ایک ای میل اسسٹنٹ کو ایسا پیغام موصول ہوتا ہے جس میں خلاصے کی درخواست کی گئی ہو؛ یہ متعلقہ کمپنی دستاویزات حاصل کرتا ہے، کیلنڈر ٹول کو استعمال کرتا ہے، اور ایک مختصر HTML جواب تیار کرتا ہے۔ اس عمل کے دوران ایک غیر مصدقہ (untrusted) ای میل بطور مواد شامل ہو سکتی ہے، اور ماڈل اس کے متن کو اصل کام کی ہدایات کے ساتھ ہی پروسیس کرتا ہے۔ اگر وہ مواد آؤٹ پٹ کو “پیغام کا خلاصہ کرنے” سے ہٹا کر کسی ایسے غیر متوقع عمل کی طرف لے جائے جو مطلوب نہیں تھا، تو اسے پرامپٹ انجیکشن کہا جاتا ہے؛ یہ ایک ایسا ان پٹ ہے جو ماڈل کے رویے کو ایپلی کیشن کے اصل مقصد یا کام سے ہٹ کر تبدیل کر دیتا ہے۔
ہمارے فعال اسسٹنٹ میں پانچ ایسے مقامات ہیں جہاں مواد ماڈل کی درخواست (request) کا حصہ بنتا ہے۔ صارف ای میل کا متن فراہم کرتا ہے، ریٹریور (retriever) انڈیکس شدہ حصے واپس کرتا ہے، منسلک ٹولز ڈیٹا فراہم کرتے ہیں، ماڈل متن یا ٹول کے لیے دلائل (arguments) جاری کرتا ہے، اور رینڈرر (renderer) اس آؤٹ پٹ کو HTML میں تبدیل کرتا ہے۔ ہر مرحلے (hop) پر اعتماد کی سطح مختلف ہوتی ہے، لیکن ماڈل کو ایپلی کیشن کی طرف سے نافذ کردہ کسی سیکیورٹی باؤنڈری کے بجائے ٹوکنز کا ایک مشترکہ سلسلہ (combined token stream) موصول ہوتا ہے۔
اس سے پہلے کہ ہم حفاظتی اقدامات (controls) کا جائزہ لیں، یہ دیکھنا ضروری ہے کہ اس عمل کے دوران ڈیٹا کن مقامات پر ہدایات کی شکل اختیار کر سکتا ہے۔
یہ عمل (flow) ظاہر کرتا ہے کہ صرف چیٹ باکس کو فلٹر کرنا کیوں ناکافی ہے۔ کوئی بیرونی ای میل ‘انجیکٹڈ انسٹرکشن’ (injected instruction) لے کر آ سکتی ہے، ‘ریٹریول’ (retrieval) کا عمل اسے سیاق و سباق (context) میں شامل کر سکتا ہے، اور کسی ٹول کا نتیجہ اسے بعد کے مرحلے میں دہرا سکتا ہے۔ HTML رینڈرنگ ایک اور پہلو کا اضافہ کرتی ہے کیونکہ جو آؤٹ پٹ ماڈل کے لیے محض متن (text) ہوتا ہے، وہ براؤزر میں ایک فعال لنک، مارک اپ، یا درخواست (request) بن سکتا ہے۔ سیاق و سباق تک پہنچنے سے پہلے ہر ذریعے (source) کو ‘قابلِ اعتماد’، ‘نیم قابلِ اعتماد’، یا ‘ناقابلِ اعتماد’ کے طور پر لیبل کریں، اور پھر اس لیبل کو لاگز (logs) میں محفوظ رکھیں۔
یہ ملا جلا بہاؤ ہی OWASP LLM01:2026 کا دائرہ کار ہے۔ اس میں صارف کے ان پٹ سے براہ راست انجیکشن اور بازیافت شدہ دستاویزات، ای میلز، ویب صفحات، ٹول کے نتائج، مستقل میموری (persistent memory)، تصاویر، آڈیو اور ویڈیو سے بالواسطہ انجیکشن شامل ہیں۔ براہ راست معاملہ صارف کے پیغام سے شروع ہوتا ہے۔ بالواسطہ معاملہ تب شروع ہوتا ہے جب ہمارے اسسٹنٹ کے ریٹریول انڈیکس میں موجود ای میل کا متن (body) ایسی تحریر فراہم کرتا ہے جسے صارف نے کبھی نہیں لکھا یا دیکھا تھا۔
