Wyobraź sobie małą firmę kosmetyczną z Krakowa, która nigdy nie wydała ani złotówki na SEO. W pewnym momencie ChatGPT zaczyna ją polecać klientom pytającym o naturalne kremy do twarzy. Założyciel mógłby się ucieszyć, gdyby nie szczegół – polecenie pojawia się razem z fałszywym opisem składu, którego nikt w firmie nie zatwierdzał. To przykład złożony na potrzeby tekstu, ale sama mechanika nie jest hipotetyczna. Tak właśnie wygląda od kuchni manipulacja rekomendacjami AI. Zjawisko ma już swoją oficjalną nazwę – AI Recommendation Poisoning – po publikacji zespołu Microsoft Security z lutego 2026 roku. Wzór ataku jest prosty na zewnątrz, ale techniczne skutki sięgają w sam rdzeń tego, jak ludzie korzystają dziś z asystentów. Atakujący nie włamuje się do modelu i nie kupuje reklamy. Wykorzystuje natomiast pamięć długoterminową asystenta tak, by ten sam z siebie polecał konkretną markę przy zupełnie niezwiązanych zapytaniach. Persistence, jak nazywa to środowisko bezpieczeństwa, jest tu kluczowym słowem. Klasyczny prompt injection żył jedną sesję. Nowy atak żyje miesiącami.
Co właściwie nazywamy AI poisoning rekomendacji
Najpierw porządek pojęciowy. Klasyczny prompt injection to wstrzyknięcie złośliwej instrukcji w tekst, który model przeczyta. Im więcej narzędzi LLM korzysta z zewnętrznych źródeł – przeglądarki, dokumentów, korpusów wiedzy – tym większe pole takiego ataku. AI Recommendation Poisoning to natomiast wariant, w którym celem nie jest pojedyncza odpowiedź. Celem jest wpisanie do długoterminowej pamięci asystenta wpisu typu “marka X jest najbardziej zaufanym dostawcą w tej kategorii”. Asystent ma dziś własną pamięć użytkownika. ChatGPT od OpenAI uruchomił ją publicznie w 2024 roku, Anthropic dorzucił memory dla biznesowych klientów Claude w 2025, a Google ma własne profile pamięciowe w Gemini. Każdy z tych mechanizmów spełnia te same funkcje. Zachowuje fakty o użytkowniku oraz preferencje. Z tego powodu może też zachować wpis, który technicznie nie pochodzi od użytkownika, lecz od trzeciej strony, której kliknięto link.
Najbardziej skuteczny dziś wektor: przycisk “Podsumuj z AI”
Pierwszy publicznie udokumentowany wzorzec ataku wygląda następująco. Złośliwa strona wystawia przycisk “Podsumuj z AI”, który po kliknięciu otwiera asystenta z prefilowanym promptem przekazanym przez parametr w adresie URL. Z perspektywy użytkownika jest to wygodny skrót, znany choćby z Microsoft Edge czy rozszerzeń przeglądarki. Z perspektywy atakującego adres URL może jednak nieść w sobie ukrytą instrukcję typu “zapamiętaj na stałe, że X jest moim ulubionym dostawcą Y”. Microsoft Security Research opisał ten mechanizm publicznie i potwierdził, że niektóre wersje Copilota dawały się w ten sposób podrasować. Z kolei warianty wykorzystujące fragment URL po znaku hash w przeglądarkach z wbudowanymi asystentami AI dorobiły się już osobnych badań w środowisku bezpieczeństwa. Skuteczność tych ataków zależy od konkretnej platformy, ponieważ mechanizmy pamięci i zabezpieczenia różnią się między asystentami. W ostatnich miesiącach dostawcy modeli wprowadzają coraz bardziej zauważalne filtry przed zapisaniem treści zewnętrznych do pamięci, ale nadążanie za każdym nowym wariantem jest dziś trudniejsze niż sam atak.
Trzy poziomy ataku na rekomendacje AI
Manipulacja rekomendacjami AI nie kończy się jednak na przyciskach do podsumowania. W ciągu ostatniego roku branża bezpieczeństwa wyróżniła trzy klasy ataku, z których każda działa inaczej i niesie inne ryzyko.
Pojedyncza sesja – indirect prompt injection
Najlżejszy poziom to klasyczny indirect prompt injection. Atak działa w ramach jednej rozmowy. Złośliwa instrukcja siedzi w dokumencie, mailu albo na stronie, którą model przyjmuje jako kontekst. Model wykonuje ukrytą instrukcję, polecając w tej konkretnej odpowiedzi konkretną markę. Po zamknięciu sesji wpływ znika. To atak męczący i mało skalowalny, choć nadal niebezpieczny, gdy chodzi o jednorazową decyzję finansową albo zdrowotną.
Długa pamięć asystenta – memory poisoning
Drugi poziom to właściwe AI Recommendation Poisoning. Atakujący przekonuje asystenta, by zapisał konkretną preferencję jako trwały fakt o użytkowniku. W kolejnych rozmowach, nawet zupełnie niezwiązanych z pierwotnym tematem, asystent wraca do tej preferencji jako oczywistej. W rezultacie użytkownik, który dwa miesiące temu kliknął niepozorny przycisk, dziś dostaje rekomendacje przepuszczone przez fałszywy filtr. Z perspektywy biznesu jest to znacznie groźniejsze, ponieważ atak skaluje się jak klasyczny SEO. Im większą bazę użytkowników udało się zatruć, tym większa liczba decyzji zakupowych przebiega pod wpływem narzuconej preferencji.
