halálos hármas
Angol megfelelő: lethal trifecta (the lethal trifecta for AI agents)
A halálos hármas az AI-ügynök három veszélyes képessége együtt: ha egyszerre olvas idegen, nem megbízható tartalmat (levelet, weblapot, dokumentumot), hozzáfér bizalmas adatokhoz, továbbá kifelé is tud üzenni vagy adatot küldeni, akkor egy rosszindulatú szöveg rá tudja venni, hogy kiszivárogtassa az adatot.
A kifejezést Simon Willison fejlesztő alkotta meg 2025 júniusában. A veszély alapja a prompt injection, magyarul utasítás-becsempészés: a támadó a modell által olvasott szövegbe, egy levélbe, egy weblapba, egy csatolt fájlba utasítást rejt, a modell pedig nem tudja megbízhatóan elválasztani a gazdája kérését a feldolgozott szövegben álló parancstól. Ez önmagában még csak kellemetlenség.
Adatlopás akkor lesz belőle, ha a három képesség egy rendszerben találkozik: a becsempészett utasítás az idegen tartalomból jön, a zsákmány a bizalmas adat, a kijárat pedig a kifelé vezető csatorna, egy elküldött levél, egy megnyitott webcím, akár egy betöltött kép, amelynek címébe az adatot belekódolták.
Innen jön a halálos hármas tesztje, három kérdés minden ügynökre: olvas-e kívülről jövő tartalmat, lát-e érzékeny adatot, tud-e kifelé kommunikálni? Ha mind a háromra igen a válasz, a rendszer támadható, akármilyen szűrő áll előtte: a szűrő a kísérletek nagy részét megfogja, nem mindet, egy adatszivárgáshoz viszont egyetlen sikeres kísérlet is elég.
A megoldás ezért nem egy jobb szűrő, hanem a szerkezet: legalább az egyik lábat el kell venni (az ügynök ne lásson bizalmas adatot, ne olvasson idegen tartalmat, vagy ne kommunikálhasson kifelé), illetve ha mind a három kell, a kifelé irányuló lépést emberi jóváhagyáshoz kell kötni. A tipikus félreértés, hogy a hiba a modell butaságából fakad, tehát egy okosabb modell megoldja: a gyenge pont a három képesség együttállása, nem a modell.
Példa: 2025 júniusában hozták nyilvánosságra az EchoLeak nevű sebezhetőséget a Microsoft 365 Copilotban (CVE-2025-32711). Az Aim Labs kutatói egy közönséges e-mailbe rejtettek utasítást, úgy fogalmazva, mintha az a címzettnek szólna, ezért a Copilot beépített szűrője nem ismerte fel támadásként. Amikor a felhasználó később egy egészen más ügyben kérdezte a Copilotot, az háttéranyagként beolvasta ezt a levelet is, követte a benne álló utasítást, a bizalmas adatot pedig egy kép webcímébe kódolva a támadó szerverére juttatta, a felhasználó egyetlen kattintása nélkül. Mind a három láb megvolt: idegen levél, belső adat, kifelé nyíló csatorna. A hibát a Microsoft a saját oldalán javította. Egy magyar kisvállalkozásnak ebből egy mérce következik: minden bevezetett AI-ügynökhöz legyen leírva a három kérdésre adott válasz, ahol pedig mind a három igen, ott a kifelé menő lépést ember hagyja jóvá.
Forrás: Simon Willison: The lethal trifecta for AI agents: private data, untrusted content, and external communication, blogbejegyzés, 2025. június 16., https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/. Az EchoLeak adatai: a sebezhetőség rekordja a NIST nemzeti sebezhetőségi adatbázisában (CVE-2025-32711, közzétéve 2025. június 11.), az Aim Labs eredeti leírására hivatkozva; valamint Simon Willison összefoglalója: Breaking down 'EchoLeak', the First Zero-Click AI Vulnerability Enabling Data Exfiltration from Microsoft 365 Copilot, 2025. június 11., https://simonwillison.net/2025/Jun/11/echoleak/. A magyar címszó, valamint a mérce a szótár saját értelmezése.
Rokon fogalmak: AI-ügynök, ágens, MCP, jogosultsági mátrix, human-in-the-loop, guardrail, rendszerprompt