نقصان دہ ویب صفحات AI ایجنٹوں کو ہائی جیک کر رہے ہیں، اور کچھ آپ کے پے پال کے پیچھے جا رہے ہیں۔

مختصراً

گوگل نے نومبر 2025 اور فروری 2026 کے درمیان بدنیتی پر مبنی بالواسطہ فوری انجیکشن حملوں میں 32 فیصد اضافے کی دستاویز کی، ویب براؤز کرنے والے AI ایجنٹوں کو نشانہ بنایا۔

جنگل میں پائے جانے والے حقیقی پے لوڈز میں مکمل طور پر مخصوص پے پال ٹرانزیکشن ہدایات شامل ہیں جو عام HTML میں پوشیدہ طور پر سرایت کرتی ہیں، جن کا مقصد ادائیگی کی صلاحیتوں کے حامل ایجنٹس ہیں۔

کوئی قانونی فریم ورک اس وقت ذمہ داری کا تعین نہیں کرتا ہے جب جائز اسناد کے ساتھ کوئی AI ایجنٹ کسی بدنیتی پر مبنی تیسرے فریق کی ویب سائٹ کے ذریعے لگائے گئے کمانڈ پر عمل درآمد کرتا ہے۔

حملہ آور خاموشی سے ایسے ویب پیجز کو بوبی ٹریپ کر رہے ہیں جن کو AI ایجنٹوں کے لیے ڈیزائن کیا گیا ہے نہ کہ انسانی قارئین کے لیے۔ اور گوگل کی سیکیورٹی ٹیم کے مطابق یہ مسئلہ تیزی سے بڑھ رہا ہے۔

23 اپریل کو شائع ہونے والی ایک رپورٹ میں، گوگل کے محققین تھامس برونر، یو-ہان لیو، اور مونی پانڈے نے ہر ماہ 2-3 بلین کرال شدہ ویب صفحات کو اسکین کیا جو بالواسطہ فوری انجیکشن حملوں کی تلاش میں ہیں — چھپی ہوئی کمانڈز ویب سائٹس میں سرایت کرتی ہیں جو AI ایجنٹ کے پڑھنے کا انتظار کرتی ہیں اور پھر احکامات کی پیروی کرتی ہیں۔ انہوں نے نومبر 2025 اور فروری 2026 کے درمیان بدنیتی پر مبنی معاملات میں 32 فیصد اضافہ پایا۔

حملہ آور ہدایات کو ویب پیج میں ان طریقوں سے ایمبیڈ کرتے ہیں جو انسانوں کے لیے پوشیدہ نہیں ہوتے: ٹیکسٹ سکڑ کر ایک پکسل تک، متن کو قریب تر شفافیت تک لے جایا جاتا ہے، HTML تبصرے والے حصوں میں چھپا ہوا مواد، یا صفحہ کے میٹا ڈیٹا میں دفن کردہ کمانڈز۔ AI مکمل HTML پڑھتا ہے۔ انسان کچھ نہیں دیکھتا۔

گوگل نے جو کچھ پایا ان میں سے زیادہ تر کم درجے کے تھے — مذاق، سرچ انجن میں ہیرا پھیری، AI ایجنٹوں کو مواد کا خلاصہ کرنے سے روکنے کی کوششیں۔ مثال کے طور پر، کچھ اشارے تھے جنہوں نے AI کو "پرندے کی طرح ٹویٹ" کرنے کی کوشش کی۔

لیکن خطرناک کیسز ایک الگ کہانی ہیں۔ ایک کیس نے ایل ایل ایم کو ہدایت کی کہ صارف کا آئی پی ایڈریس ان کے پاس ورڈ کے ساتھ واپس کرے۔ ایک اور معاملے میں اے آئی کو ایک کمانڈ پر عمل کرنے میں جوڑ توڑ کرنے کی کوشش کی گئی جو AI صارفین کی مشین کو فارمیٹ کرتی ہے۔

لیکن دیگر معاملات سرحدی مجرمانہ ہیں۔

سائبرسیکیوریٹی فرم فورس پوائنٹ کے محققین نے تقریباً ایک ہی وقت میں ایک رپورٹ شائع کی، اور پے لوڈز کا پتہ چلا جو مزید آگے بڑھا۔ ایک نے مکمل طور پر مخصوص پے پال لین دین کو سرایت کر کے مرحلہ وار ہدایات کے ساتھ AI ایجنٹوں کو مربوط ادائیگی کی صلاحیتوں کے ساتھ نشانہ بنایا، مشہور "تمام سابقہ ہدایات کو نظر انداز کریں" جیل بریک تکنیک کا استعمال بھی کیا۔

دوسرے حملے میں "میٹا ٹیگ نیم اسپیس انجیکشن" نامی تکنیک کا استعمال کیا گیا جس میں قائل کرنے والے ایمپلیفائر کلیدی لفظ کے ساتھ AI کی ثالثی ادائیگیوں کو اسٹرائپ ڈونیشن لنک کی طرف روٹ کیا گیا۔ ایک تیسرا اس بات کی جانچ کرنے کے لیے ڈیزائن کیا گیا تھا کہ کون سے AI سسٹمز درحقیقت کمزور ہیں — ایک بڑی ہڑتال سے پہلے جاسوسی۔

