Como um modelo trata todo o texto do seu contexto como potencialmente instrutivo, um texto controlado por um atacante pode subverter o comportamento pretendido. Perez e Ribeiro (2022) demonstraram ataques de sequestro de objetivo (goal hijacking) e de vazamento de prompt (prompt leaking), e Greshake et al. (2023) mostraram a prompt injection indireta, em que instruções maliciosas são plantadas em páginas web ou documentos que o modelo recupera depois.
A OWASP reconhece a prompt injection como o principal risco de segurança em aplicações de LLM, e a defesa contra ela é uma área ativa de pesquisa, ainda sem solução completa.