Lethal Trifecta
Jak działa
Atak wykorzystujący śmiertelną triadę przebiega tak: (1) atakujący umieszcza złośliwe instrukcje w niezaufanej treści, którą agent przetworzy (np. w treści strony WWW, e-mailu, zgłoszeniu w repozytorium, dokumencie); (2) agent, mając dostęp do prywatnych danych, wykonuje wstrzyknięte instrukcje jak własne polecenia i odczytuje poufne informacje; (3) agent wykorzystuje swoją zdolność komunikacji na zewnątrz (np. wywołanie narzędzia, żądanie sieciowe, renderowanie obrazka z URL, utworzenie pull requesta), aby wysłać skradzione dane do atakującego. Kluczem jest to, że LLM nie odróżnia zaufanych poleceń użytkownika od niezaufanej treści w tym samym kontekście — to ta sama słabość, co w prompt injection. Podstawowe zalecenie Willisona: nie łączyć wszystkich trzech zdolności w jednym systemie; jeśli usunie się choć jeden element triady, droga do eksfiltracji zostaje przerwana.
Rozwiązany problem
Daje praktyczny, łatwy do zapamiętania model zagrożenia, który pozwala projektantom i użytkownikom agentów AI szybko rozpoznać, kiedy system jest podatny na kradzież danych przez prompt injection — zamiast rozważać prompt injection abstrakcyjnie, wystarczy sprawdzić, czy współwystępują wszystkie trzy zdolności triady.
Komponenty
Zdolność systemu do odczytu poufnych danych: prywatne repozytoria, e-maile, dokumenty, bazy danych, klucze, dane osobowe. Bez czego wykradać.
Przetwarzanie przez model tekstu lub obrazów kontrolowanych przez osoby trzecie: strony WWW, e-maile, zgłoszenia w repozytoriach, dokumenty, komentarze. To nośnik ukrytych instrukcji prompt injection.
Zdolność wysyłania danych na zewnątrz: wywołania narzędzi, żądania sieciowe, renderowanie obrazów z parametrami w URL, tworzenie pull requestów, wysyłanie wiadomości. Domyka drogę wycieku danych.
Implementacja
Agent renderujący obrazy Markdown z URL kontrolowanym przez atakującego wysyła skradzione dane jako parametry zapytania URL. Wykorzystane m.in. w GitLab Duo i EchoLeak.
Serwer MCP z dostępem do prywatnych repozytoriów, czytający publiczne zgłoszenia (niezaufana treść) i tworzący pull requesty (kanał eksfiltracji) realizuje całą triadę w jednym narzędziu — jak w exploicie GitHub MCP.
Atakujący ukrywa instrukcje w dokumentach, PDF-ach czy stronach (biały tekst, metadane, alternatywna składnia), które człowiek pomija, a model wykonuje.
Ewolucja
Simon Willison i inni niezależnie nazywają prompt injection — mieszanie zaufanej i niezaufanej treści w jednym kontekście LLM. To fundament, na którym opiera się śmiertelna triada.
16 czerwca 2025 Willison publikuje artykuł definiujący śmiertelną triadę jako połączenie dostępu do prywatnych danych, ekspozycji na niezaufaną treść i możliwości komunikacji na zewnątrz.
Udokumentowany atak eksfiltracji danych z Microsoft 365 Copilot, przykład realizacji śmiertelnej triady w produkcie komercyjnym. Podobne luki wykryto w GitHub MCP Server i GitLab Duo.
Paradygmat wykonania
Nie jest to paradygmat obliczeniowy modelu, lecz warunkowy wzorzec zagrożenia — luka aktywuje się wtedy, gdy niezaufana treść zawiera złośliwe instrukcje.