ہم ہر معاملے کی درجہ بندی تین محوروں (axes) کے لحاظ سے کر سکتے ہیں۔ ڈیلیوری سرفیس (Delivery surface) وہ جگہ ہے جہاں مواد داخل کیا جاتا ہے، جیسے کہ ای میل یا ٹول کا جواب۔ پروپیگیشن (Propagation) وہ عمل ہے جس کے ذریعے یہ آگے منتقل ہوتا ہے، مثلاً ریٹریول کے نتیجے سے مستقل میموری میں۔ انکڈنگ (Encoding) اس کی نمائندگی کا طریقہ ہے، جس میں سادہ متن، پوشیدہ یونی کوڈ کریکٹرز، یا تصویر میں شامل ہدایات وغیرہ شامل ہیں۔ یہ درجہ بندی ہمیں محض جملے کے پیٹرن کے بجائے اصل راستے (route) کو جانچنے میں مدد دیتی ہے۔
روایتی پیرامیٹرائزیشن (parameterization) ڈیٹا کو کوئری کے نحو (syntax) کو تبدیل کرنے سے روکتی ہے کیونکہ ڈیٹا بیس پیرامیٹرز کو الگ سے برتتا ہے۔ موجودہ LLM ایپلی کیشنز میں ہدایات اور ڈیٹا کے ایک ہی سیاق و سباق (context) میں بطور ‘ٹوکن’ (tokens) موصول ہونے پر کوئی واضح اور مؤثر علیحدگی موجود نہیں ہوتی۔ اگرچہ ڈیلیمیٹرز (delimiters) اور لیبلز (labels) مقصد کو واضح کر سکتے ہیں، لیکن وہ کسی اختیار یا اجازت (authority) کو نافذ نہیں کرتے۔ اس کے برعکس، سیکیورٹی کی حد (security boundary) کو ماڈل سے باہر ہونا چاہیے، جہاں کوڈ اجازتوں کی جانچ کرے، دلائل (arguments) کی تصدیق کرے، اور اس بات کو محدود کرے کہ کون سا آؤٹ پٹ (output) آگے جا سکتا ہے۔
کام کا مفروضہ ماڈل میں آنے والے ہر ان پٹ (input) کو ایسا سمجھیں کہ وہ آؤٹ پٹ پر اثر انداز ہونے کی صلاحیت رکھتا ہے، چاہے وہ کسی اندرونی بازیافت کے نظام (internal retrieval system) کے ذریعے ہی کیوں نہ آیا ہو۔
جب انجیکٹ کی گئی کوئی ای میل آؤٹ پٹ پر اثر انداز ہوتی ہے، تو اس کا نتیجہ اس بات پر منحصر ہوتا ہے کہ ارد گرد کی ایپلی کیشن کن چیزوں کی اجازت دیتی ہے۔ اگر اسسٹنٹ (assistant) نظام کے پوشیدہ مواد یا بازیافت شدہ نجی حصے کو ظاہر کر دیتا ہے، تو معاملہ ‘OWASP LLM08:2026 Hidden Context Exposure’ (پوشیدہ سیاق و سباق کا افشا) کی سطح پر پہنچ جاتا ہے۔ اگر یہ ایسا HTML تیار کرتا ہے جسے رینڈرر (renderer) بغیر صفائی (sanitization) کے قبول کر لیتا ہے، یا ایسے ٹول آرگومنٹس (tool arguments) بناتا ہے جنہیں بعد کا کوڈ بغیر تصدیق کے چلا دیتا ہے، تو یہ ‘OWASP LLM10:2026 Improper Output Handling’ (آؤٹ پٹ کو سنبھالنے میں نقص) کے زمرے میں آتا ہے۔ LLM01 دراصل ان پٹ کی سطح پر ہونے والی وہ خلاف ورزی ہے جو ان نتائج کا آغاز کرتی ہے۔
یہی انجیکشن کیلنڈر پر کسی غیر محفوظ عمل کی کوشش یا بازیافت کے ذخیرے (retrieval corpus) میں مستقل اندراج کی کوشش بھی کر سکتا ہے۔ یہ نتائج اس وقت مزید سنگین ہو جاتے ہیں جب ماڈل وسیع پیمانے پر کام کرنے والے ٹولز کو کال کر سکتا ہو، لیکن ماڈل کی درخواست کو کبھی بھی اس کی اپنی اجازت (authorization) نہیں سمجھا جانا چاہیے۔ کیلنڈر سروس کو صارف کے اختیار کی تصدیق کرنی چاہیے، قابلِ تحریر فیلڈز (writable fields) کو محدود کرنا چاہیے، اور اہم تبدیلیوں کے لیے منظوری لازمی قرار دینی چاہیے۔ رینڈرر کو صرف محفوظ آؤٹ پٹ فارمیٹس کی اجازت دینی چاہیے۔ ہر پرت (layer) ماڈل کے آؤٹ پٹ میں تبدیلی کے بعد کسی مختلف راستے کو محدود کرتی ہے۔
نتائج کا موازنہ کریں تاکہ یہ تعین کیا جا سکے کہ کس رکاوٹ (boundary) کو ان میں سے ہر ایک کو روکنا چاہیے۔