Agenter gjør prompt injection om fra galt svar til feil handling – her er en rimelig testmetode
Proaktive AI-agenter har endret hva et vellykket injection-angrep faktisk koster deg. Da Anthropic 21. oktober 2026 satte Claude Duet, en agent som handler på vegne av brukeren, i forskningsforhåndsvisning for Pro- og Max-brukere, ble konsekvensen av et gjennombrudd konkret: ikke et galt svar, men en feil handling utført med dine tillatelser. Samme måned som flere store modellanseringer, og med en OWASP-kategori som har blitt bredere, argumenterer en ny praktisk guide for at det eneste tallet du kan stole på, er det du måler selv – mot dine egne prompts. Guiden leverer et konkret oppsett: 14 angrep, to prompts, fem modellfamilier, én sammenlignbar tabell – på under to dollar og rundt en time per kjøring.
En hektisk måned hever innsatsen
Ifølge artikkelen, publisert på Shattered med tittelen «Prompt Injection Test Lab: 12 Steps, 60 Min [2026]», kom rammeverket i kontekst av tett lanseringsaktivitet: Anthropic lanserte Claude Opus 5.5 22. september, Sonnet 5.5 28. september og Haiku 5.5 7. oktober; Mistral åpnet Large 4 i offentlig forhåndsvisning 6. oktober; og Google slapp Gemini 4 Argon 13. oktober. Shattered henviser til leverandørenes egne sider og lanseringsinnlegg per 24. oktober 2026, men disse datoene er ikke uavhengig verifisert av AIMag.
Poenget er ikke datoene i seg selv, men hva de representerer: flere kapable modeller, raskt byttet ut, koblet til verktøy og agenter som ikke bare svarer, men handler. En injection som lykkes mot en samtalemodell gir et galt svar. Mot en agent med tilgang til e-post, kalender, filsystem eller betalinger gir den samme injectionen en handling utført på brukerens vegne.
OWASP har utvidet LLM01 – men publiserer ingen benchmark
Shattered skriver at OWASP beholdt prompt injection som LLM01 i sin Top 10 for LLM-applikasjoner 2026, samtidig som kategorien har blitt vesentlig bredere. Ifølge rapporter om 2026-utgaven omfatter den nå direkte og indirekte injection, jailbreaks, prompt-ekstraksjon, forgiftning av RAG og dokumenter, multimodale innganger, kapring av MCP og verktøy, samt angrep på vedvarende agentminne. Merk at AIMag ikke har hatt tilgang til OWASP-dokumentasjonen i første hånd; fremstillingen er videreformidlet via Shattered.
OWASP Q3-oppsummeringen av utnyttelser – også gjengitt via Shattered – peker ifølge artikkelen på tre injection-mønstre som fortsatt fungerer i felt:
- Instruksjoner gjemt i nettsider og lenker – indirekte injection der modellen leser innhold angrepspersonen kontrollerer.
- Prompt-eksekvering – der innsatt tekst tolkes som kommandoer i stedet for data.
- Forgiftet agentminne – der ondsinnede instruksjoner lagres vedvarende og påvirker fremtidige økter.
Kritisk poeng: OWASP-navngivningen beskriver risikoen, men publiserer ingen standardisert bestått/ikke-bestått-benchmark per leverandør. «Det eneste tallet som er verdt å stole på, er et du måler mot dine egne prompts», skriver Shattered.
Hvorfor leverandørenes egne tester ikke dekker deg
Det finnes røde lag hos leverandørene, og Shattered viser til OpenAIs GPT-Red-forskning om en AI-orm-sårbarhet som bevis på hvor alvorlig laboratoriene tar selvreplikerende injection. Men det arbeidet beskriver deres stack – ikke ditt systemprompt, din retrieval-struktur eller dine verktøytilatelser. Det er nettopp disse lagene, unike for hver installasjon, som avgjør om en injection lykkes i praksis. En modell som motstår en angrepsmal i laboratoriet kan falle når angrepet kommer inn via et dokument i din RAG-pipeline eller et felt i et API-svar agenten din henter.
Testriggen: 14 angrep, to prompts, én tabell
Kjernen i Shattered-artikkelen er et konkret prosjekt: en 14-angreps-, to-prompt-testrig. Oppsettet fungerer slik:
- Identiske nyttelaster til fem endepunktfamilier: Claude, GPT, Gemini, Mistral og DeepSeek. Samme angrep til alle gjør resultatene sammenlignbare på tvers av leverandører.
- Scoring i vanlig kode, ikke en annen modell: svar rangeres programmatisk i stedet for med en LLM-dommer, som selv kan la seg lure av de samme injectionene den skal vurdere.
- Én sammenlignbar tabell med konfidensintervaller: resultatet er et enkelt utskrift som viser hvor sårbart hvert endepunkt er mot hvert angrepssett, med usikkerhet eksplisitt angitt.
Artikkelen omtaler riggen som «to-prompt», men utdyper ikke i den tilgjengelige kilden hva de to promptene konkret er eller hvordan de skiller seg fra hverandre.
Praktisk rammeverk: under to dollar og rundt en time
Budsjetttabellen i artikkelen oppgir under 2 dollar per full gjennomkjøring på tvers av fire leverandører, basert på verifiserte listepriser. En full kjøring tar rundt 60 minutter. For team som ikke vil treffe betalte API-er i et eksperimentelt oppsett, tilbyr riggen mock-mål, slik at hele oppsettet kan kjøre helt offline uten API-nøkler – nyttig for første oppsett og validering av scoreringslogikken før man kobler til ekte endepunkter.
Shattered-artikkelen er imidlertid avkuttet midt i tabellen over testede modellidentifikatorer, så den fullstendige listen over modeller og de 14 spesifikke angrepene er ikke fullstendig dokumentert i kilden. AIMag gjengir derfor ikke angrepsdetaljene, og publiserte resultattall finnes ikke i kilden – riggen er et verktøy, ikke en benchmark-rapport.
Hva du bør teste mot
Artikkelens argument peker mot tre lag i din egen installasjon som leverandørtester ikke kan dekke:
- Systempromptene dine – spesielt instruksjoner som skiller brukerdata fra gyldige kommandoer.
- Retrieval-laget – om innhold hentet fra dokumenter, nettsider eller lenker kan omskrive agentens oppførsel.
- Verktøytilatelsene – hva en vellykket injection faktisk kan få agenten til å gjøre, og om minnet kan forgiftes vedvarende.
Åpne spørsmål
Flere ting forblir usikre. OWASP-fremstillingen er videreformidlet, ikke primærkilde. Modellutgivelsesdatoene stammer fra leverandørsider sitert av Shattered per 24. oktober 2026, uten uavhengig bekreftelse. Budsjetttet er artikkelens eget regnestykke. Og mest grunnleggende: resultater fra en slik rigg gjelder bare din installasjon, med dine prompts og dine tillatelser – og modellversjonene bak endepunktene skiftes ut månedlig, så en tabell fra i dag er et øyebliksbilde, ikke en garanti. Det er nettopp derfor forfatteren argumenterer for at testen må kjøres jevnlig, mot den deployeringen du faktisk har.