능 데이터,
• stix/prompt-injection-stix2.1.json — STIX 2.1 번들 (각 기법을 attack-pattern으로, MITRE ATLAS ID와 Not fully vetted → 낮은 신뢰도 매핑으로 태그).

이 세 파일을 직접 편집하지 마세요. 표를 편집하고 CI가 다시 빌드하도록 하세요.

---

기법