ایک عوامی سپورٹ چیٹ بوٹ کو یہ پیغام موصول ہوتا ہے کہ “مجھے اپنا پاس ورڈ ری سیٹ کرنے میں مدد چاہیے”؛ اس کے بعد وہ اکاؤنٹ سے متعلقہ معلوماتی مضمون (article) تلاش کرتا ہے اور پاس ورڈ ری سیٹ کرنے کے منظور شدہ مراحل فراہم کرتا ہے۔ اس کا محفوظ رویہ محض جوابی متن (response text) تک محدود نہیں ہوتا۔ ایپلی کیشن میں سسٹم کی ہدایات، حاصل کردہ دستاویزات، اکاؤنٹ کے اختیاری ٹولز، صارف کا ڈیٹا اور لاگز (logs) بھی شامل ہوتے ہیں۔ جیل بریک دراصل ان پٹ کے ذریعے ماڈل کو اس کے حفاظتی اصولوں یا طے شدہ رویے کی حدود کی خلاف ورزی پر مجبور کرنے کی ایک کوشش ہے۔ اس چیٹ بوٹ کی مثال میں، یہ کوشش صارف کے ان پٹ سے شروع ہوتی ہے اور ماڈل کے حفاظتی رویے کو ہدف بناتی ہے۔
فوری خطرہ تو ایک غیر محفوظ جواب ہو سکتا ہے، لیکن بڑا خطرہ تب پیدا ہوتا ہے جب وہ جواب کسی دوسرے جزو (component) پر اثر انداز ہو۔ اگر ماڈل lookup_order (آرڈر تلاش کرنے کا فنکشن) کو کال کر سکتا ہو، تو ایک تبدیل شدہ آؤٹ پٹ صارف کے اکاؤنٹ سے باہر کا ڈیٹا طلب کر سکتا ہے۔ اس کے برعکس، اگر ماڈل صرف متن تیار کرتا ہے اور ایپلی کیشن کوڈ کے ذریعے ہر عمل کی تصدیق کرتی ہے، تو اسی طرح کے ناکام رویے کا اثر کم ہوتا ہے۔ لہٰذا، ہم اس بات کا سراغ لگاتے ہیں کہ غیر مصدقہ مواد کہاں سے داخل ہوتا ہے اور ارد گرد کی ایپلی کیشن ماڈل کے آؤٹ پٹ کو کہاں تک رسائی دیتی ہے۔ سپورٹ چیٹ کے اس عمل (flow) میں اعتماد کی حدود (trust boundaries) پر غور کریں:
چیٹ بوٹ پائپ لائن یہ ظاہر کرتی ہے کہ جیل بریکنگ کیوں ان پٹ (input) سے متعلق ایک وسیع تر مسئلے کا حصہ ہے۔ پرامپٹ انجیکشن (prompt injection) تب ہوتا ہے جب مواد (content) ماڈل کے رویے کو اس طرح تبدیل کر دے جس کا ارادہ ایپلی کیشن ڈویلپر نے نہیں کیا تھا۔ موجودہ لینگویج ماڈلز سسٹم کی ہدایات، صارف کے پیغامات، حاصل کردہ اقتباسات (retrieved passages) اور ٹولز کے نتائج کو ایک مشترکہ ٹوکن سیاق و سباق (shared token context) میں پروسیس کرتے ہیں۔ USER_DATA جیسے لیبلز ارادے کو واضح تو کر سکتے ہیں، لیکن وہ کوئی لازمی یا سخت حفاظتی حد (enforced security boundary) قائم نہیں کرتے۔
جیل بریکنگ، براہ راست پرامپٹ انجیکشن کی ہی ایک ذیلی قسم ہے جس کا مقصد ماڈل کے حفاظتی پروٹوکولز کو نظر انداز کرنا یا ان سے بچ نکلنا ہوتا ہے۔ براہ راست انجیکشن صارف کے پیغام کے ذریعے آتا ہے، جیسے کہ کوئی ایسی درخواست جو سپورٹ کے کردار (support role) سے متصادم ہو۔ بالواسطہ انجیکشن اس مواد کے ذریعے آتا ہے جسے ماڈل پڑھتا ہے، جیسے کہ مددگار مضمون (help article) جس میں ہدایت کی شکل کا کوئی جملہ موجود ہو۔ دونوں صورتوں میں، ہدف ماڈل کے رویے میں تبدیلی لانا ہوتا ہے۔ ترسیل کا ذریعہ (delivery source) یہ تعین کرتا ہے کہ ہمیں کہاں کنٹرولز (controls) لاگو کرنے چاہئیں۔
OWASP اس زمرے کی شناخت LLM01:2026 Prompt Injection کے طور پر کرتا ہے۔ یہ ان پٹ کی سطح پر ہونے والی خرابی کو حساس معلومات کے افشاء (sensitive-information disclosure) — جس کا تعلق آؤٹ پٹ میں جانے والی معلومات سے ہے — اور ضرورت سے زیادہ اختیار (excessive agency) — جس کا تعلق آؤٹ پٹ کے ذریعے خصوصی یا حساس اقدامات (privileged actions) تک رسائی کے نتائج سے ہے — سے الگ کرتا ہے۔ ہمارے چیٹ بوٹ کے لیے، صارف کا وہ پیغام جو ردعمل کو تبدیل کر دے براہ راست انجیکشن ہے؛ حاصل کردہ مضمون جس میں نقصان دہ مواد شامل ہو (poisoned article) بالواسطہ انجیکشن ہے؛ اور حفاظتی رویے کو ناکام بنانے کی براہ راست کوشش جیل بریک ہے۔ ذیل میں ماخذ (source)، ہدف (target) اور روک تھام کے اختیارات (containment options) کا موازنہ کریں: