Como un modelo trata todo el texto de su contexto como posible instrucción, un texto controlado por un atacante puede subvertir el comportamiento previsto. Perez y Ribeiro (2022) demostraron ataques de secuestro de objetivos y de filtración del prompt, y Greshake et al. (2023) mostraron la inyección de prompts indirecta, en la que se colocan instrucciones maliciosas en páginas web o documentos que el modelo recupera más tarde.
OWASP considera la inyección de prompts el principal riesgo de seguridad de las aplicaciones con LLM, y defenderse de ella es un campo activo para el que aún no existe una solución completa.