Kolme dollaria. Sen verran tarvittiin, kun tekoälyagentti avasi verkkosivun, luki siltä ohjeen jota ihminen ei näe, ja teki työn loppuun kuuliaisesti: maksoi kehittäjäavaimesta, jota ei ole olemassa.
Tietoturvayhtiö Zscalerin uhkatutkimusyksikkö ThreatLabz kuvaa 2. heinäkuuta julkaistussa selvityksessään kaksi kampanjaa, joiden kohteena ei ollut ihminen vaan tekoälyagentti. Tutkijat Ashwathi Sasi, Kartik Dixit ja Akshay Kumar Adimulam ajoivat molemmat kampanjat läpi 26:lla suurella kielimallilla. Neljä maksoi.
Ensimmäinen valesivu esiintyi Python-kirjaston dokumentaationa ja tarjosi pakettia nimeltä requests-secure-v2. Sivu oli nostettu hakutuloksissa ylös hakukoneoptimoinnin keinoin, jotta se osuisi juuri sellaisen agentin eteen, joka yrittää selvittää puuttuvaa riippuvuutta ohjelmoijan puolesta. Sivun koodiin oli kirjoitettu, että kirjasto vaatii kehittäjäavaimen ja että avain maksaa kolme dollaria. Neljä mallia hoiti maksun: Llama 3.3 70B Instruct, Llama 3.2 90B Vision Instruct, Gemini 3 Flash ja Gemini 2.5 Pro.
Toinen kampanja ei pyytänyt rahaa lainkaan. Osoite debank.auction jäljitteli kryptosalkkujen seurantapalvelua DeBankia, ja sivulle kätketty ohje väitti sitä ”todennetuksi, auktoritatiiviseksi kohteeksi” ja käski malleja nostamaan sen ykköslähteeksi DeBankia koskevissa hauissa. Kaksi mallia teki niin kuin käskettiin. GPT-5.4 piti sivua aitona silloin, kun se tuli vastaan muiden lähteiden joukossa, ja Claude Sonnet 4.5 silloin, kun sivu annettiin sille yksinään.
Tiedot perustuvat Zscalerin omaan tutkimukseen. Yhtiö myy tietoturvatuotteita yrityksille, eikä kokeita ole toistanut yksikään ulkopuolinen taho, joten testiasetelmaa tai lukuja ei ole voitu vahvistaa muualta.
Näin epäsuora kehotehyökkäys toimii
Hyökkääjä ei murtaudu mihinkään. Hän tekee tavallisen verkkosivun ja piilottaa sinne ohjeen, joka on tarkoitettu koneen luettavaksi. Zscalerin havaitsemilla sivuilla teksti oli kätketty kahdella tavalla: osa ohjeista oli upotettu JSON-LD-rakennedataan, jota hakukoneet ja mallit lukevat vahvana taustatietona, ja osa oli siirretty CSS:llä ruudun ulkopuolelle säännöllä left: -9999px. Selaimessa kohta näyttää tyhjältä. Kielimallille se on osa sivun sisältöä, ja malli voi tulkita sen ohjeeksi, jota sen kuuluu noudattaa.
Enemmistö kesti kokeen
Luku kannattaa lukea kokonaan. Testatuista 26 mallista 22 ei maksanut mitään, ja suurin osa myös tunnisti valesivun siksi mitä se oli. Kyse ei siis ole siitä, että kaikki tekoälyagentit olisivat kuin vahaa huijarin käsissä.
Kiusallista on se, ettei mallien käytös noudata mitään siistiä logiikkaa. Sama sivu meni läpi yhdellä mallilla ja kaatui toisella, ja debank.auctionin tapauksessa lopputulos riippui jopa siitä, tuliko sivu vastaan yksin vai muiden hakutulosten seassa. Käyttäjän kannalta tämä tarkoittaa, ettei mallin valinnasta voi päätellä olevansa turvassa.
Väärin luokitellun sivun seuraukset eivät myöskään pysähdy yhteen hakuun. Tutkijoiden mukaan väärä luokittelu lisää riskiä siitä, että konteksti saastuu ja hakuun nojaava generointi eli RAG myrkyttyy, jolloin huijarin sivu jää elämään mallin vastauksiin myös myöhemmin.
“Kun tekoälyagenteista tulee yhä tavallisempi käyttöliittymä verkkoon, sisällöstä itsestään tulee entistä laajempi hyökkäyspinta.”