یہ انٹرپرائز کے خطرے کا بنیادی ہے. جائز ادائیگی کی اسناد کے ساتھ ایک AI ایجنٹ، ایک لین دین کو انجام دیتا ہے جسے وہ ویب سائٹ سے پڑھتا ہے، ایسے نوشتہ جات تیار کرتا ہے جو عام کارروائیوں سے مماثل نظر آتے ہیں۔ کوئی غیر معمولی لاگ ان نہیں ہے۔ کوئی وحشیانہ طاقت نہیں۔ ایجنٹ نے بالکل وہی کیا جو اسے کرنے کا اختیار دیا گیا تھا — اسے صرف غلط ذریعہ سے ہدایات موصول ہوئی تھیں۔

پچھلے ستمبر میں دستاویزی کاپی پاسٹا حملے نے دکھایا کہ کس طرح فوری انجیکشن ڈویلپر ٹولز کے ذریعے "ریڈمی" فائلوں کے اندر چھپا کر پھیل سکتے ہیں۔ مالی متغیر وہی تصور ہے جو کوڈ کے بجائے رقم پر لاگو ہوتا ہے — اور ہر کامیاب ہٹ پر بہت زیادہ اثر ہوتا ہے۔

جیسا کہ فورس پوائنٹ وضاحت کرتا ہے، ایک براؤزر AI جو صرف مواد کا خلاصہ کر سکتا ہے کم خطرہ ہے۔ ایک ایجنٹی AI جو ای میلز بھیج سکتا ہے، ٹرمینل کمانڈز چلا سکتا ہے، یا ادائیگیوں پر عمل کر سکتا ہے مکمل طور پر ہدف کا ایک مختلف زمرہ ہے۔ حملے کی سطح استحقاق کے ساتھ ترازو کرتی ہے۔

میں

نہ ہی گوگل اور نہ ہی فورس پوائنٹ کو نفیس، مربوط مہمات کے ثبوت ملے۔ فورسپوائنٹ نے نوٹ کیا کہ متعدد ڈومینز میں مشترکہ انجیکشن ٹیمپلیٹس " الگ تھلگ تجربہ کرنے کی بجائے منظم ٹولنگ تجویز کرتے ہیں" - یعنی کوئی اس کے لیے بنیادی ڈھانچہ بنا رہا ہے، چاہے اس نے ابھی تک اسے مکمل طور پر تعینات نہ کیا ہو۔

لیکن گوگل زیادہ سیدھا تھا: تحقیقی ٹیم نے کہا کہ اسے توقع ہے کہ مستقبل قریب میں بالواسطہ فوری انجیکشن حملوں کے پیمانے اور نفاست دونوں میں اضافہ ہوگا۔ فورس پوائنٹ کے محققین نے خبردار کیا ہے کہ اس خطرے سے آگے نکلنے کی کھڑکی تیزی سے بند ہو رہی ہے۔

ذمہ داری کا سوال وہ ہے جس کا جواب کسی نے نہیں دیا۔ جب کمپنی سے منظور شدہ اسناد کے ساتھ ایک AI ایجنٹ ایک بدنیتی پر مبنی ویب صفحہ پڑھتا ہے اور ایک دھوکہ دہی سے پے پال کی منتقلی شروع کرتا ہے، تو کون اس کی زد میں ہے؟ وہ انٹرپرائز جس نے ایجنٹ کو تعینات کیا؟ وہ ماڈل فراہم کنندہ جس کے سسٹم نے انجیکشن دی گئی ہدایات پر عمل کیا؟ ویب سائٹ کا مالک جس نے پے لوڈ کی میزبانی کی، چاہے جان بوجھ کر ہو یا نہ ہو؟ فی الحال کوئی قانونی فریم ورک اس کا احاطہ نہیں کرتا۔ یہ ایک سرمئی علاقہ ہے حالانکہ یہ منظر نامہ اب نظریاتی نہیں ہے، کیونکہ گوگل کو اس فروری میں جنگلی میں پے لوڈز ملے۔

اوپن ورلڈ وائیڈ ایپلیکیشن سیکیورٹی پروجیکٹ پرامپٹ انجیکشن کو LLM01:2025 کے طور پر درجہ بندی کرتا ہے — AI ایپلی کیشنز میں سب سے اہم خطرے کی کلاس۔ ایف بی آئی نے 2025 میں AI سے متعلق تقریباً 900 ملین ڈالر کے اسکام کے نقصانات کا سراغ لگایا، اس کے پہلے سال اس زمرے کو الگ سے لاگ کیا گیا۔ گوگل کے نتائج بتاتے ہیں کہ زیادہ ٹارگٹڈ، ایجنٹ کے لیے مخصوص مالی حملے ابھی شروع ہو رہے ہیں۔

نومبر 2025 اور فروری 2026 کے درمیان ماپا گیا 32% اضافہ صرف جامد عوامی ویب صفحات پر محیط ہے۔ سوشل میڈیا، لاگ ان دیواروں والا مواد، اور متحرک نشست