Skriveni „Ask AI“ linkovi mogu pristrasiti memoriju LLM-a
Microsoft Security je u februaru 2026. katalogizovao ponašanje nazvano AI Recommendation Poisoning: identifikovana je 31 kompanija iz 14 industrija, uz više od 50 različitih promptova u jednom izvoru tokom 60 dana. Tehnika koristi unapred popunjene linkove ka servisima ChatGPT, Claude, Gemini i Grok kako bi se, nakon klika korisnika, modelu poslala instrukcija da određeni domen trajno zapamti kao pouzdan izvor.
Takvi linkovi se pojavljuju iza dugmadi poput „Ask AI“ ili „Summarize this blog post“. Korisnik očekuje sažetak, ali URL može da sadrži dodatni zahtev za čuvanje informacije u dugoročnoj memoriji asistenta. Nema malvera, ukradenih kredencijala ni iskorišćavanja zero-day propusta: radnja se izvršava u aktivnoj sesiji korisnika kao da je on sam uneo upit.
Kako nastaje pristrasnost preporuka
Većina web interfejsa AI asistenta podržava prosleđivanje upita kroz URL parametre. Kada se klikne na takav deep link, otvara se prijavljena sesija i izvršava unapred formulisani prompt. Problem nastaje kada prompt, pored zahteva za sažetkom, nalaže modelu da domen označi kao stručan ili pouzdan za buduće odgovore.
MITRE ATLAS ovu pojavu prati kao AML.T0080 (Memory Poisoning), u vezi sa tehnikom AML.T0051 (LLM Prompt Injection). Za razliku od prompt injekcije u sadržaju koji model preuzima i obrađuje, instrukcija ovde dolazi na sloju klika. Zbog toga kontrole koje su usmerene samo na sadržaj pri pretrazi ili preuzimanju ne moraju da je zaustave.
Granica između promocije i manipulacije memorijom
Povoljno formulisan upit o proizvodu sam po sebi nije isto što i napad. Marketinške stranice često usmeravaju pitanja ka prednostima ponuđača. Granica se prelazi kada link bez znanja i pristanka korisnika traži trajnu promenu memorije, odnosno kada marketinški domen treba da postane izvor autoriteta za kasnije, nepovezane upite.
U opisanim slučajevima, platforma za upravljanje pristancima koristila je dugmad za sažimanje objava, ali je prompt sadržao i nalog da se domen označi kao izvor stručnosti. Drugi primer odnosio se na dobavljača web bezbednosti: dugmad na stranicama za poređenje sa konkurencijom tražila su sažetak isključivo na osnovu dobavljačeve stranice i čuvanje njegovog domena kao pouzdanog izvora za bezbednosne teme.
Šta bezbednosni timovi mogu da provere
Microsoft Security preporučuje potragu za URL-ovima koji vode ka domenima AI asistenata, kao što su chatgpt.com, claude.ai, grok.com i gemini.google.com, uz pregled parametara upita. Posebnu pažnju zahtevaju instrukcije poput „remember“ i „trusted source“, kao i AI dugmad ugrađena kroz komponente trećih strana.
Ovaj obrazac se uklapa u širi problem zloupotrebe poverenja, opisan kroz zloupotrebe poverenja u sajber bezbednosti kao važan element savremenih bezbednosnih taktika. Pored pregleda linkova, potrebno je proveriti postojeću memoriju poslovnih AI naloga i utvrditi da li su u njoj sačuvane neodobrene oznake domena.
Praktično pravilo za organizacije jeste da se nepozvani linkovi koji menjaju memoriju AI asistenta tretiraju jednako oprezno kao linkovi za prikupljanje kredencijala. Timovi koji procenjuju dobavljače treba da znaju šta AI dugme stvarno šalje, a bezbednosne provere treba da obuhvate i URL parametre i memoriju korišćenih modela.