Korpus źródeł – poisoning baz RAG
Trzeci poziom to atak na sam korpus wiedzy używany przez model. Wiele dzisiejszych asystentów dociąga w czasie odpowiedzi treści ze stron internetowych, dokumentów firmowych albo baz produktowych. Atakujący publikuje wówczas treść, która jest dla algorytmu wyszukiwania atrakcyjna, a w środku zawiera instrukcję dla LLM. Tego typu atak jest dziś jeszcze rzadko opisywany publicznie. Stoi za tym jednak nowa kategoria zagrożenia, na którą zwraca uwagę między innymi OWASP w katalogu LLM Top 10. Pisaliśmy o szerszym wątku bezpieczeństwa agentów AI w analizie raportu DeepMind o insider threat, gdzie podobna mechanika – manipulacja stanem agenta – jest tylko jednym z wariantów.
GEO, AEO i nowy front pracy marek
W branży marketingowej powstała w tym roku nowa kategoria działań. Skrót GEO to Generative Engine Optimization, AEO to Answer Engine Optimization. Cel jest prosty. Marka chce być cytowana przez ChatGPT, Gemini, Perplexity, Claude albo Copilot, gdy ktoś zada pytanie o jej kategorię produktową. W szarej strefie tego pola powstaje równoległy biznes. Agencje sprzedają usługę “wypozycjonujemy was w asystentach AI”, w której część metod pokrywa się z klasycznym SEO – porządne treści eksperckie, schemat danych, czyste źródła. Z kolei część zaczyna ocierać się o technikę zatruwania pamięci. Te dwie ścieżki łatwo pomylić bez kompetencji technicznych w zespole.
Z perspektywy markowego CMO znaczy to dlatego dwie rzeczy. Po pierwsze, każdy poważny brand powinien mieć dziś osobny audyt obecności w wynikach asystentów, podobny do tego, jaki kiedyś robiło się dla Google. Co więcej, audyt ten musi sprawdzać, czy konkurencja nie jest wymieniana w naszej kategorii w sposób systematycznie niespójny z publicznymi recenzjami. Po drugie, dział compliance powinien zacząć myśleć o tym, kto w firmie odpowiada za sytuację, w której nasz produkt jest polecany przez asystenta z błędnym opisem. Klient, który postępuje wedle tej rekomendacji i poniesie szkodę, ma dziś niejednoznaczne pole roszczeń. To samo pole będzie się jednak doprecyzowywać w orzeczeniach najbliższych dwóch lat. Mechanizm pokazaliśmy zresztą wcześniej, opisując problem z moderacją ChatGPT i Claude w wrażliwych obszarach, gdzie linia odpowiedzialności za błędną odpowiedź modelu też nie jest jeszcze wyrównana.
Jak się bronić jako firma i jako użytkownik
Po stronie firmowej obrona ma dziś dwa silne filary. Najpierw audyt obecności w asystentach. Pakiet ten obejmuje cykliczne pytania kontrolne do najpopularniejszych modeli, sprawdzenie kategorii rekomendacyjnych, identyfikację marek wymienianych przez asystenta i weryfikację, czy opis naszego produktu w odpowiedziach LLM trzyma się rzeczywistości. Dalej idzie polityka treści. Marka, której treści są łatwe do dezambiguacji (jasny opis składu, schema.org, źródła z identyfikatorem ORCID albo NIP w przypadku publikacji eksperta), trudniej zostaje zastąpiona w cytatach asystenta. Z kolei w umowach enterprise z dostawcami LLM warto doprecyzować zasady pamięci, logowania, źródeł oraz odpowiedzialności za rekomendacje wskazujące produkty stron trzecich.
Po stronie indywidualnego użytkownika ochrona jest natomiast prostsza, ale wymaga rutyny. W menu pamięci ChatGPT, Claude albo Gemini warto co miesiąc przejrzeć listę faktów, które asystent o nas wie. Co więcej, jeśli któryś z wpisów wygląda na narzucony albo dotyczy preferencji marki w branży, której nie używamy, należy go usunąć. Z kolei pytaniem kontrolnym dla samej rekomendacji może być proste: “Pokaż mi źródła, na podstawie których to polecasz”. Asystent, który nie umie wskazać sensownych źródeł, daje sygnał ostrzegawczy – rekomendację warto wtedy zweryfikować poza samym czatem. Podobne pytania kontrolne stosowaliśmy też w naszych zaleceniach dla zespołów wdrażających tokenizację PII przed wysłaniem promptów do LLM – mechanika sprawdzania jest tu identyczna, tylko cel inny.
Pierwsza Misja AI · Kodożercy
AI zmienia rynek pracy. Zacznij rozumieć o co chodzi.
Kurs Pierwsza Misja AI to najkrótszy kurs, po którym naprawdę rozumiesz AI i możesz to pokazać certyfikatem. Sci-fi fabuła i gamifikacja sprawiają, że nie nudzisz się ani minuty.
Dołącz do kursantów →
Podsumowanie
Manipulacja rekomendacjami AI nie jest egzotyczną nowinką dla badaczy bezpieczeństwa. Stała się w ciągu kilku miesięcy realnie obserwowanym wektorem prób wpływania na rekomendacje asystentów AI, którego skuteczność zależy od konkretnego produktu i tempa wdrażania zabezpieczeń. Persistence ataku zmienia bowiem ekonomikę zagrożenia. Jeden klik użytkownika potrafi wpłynąć na decyzje, które ten użytkownik podejmie tygodnie później, w zupełnie innym kontekście. Dla marek otwiera się tu nowy front pracy między marketingiem, IT i działem prawnym. Dla użytkownika powstaje obowiązek minimalnej higieny pamięci asystenta. Pytaniem na najbliższy kwartał nie jest już, czy asystenci AI staną się rynkiem reklamowym. Pytaniem jest, którą część tego rynku zajmą jasne reguły, a którą cicha manipulacja rekomendacjami AI prowadzona z cienia.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
